Aquí hay un desglose de cómo funciona:
* Protocolo ARP: ARP es un protocolo utilizado por los dispositivos en una LAN para encontrar la dirección MAC asociada con una dirección IP conocida. Cuando un dispositivo quiere enviar datos a otro dispositivo en la misma LAN, necesita la dirección MAC del destinatario. Utiliza ARP para solicitar esta información.
* El escaneo: Un escaneo ARP envía estas solicitudes ARP, no para encontrar una dirección MAC específica, sino para ver quién responde. Cada respuesta proporciona una dirección IP y su dirección MAC correspondiente.
* Dispositivos de identificación: Al examinar las direcciones MAC recibidas, un atacante puede identificar potencialmente el tipo de dispositivo (por ejemplo, la computadora de Windows, el servidor Linux, la impresora) en función de los prefijos de dirección MAC asignados por los fabricantes (aunque esto se está volviendo menos confiable a medida que los fabricantes cambian sus esquemas de asignación de direcciones MAC).
* Tipos de escaneos ARP: Existen diferentes tipos de escaneos ARP, que varían en cómo envían las solicitudes:
* arp gratuito: Esto envía una solicitud ARP que anuncia la dirección IP propia de un dispositivo y la combinación de direcciones MAC. Se usa para verificar si otro dispositivo ya tiene la misma dirección IP. Si bien no es estrictamente un escaneo, puede revelar información sobre el esquema de direccionamiento IP de la red.
* escaneo ARP dirigido: Envía solicitudes ARP a direcciones IP específicas.
* escaneo ARP transmitido: Envía solicitudes ARP a la dirección de transmisión (generalmente `ff:ff:ff:ff:ff:ff`), alcanzando todos los dispositivos en la LAN. Este es el tipo más común de exploración ARP.
¿Por qué se usa el escaneo ARP?
El escaneo ARP se usa para fines legítimos y maliciosos:
* Administración de red: Los administradores de la red lo usan para mapear su red, identificar dispositivos y solucionar problemas de conectividad.
* Auditoría de seguridad: Los profesionales de la seguridad lo usan para identificar dispositivos no autorizados en la red.
* Actividad maliciosa: Los piratas informáticos pueden usar el escaneo ARP para descubrir objetivos potenciales e identificar dispositivos vulnerables antes de lanzar ataques como el envenenamiento por ARP.
Limitaciones:
* requiere acceso de la capa 2: Los escaneos ARP solo funcionan dentro de la misma red de capa 2 (LAN).
* se puede detectar: Las herramientas de monitoreo de red pueden detectar escaneos ARP, aumentando las alarmas.
* No siempre es exacto: Es posible que los dispositivos no respondan a las solicitudes ARP, lo que lleva a resultados incompletos.
En resumen, ARP Scanning es una herramienta poderosa para el descubrimiento de redes, pero su potencial de uso indebido significa que es crucial implementar medidas de seguridad de red apropiadas.