|
L'analyse ARP est une technique de reconnaissance de réseau utilisée pour découvrir des appareils sur un réseau local (LAN). Il fonctionne en envoyant des requêtes ARP (Address Resolution Protocol) à chaque adresse IP d'une plage spécifiée ou à une liste d'adresses IP cibles. Les réponses révèlent quelles adresses IP sont associées à des adresses MAC actives, identifiant ainsi les appareils connectés au réseau.
Voici un aperçu de son fonctionnement :
* Protocole ARP : ARP est un protocole utilisé par les appareils sur un réseau local pour trouver l'adresse MAC associée à une adresse IP connue. Lorsqu'un appareil souhaite envoyer des données à un autre appareil sur le même réseau local, il a besoin de l'adresse MAC du destinataire. Il utilise ARP pour demander ces informations.
* Le scan : Une analyse ARP envoie ces requêtes ARP, non pas pour trouver une adresse MAC spécifique, mais pour voir qui répond. Chaque réponse fournit une adresse IP et son adresse MAC correspondante.
* Identification des appareils : En examinant les adresses MAC reçues, un attaquant peut potentiellement identifier le type de périphérique (par exemple, un ordinateur Windows, un serveur Linux, une imprimante) sur la base des préfixes d'adresse MAC attribués par les fabricants (bien que cela devienne moins fiable à mesure que les fabricants modifient leurs schémas d'attribution d'adresses MAC).
* Types d'analyses ARP : Il existe différents types d'analyses ARP, qui varient dans la manière dont elles envoient les requêtes :
* ARP gratuit : Cela envoie une requête ARP annonçant la combinaison d'adresse IP et d'adresse MAC d'un appareil. Il est utilisé pour vérifier si un autre appareil possède déjà la même adresse IP. Bien qu'il ne s'agisse pas strictement d'une analyse, elle peut révéler des informations sur le schéma d'adressage IP du réseau.
* Analyse ARP ciblée : Envoie des requêtes ARP à des adresses IP spécifiques.
* Analyse ARP diffusée : Envoie des requêtes ARP à l'adresse de diffusion (généralement « FF:FF:FF:FF:FF:FF »), atteignant tous les appareils du LAN. Il s’agit du type d’analyse ARP le plus courant.
Pourquoi l'analyse ARP est-elle utilisée ?
L'analyse ARP est utilisée à la fois à des fins légitimes et malveillantes :
* Administration du réseau : Les administrateurs réseau l'utilisent pour cartographier leur réseau, identifier les appareils et résoudre les problèmes de connectivité.
* Audit de sécurité : Les professionnels de la sécurité l'utilisent pour identifier les appareils non autorisés sur le réseau.
* Activité malveillante : Les pirates peuvent utiliser l'analyse ARP pour découvrir des cibles potentielles et identifier les appareils vulnérables avant de lancer des attaques telles que l'empoisonnement ARP.
Limites :
* Nécessite un accès de couche 2 : Les analyses ARP fonctionnent uniquement au sein du même réseau de couche 2 (LAN).
* Peut être détecté : Les outils de surveillance du réseau peuvent détecter les analyses ARP, déclenchant ainsi des alarmes.
* Pas toujours précis : Les appareils peuvent ne pas répondre aux requêtes ARP, ce qui entraîne des résultats incomplets.
En résumé, l'analyse ARP est un outil puissant pour la découverte du réseau, mais son potentiel d'utilisation abusive signifie qu'il est crucial de mettre en œuvre des mesures de sécurité réseau appropriées.
|
