【ARP Flood 攻击】

一、概念

攻击者通过向目标网络发送大量伪造的ARP请求或响应报文，使网络设备的ARP表资源被无效的ARP条目耗尽，从而导致合法用户的ARP报文无法继续生成ARP条目，最终导致正常通信中断。

二、原理

1.攻击者通过修改ARP报文中的源IP地址和源MAC地址，向攻击目标大量发送伪造的ARP报文
2.伪造的报文会使目标设备的ARP表被无效的条目填满，导致合法的ARP请求无法得到处理。
3.攻击者利用工具扫描本网段主机或进行跨网段扫描，发送大量目标IP地址不能解析的IP报文，导致设备触发大量ARP Miss消息，生成并下发大量临时ARP表项，并广播大量ARP请求报文以对目标IP地址进行解析，从而造成CPU负荷过重。

三、影响

1.网络性能下降：ARP表溢出可能导致网络延迟增加或完全崩溃。
2.网络瘫痪：设备无法正常解析IP和MAC之间的映射，通信被中断。
3.中间人攻击：攻击者可以拦截、修改或窃听两台设备之间的通信数据。
4.数据劫持：敏感数据（如登录凭据）可能被窃取。

四、防御

1.ARP表项限制：设备基于接口限制学习ARP表项的总数目，可以有效地防止ARP表项溢出，保证ARP表项的安全性。
2.ARP速率抑制：设备对单位时间内收到的ARP报文进行数量统计，如果ARP报文的数量超过了配置的阈值，超出部分的ARP报文将被忽略，设备不作任何处理，有效防止ARP表项溢出。
3.ARP表项严格学习：设备仅学习本设备发送的ARP请求报文的应答报文，并不学习其它设备向本设备发送的ARP请求报文和非本端发送的ARP请求报文的应答报文，可以拒绝掉ARP请求报文攻击和非自己发送的ARP请求报文对应的应答报文攻击。
4.静态ARP表：将IP-MAC映射手动设置为静态，防止恶意更新。
5.ARP绑定：在网络设备（如路由器）上启用IP-MAC绑定。
6.网络分段：通过VLAN将设备隔离，减少攻击面。
7.检测工具：使用ARP监控工具（如ARPwatch）检测异常流量。
8.加密通信：使用HTTPS、VPN等方式加密敏感数据的传输。
9.ARP防火墙：配置ARP 防火墙规则，只允许合法的ARP请求和响应通过，并丢弃异常的ARP流量。
10.物理隔离：对关键网络设备进行物理隔离，限制外部设备直接访问它们的ARP通信。