「データセンタ内のARP spoofing攻撃で通信改ざんが発生、対策の定石は?」記事へのコメント

sakura 使ってます

[elderwand (34630)]

同じ sakura の、クラスＢ的に同じネットワークからの ssh brute force が多いです。それなりに防衛してます。

今回のニュースで、自分のホストだけ防衛していてもダメかもしれないと思い、こんなスクリプトを cron で動かそうかと考えました。

#!/bin/sh
cd $HOME/sec
lastarp=`/bin/cat lastarp`
router=`/bin/netstat -r | /bin/awk '$1=="default" {print $2}'`
newarp=`/usr/sbin/arp ${router}`
if [ "X${lastarp}" != "X${newarp}" ] ; then
    echo "Warning: arp table changed ... "
    echo ">> ${newarp}"
   

Re:

[nakack (2942)]

arpwatch がいいんじゃないの?

Re:sakura 使ってます

[elderwand (34630)]

SW HUB が使われている（であろう）この頃では、ネットワークにつながれたマシンの MAC アドレスを収集するには、こちらから積極的に ping をかけるとかしないといけないんですが、アパート間借の身としては、隣近所、用もないのにノックしてまわるのは気が引けます。

なので、default router だけが分かればよしとします。