Dynamic ARP Inspection : protection réseau complète

Dynamic ARP Inspection (DAI) : définition et enjeux pour la sécurité réseau

La Dynamic ARP Inspection est une fonction de sécurité des commutateurs. Elle contrôle les paquets ARP pour prévenir l’empoisonnement des tables ARP. L’objectif : empêcher qu’un poste malveillant se fasse passer pour une passerelle ou un serveur.

Dans une petite entreprise fictive nommée AtlasSec, le réseau VLAN 100 héberge des postes et des serveurs. Un technicien découvre que plusieurs stations affichent la même adresse MAC pour la passerelle. Cette situation illustre une attaque ARP spoofing.

Qu’est-ce qui menace ton LAN ?

Le protocole ARP lie une adresse IPv4 à une adresse MAC. C’est simple et sans authentification. Un appareil peut envoyer une annonce falsifiée en broadcast. Les hôtes croient alors à une nouvelle correspondance IP→MAC.

Le pirate peut rediriger le trafic vers sa machine. Il peut consulter ou modifier les paquets. C’est la base du Man-in-the-Middle. Dans l’exemple d’AtlasSec, le pirate capture des identifiants et modifie des réponses HTTP.

Pourquoi la DAI entre en jeu

La DAI vérifie que les paires IP/MAC des paquets ARP correspondent à une base fiable. Cette base provient souvent du DHCP snooping. Le commutateur compare chaque ARP à la table de bindings. En cas d’écart, le paquet est bloqué.

Cette vérification bloque l’injection de FAUX ARP. Elle réduit le risque d’écoute clandestine. Elle facilite aussi la traçabilité des hôtes compromis.

Cas pratique : attaque sur le VLAN 100

Sur le réseau d’AtlasSec, le pirate envoie des broadcasts ARP indiquant être la passerelle. Les postes mettent à jour leurs tables ARP. Le trafic traverse désormais la machine du pirate.

Avec la DAI active et le DHCP snooping configuré, les commutateurs repèrent une paire IP/MAC inconnue. Ils loggent l’événement puis jettent la trame. Le pirate perd l’accès au trafic intercepté.

Conséquences opérationnelles

La DAI empêche des pertes de confidentialité. Elle limite aussi des interruptions de service induites par de mauvaises tables ARP. La fonction induit une légère charge processeur sur le switch. Il faut mesurer cet impact avant déploiement à grande échelle.

La DAI n’est pas une solution isolée. Elle agit bien avec d'autres contrôles comme le port security. Elle demande une préparation de la topologie réseau et des listes d’équipements de confiance.

Key insight : la DAI transforme un protocole aveuglément confiant en un mécanisme vérifié, réduisant nettement les risques d’usurpation ARP.

Fonctionnement technique de la Dynamic ARP Inspection : détails et mécanismes

La DAI repose sur des contrôles en ligne des trames ARP. Le commutateur compare chaque paquet ARP à une table de références. Cette table est le résultat du DHCP snooping ou d’ACLs ARP statiques.

Concrètement, un paquet ARP entrant déclenche une vérification. Le switch recherche la paire IP/MAC dans sa base. Si la paire existe, le paquet passe. Sinon, il est journalisé et rejeté.

La table de binding DHCP : cœur de la validation

Le DHCP snooping construit une table de bindings contenant les adresses IP, MAC, VLAN et port. Cette table sert de référence pour la DAI. Les appareils avec IP statique exigent des exceptions ou des ACLs ARP.

Sans DHCP snooping, la DAI perd sa source d’informations fiable. Il devient alors nécessaire d’ajouter manuellement des règles.

Ports de confiance et non confiance

Les ports connectés aux serveurs DHCP ou aux routeurs sont marqués trusted. Les ports clients restent untrusted. Seuls les paquets ARP venant des ports trusted peuvent être ignorés par la DAI.

Marquer un port trusted sur un accès utilisateur est dangereux. Un port mal configuré crée une faille qui annule la protection.

Actions sur les paquets suspects

Sur détection d’une anomalie, le commutateur peut :

• 🛑 Jeter la trame (discard) pour empêcher la propagation.
• 📋 Créer un log pour audit et corrélation SIEM.
• 🔍 Intercepter pour analyse locale avant rejet.

Ces actions sont configurables selon la politique de sécurité du réseau.

Table récapitulative des comportements

État ❗	Source 🖧	Action 🛠️
Validé ✅	Port trusted ou binding reconnu	Forward
Incohérent ⚠️	Paire IP/MAC absente	Log + Discard
Suspect 🔎	ARP gratuit non match	Intercepter + analyser

Cette table simplifie la communication avec les équipes réseau et sécurité. Elle sert aussi de référence pour automatiser les réponses via un SIEM.

Key insight : la DAI base sa fiabilité sur la qualité de la table de bindings et sur une séparation claire entre ports trusted et untrusted.

Déploiement pratique de la Dynamic ARP Inspection sur switches manageables

La mise en œuvre commence par activer le DHCP snooping. Ensuite, la DAI est activée sur les VLANs concernés. Les étapes doivent être planifiées pendant une fenêtre de maintenance.

Dans l’entreprise pilote Atelier Nova, l’équipe a d’abord catalogué les équipements à adresse statique. Ces appareils ont reçu des exceptions via une ACL ARP dédiée.

Étapes clés pour déployer la DAI

• 🔧 Activer le DHCP snooping sur les VLANs gérés.
• 🔒 Définir les ports trusted (uplinks, DHCP servers).
• 📝 Créer des ACL ARP pour les IP statiques.
• 🧪 Tester en lab avant production.
• 📈 Surveiller les logs après activation.

Chaque étape inclut une validation. Par exemple, la vérification du DHCP snooping se fait par inspection de la table de bindings. Les tests incluent des tentatives d’usurpation ARP contrôlées.

Exemple de configuration et vérification

Sur un switch, on active la DAI pour les VLANs 1 à 100. Puis on marque les ports connectés aux routeurs comme trusted. Enfin, on charge une ACL ARP pour les imprimantes et serveurs en IP statique.

Après déploiement, les commandes de vérification listent les entrées du DHCP snooping. Elles affichent aussi les paquets ARP rejetés avec raison et port.

Pièges à éviter

Ne pas inventorier les équipements statiques. Omettre de marquer un uplink trusted. Appliquer la DAI sans tests peut causer des interruptions. Dans Atelier Nova, une imprimante critique a été coupée faute d’ACL ARP.

La résolution a consisté à ajouter une règle pour l’adresse MAC de l’imprimante. La surveillance a montré la normalisation du flux ARP ensuite.

Key insight : une préparation précise des bindings et des ports trusted est la clé d’un déploiement DAI stable et efficace.

Intégration de la DAI avec IP Source Guard, STP et autres contrôles

La DAI gagne en efficacité lorsqu’elle s’intègre à d’autres protections. L’IP Source Guard bloque les paquets TCP/UDP si l’association IP/MAC est invalide. Ensemble, DAI et IPSG réduisent les vecteurs d’attaque.

Le Spanning Tree Protocol (STP) évite les boucles. Le Virtual Trunk Protocol (VTP) gère les VLANs. Ces protocoles agissent sur d’autres couches mais impactent la topologie où la DAI opère.

Combinaison DAI + IP Source Guard

La DAI vérifie les ARP. L’IPSG filtre le trafic IP. Si un hôte tente d’émettre avec une IP qui ne lui appartient pas, l’IPSG bloque le flux. La logique : contrôler ARP ET data plane.

Dans un cas réel, un poste compromis envoyait des ARP corrects mais utilisait une IP volée. Seule la combinaison DAI+IPSG a stoppé l’attaque.

Surveillance et corrélation avec SIEM

Les logs DAI alimentent le SIEM pour corrélation d’incidents. Une alerte DAI combinée à une montée de trafic sur un port active des procédures d’investigation. Les analystes peuvent isoler un port malveillant rapidement.

Il est utile d’archiver les logs pour l’audit et pour des enquêtes post-incident.

Exemple d’orchestration

Dans la société AtlasSec, une règle automatique dans le SIEM isolait un port après trois événements DAI en dix minutes. L’équipe reçoit une notification et vérifie l’appareil. L’automatisation réduit le délai de réaction.

Key insight : la DAI devient plus puissante quand elle s’inscrit dans une stratégie de défense multi-couches et d’automatisation des réponses.

Limites, erreurs fréquentes et bonnes pratiques pour maintenir la DAI

La DAI n’est pas infaillible. Elle dépend d’une table de bindings complète. Les appareils hors DHCP posent problème. Il faut prévoir des exceptions et des procédures claires pour les gérer.

Un autre point : la performance. Sur des switchs plus anciens, l’inspection ARP peut affecter le débit. Mesurer l’impact avant déploiement est indispensable.

Erreurs courantes

• ⚠️ Marquer un port utilisateur comme trusted par erreur.
• 🔁 Oublier d’ajouter des IP statiques à une ACL ARP.
• 🕒 Activer la DAI en heures de production sans tests préalables.

Chaque erreur a des conséquences concrètes. Une imprimante ou un serveur inaccessible bloque des workflows. La bonne pratique : tester en environnement contrôlé.

Bonnes pratiques opérationnelles

• 🛠️ Maintenir la table DHCP snooping à jour.
• 📣 Documenter les ports trusted et les exceptions.
• 📊 Mesurer l’impact performance avant et après activation.
• 🔁 Prévoir des procédures de rollback rapides.

Il est aussi recommandé d’intégrer la surveillance DAI dans le processus d’exploitation. Des tableaux de bord montrent le nombre d’événements et les tendances.

Test et validation

Les tests incluent des tentatives d’usurpation contrôlées. Ils confirment que les règles bloquent l’attaque sans casser les services légitimes. Les tests doivent couvrir les VLANs et équipements non standard.

Enfin, il faut mettre à jour la politique lors de l’évolution du parc. L’ajout d’imprimantes ou d’APs fixe demande une réévaluation des ACLs ARP.

Key insight : maintenir la DAI opérationnelle exige une discipline d’inventaire et des cycles réguliers de tests et de mise à jour.