IP 位址盜用是區域網路常見安全威脅，攻擊者竊用合法 IP/MAC 繞過存取控制、攔截流量、隱藏身分。本文深入剖析三大盜用手法原理，並提供網管實務防禦策略。
三大 IP 盜用手法原理
1. 靜態修改 IP 位址
- 手法：手動將網卡 IPv4 設定為未授權 IP（如管理伺服器 IP）。
- 成因：TCP/IP 協定堆疊允許使用者任意設定 IP，無內建驗證機制。
- 影響：IP 衝突導致合法主機斷網、ARP 快取汙染、繞過 IP 基礎存取控制清單 (ACL)。
- 防禦：部署 DHCP 伺服器 + DHCP Snooping（交換器功能），僅允許 DHCP 分配的 IP 通訊；啟用 Dynamic ARP Inspection (DAI) 驗證 ARP 合法性。
2. 成對修改 IP-MAC 位址 (MAC Spoofing)
- 手法：同時修改網卡 IP 與 MAC 位址為目標主機的值。Windows：裝置管理員 → 網卡屬性 → 進階 → Network Address。Linux：
ip link set dev eth0 address XX:XX:XX:XX:XX:XX。
- 繞過靜態綁定：傳統「IP-MAC 靜態綁定/靜態 ARP」防禦失效，因攻擊者同時偽造兩者。
- 防禦：
- 802.1X 連接埠認證：交換器埠級認證，未通過 RADIUS 驗證不開放流量。
- Port Security (埠安全性)：限制每埠學習 MAC 數量、鎖定首個學習 MAC、違規關閉埠。
- DAI + DHCP Snooping 聯動：交換器建立合法 IP-MAC-埠 對應表，僅轉發符合項目的封包。
3. 動態修改 IP/MAC (封包層級欺騙)
- 手法：使用原始 Socket (Raw Socket) / libpcap / Scapy 等程式庫，手工構造 Ethernet + IP + TCP/UDP 封包，任意填寫來源 IP/MAC，直接發送至網路。
- 特徵：繞過作業系統協定堆疊，不受網卡驅動/設定限制，需 Root/Administrator 權限。
- 防禦：
- 入侵偵測系統 (IDS/IPS)：偵測異常封包特徵（如 TTL 異常、TCP 旗標異常、IP-MAC 不符合 DHCP Snooping 資料庫）。
- 網路分段與微隔離：VLAN 劃分、防火牆區域限制橫向移動。
- 零信任架構：不信任網路層身分，改以裝置憑證、使用者身分、應用層 Token 驗證。
綜合防禦部署清單 (針對中小企業/學校網管)
| 層級 | 措施 | 設備/工具 | 優先度 |
|---|
| 接入層 (交換器) | Port Security (限制 MAC 數、靜態綁定、違規 Shutdown) | Managed Switch (Cisco/H3C/HP/Ubiquiti) | ⭐⭐⭐ |
| 接入層 | DHCP Snooping + DAI (建立合法 IP-MAC-VLAN-埠 資料庫) | Managed Switch | ⭐⭐⭐ |
| 接入層 | 802.1X (EAP-TLS/PEAP) + RADIUS (NPS/FreeRADIUS) | Switch + RADIUS Server + 憑證/帳號 | ⭐⭐ |
| 網路層 | ARP 監控/防禦軟體 (如 AntiARPSniffer、NetCut 反制) | 管理主機/伺服器 | ⭐⭐ |
| 主機層 | 停用 Gratuitous ARP 發送、啟用防火牆阻擋 ARP 回應偽造 | Windows/Linux 防火牆 | ⭐ |
| 監控層 | 流量鏡像至 IDS (Suricata/Zeek) 分析異常 ARP/IP 行為 | 核心交換器 + 分析伺服器 | ⭐⭐ |
事件回應流程
- 偵測到 IP 衝突/斷網報案 → 管理主機執行
arp -a 記錄衝突 IP 對應的 MAC。
- 登入核心交換器查詢 MAC 地址表：
show mac address-table address XXXX.XXXX.XXXX 定位實體埠。
- 追蹤至接入層交換器，鎖定具體牆面資訊插座/無線 AP。
- 隔離該埠 (Port Security Shutdown / VLAN Quarantine)，通知使用者/資安單位。
- 事後分析：檢查該主機是否遭植入惡意程式、是否為內部人員惡意操作。
💡 核心觀念：IP/MAC 屬於第二層/第三層邏輯位址，本質上不可信。真正的身分驗證必須在更高層（802.1X、憑證、零信任）或透過交換器硬體強制綁定物理埠。單純依賴 IP/MAC 存取控制在現代網路環境已不足夠。
