Hızlı cevap: ARP spoofing (ARP zehirlenmesi), yerel ağda bir saldırganın sahte ARP yanıtları göndererek kendi MAC adresini başka bir cihazın (genelde ağ geçidinin) IP adresiyle eşleştirmesidir. Böylece kurbanın trafiği saldırgan üzerinden akar ve saldırgan ortadaki adam (MITM) konumuna geçer. Bu konumda trafiği dinleyebilir, değiştirebilir ya da oturumları ele geçirebilir. Savunma; dinamik ARP denetimi (DAI), statik ARP, ağ segmentasyonu ve her zaman şifreli protokol kullanmaktır.

ARP spoofing nasıl çalışır?

Yerel ağdaki cihazlar birbirini IP değil MAC adresiyle bulur ve bu eşleşmeyi ARP protokolüyle öğrenir. ARP'ın temel zayıflığı şudur: bir cihaz "şu IP bana ait" diyen bir yanıt gönderdiğinde, diğer cihazlar bunu doğrulamadan kabul eder. Saldırgan tam da bunu kullanır: ağa sahte ARP yanıtları yollayarak "ağ geçidi benim" der.

Sonuçta kurbanın ağ geçidine gitmesi gereken trafiği saldırgana gelir. Saldırgan trafiği gerçek ağ geçidine ileterek bağlantıyı koparmaz ama arada durur. Bu MITM konumunda, şifresiz trafiği okuyabilir, değiştirebilir ve oturum çerezi gibi hassas verileri yakalayabilir.

ARP spoofing ile ne yapılabilir?

Saldırı Açıklama
Trafik dinleme Şifresiz verilerin (HTTP, FTP) okunması
Oturum ele geçirme Yakalanan oturum çereziyle hesaba girme
Trafik değiştirme Yanıtların arada değiştirilmesi
Hizmet kesintisi Trafiği yanlış yönlendirip erişimi bozma

Savunma yöntemleri

  1. Yönetilebilir anahtarlarda dinamik ARP denetimi (DAI) etkinleştirin.
  2. Kritik cihazlar için statik ARP girişleri tanımlayın.
  3. Ağ segmentasyonu ile saldırganın erişebileceği alanı daraltın.
  4. Her zaman şifreli protokol kullanın (HTTPS, SSH); MITM olsa bile içerik korunur.
  5. arpwatch ve Wireshark ile olağandışı ARP etkinliğini ve çift IP uyarılarını izleyin.

Önemli nokta: ARP spoofing'in en güçlü panzehiri şifrelemedir. Saldırgan araya girse bile, trafik uçtan uca şifreliyse (HTTPS, SSH) içeriği okuyamaz. Bu yüzden şifresiz protokolleri ortamdan kaldırmak kritik bir savunmadır.

KAOS ve DSET yaklaşımı

DSET, iç ağ sızma testlerinde ARP spoofing ve MITM yollarını yetkili biçimde test eder ve ağın bu klasik saldırıya karşı dayanıklılığını değerlendirir. Wireshark ile trafikteki şifresiz kimlik bilgisi sızıntılarını ve MITM izlerini kanıta bağlarız. Saha deneyimimizde en sık gördüğümüz sorun, iç ağda hâlâ şifresiz protokollerin kullanılması ve ARP denetiminin kapalı olmasıdır. Amacımız ağın ortadaki adam saldırısına ne kadar açık olduğunu göstermektir.

Bağlantılı okumalar: Wireshark ile ağ trafiği analizi, ağ segmentasyonu ve mikrosegmentasyon, kablosuz ağ Wi-Fi sızma testi, AiTM ortadaki düşman oltalaması, TLS SSL yapılandırma sertleştirme, pivoting ve tünelleme.

Sık sorulan sorular

ARP spoofing ile ARP poisoning aynı şey mi? Evet, ikisi de aynı saldırıyı tanımlar. Türkçede ARP zehirlenmesi de denir. Saldırgan sahte ARP yanıtlarıyla kendi MAC adresini bir başka cihazın (genelde ağ geçidinin) IP'siyle eşleştirir ve kurbanın trafiğini kendi üzerinden geçirir. Böylece ortadaki adam (MITM) konumuna geçer.

ARP spoofing şifreli trafiği okuyabilir mi? Hayır. Saldırgan MITM konumuna geçse bile, trafik uçtan uca şifreliyse (HTTPS, SSH) içeriği okuyamaz; yalnızca kaynak, hedef ve hacim gibi meta veriyi görür. Bu yüzden ARP spoofing'e karşı en etkili savunma, şifresiz protokolleri kaldırıp her yerde şifreleme kullanmaktır.

ARP spoofing'i nasıl tespit ederim? Ağda bir IP adresinin aniden farklı bir MAC'e eşlenmesi, çift IP uyarıları ve olağandışı ARP yanıt trafiği tipik işaretlerdir. arpwatch gibi araçlar ARP eşleşmelerindeki değişiklikleri izler, Wireshark ise şüpheli ARP etkinliğini gösterir. Yönetilebilir anahtarlardaki dinamik ARP denetimi (DAI) ise saldırıyı baştan engeller.

Kaynaklar

İç ağınızın ARP spoofing ve MITM saldırılarına direncini test etmek için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.