Kurumsal Ağlarda Ağ Dinleme Saldırıları (ARP Spoofing) Nasıl Algılanır ve Arpwatch ile Engellenir?

Yerel Ağda Tüm Şirket Verilerini Kendi Üzerine Çeken Sessiz Korsanlar

Kurumsal yerel ağlarda (LAN) şirket dışından gelen saldırılara karşı gelişmiş güvenlik duvarları kurulurken, en ölümcül güvenlik açığı şirket içi ağa bağlanan virüslü bir dizüstü bilgisayarın veya kötü niyetli bir şahsın başlattığı ARP Zehirlemesi (ARP Spoofing / ARP Poisoning) saldırılarıdır. Adres Çözümleme Protokolü (ARP), IP adreslerini yerel ağdaki fiziksel MAC adresleriyle eşleştiren temel mekanizmadır; ancak 1980’lerden kalma bu protokolde hiçbir kriptografik doğrulama veya yetkilendirme katmanı bulunmaz. Yerel ağa sızan bir saldırgan, ağ geçidinin (Gateway) ve hedef sunucuların trafiğini araya girerek kendi üzerine çeker (Ortadaki Adam – MITM). Şirket çalışanlarının girdiği şifreler, e-postalar ve finansal veriler saldırganın bilgisayarından süzülerek çalınır.

ARP Zehirleme Saldırısının Matematiksel ve Protokolsel İşleyişi

Ağda Muhasebe Bilgisayarı (192.168.1.10), Ağ Geçidi (Router 192.168.1.1) ve Saldırgan (192.168.1.99) olduğunu varsayalım:

1. Saldırgan ağa sahte, talep edilmemiş yanıt paketleri (Gratuitous ARP Reply) pompalamaya başlar.
2. Muhasebe bilgisayarına: ‘192.168.1.1 benim ve fiziksel MAC adresim 00:AA:BB:99:99:99’dur’ yalanını söyler.
3. Aynı anda modeme gidip: ‘192.168.1.10 muhasebe benim ve MAC adresim yine 00:AA:BB:99:99:99’dur’ der.
4. Her iki cihaz da işletim sistemi gereği doğrulamadan kendi yerel dinamik ARP önbellek tablolarını bu sahte bilgiyle günceller.
5. Artık muhasebe internete paket gönderdiğinde paket modeme değil, saldırganın ağ kartına gider. Saldırgan paketi kaydeder (Wireshark) ve internete iletir. Personel internetinin çalıştığını sanırken şirket verileri canlı olarak dinlenir.

1. Adım: İstemci Bilgisayarda ARP Tablosunu İnceleyerek Saldırıyı Yakalama

Bir bilgisayarın o an dinlenip dinlenmediğini tespit etmek için Komut İstemi (CMD) yönetici olarak çalıştırılır:

C:> arp -a

İncelenecek Çıktı:
İnternet Adresi        Fiziksel Adres        Tür
192.168.1.1           00-11-22-33-44-55     dinamik  <-- (Modem Ağ Geçidi)
192.168.1.99          00-11-22-33-44-55     dinamik  <-- (ŞÜPHELİ KULLANICI!)

ALARM DURUMU:
Eğer ağ geçidinin MAC adresi ile ağdaki herhangi başka bir IP nin MAC adresi BİREBİR AYNI görünüyorsa,
ağınızda kesinlikle aktif bir ARP Spoofing saldırısı vardır!

2. Adım: Linux Ağ Sunucusunda Arpwatch Kurulumu ve Anlık E-Posta Alarmı

Ağdaki MAC-IP eşleşmelerini 7/24 izleyen ve sahte bir değişiklik olduğunda sistem yöneticisine anında uyarı basan açık kaynaklı Arpwatch servisi yapılandırılır:

# Ubuntu / Debian Sunucuya Kurulum:
sudo apt update && sudo apt install arpwatch -y

# /etc/arpwatch.conf dosyasında dinlenecek ağ kartı ve e-posta tanımlanır:
eth0 -m guvenlik@sirketiniz.com -N

sudo systemctl enable arpwatch
sudo systemctl start arpwatch

Ağda bir saldırgan sahte ARP paketi bastığı milisaniyede Arpwatch sistem günlüğüne flip flop (MAC adresi aniden değişti) uyarısı yazar ve yöneticinin telefonuna alarm gönderir.

3. Adım: Switch Seviyesinde Kesin Koruma Olarak Dynamic ARP Inspection (DAI)

Saldırıyı sunucuda değil, henüz switch portunda fiziki olarak durdurmak için yönetilebilir anahtarlarda DAI aktif edilir:

Switch CLI Yapılandırması:
ip dhcp snooping
ip dhcp snooping vlan 10
ip arp inspection vlan 10
interface gigabitEthernet 1/0/48
 ip arp inspection trust

Switch gelen her ARP paketini kendi güvenilir DHCP Snooping tablosuyla doğrular; uyuşmayan sahte ARP paketini üreten saldırganın portunu anında kapatır (Shutdown).

Kurumsal iç ağ sızma testleri, ARP zehirleme denetimleri, Layer 2 anahtar güvenliği ve kurumsal siber savunma mimarilerinde BaykalSoft Ağ Güvenlik Mühendisliği birimimizle iletişime geçebilirsiniz.