ARP poisoning: difesa con DAI Dynamic ARP Inspection

L'ARP poisoning (o ARP spoofing) è uno degli attacchi più antichi e ancora più diffusi nelle reti aziendali: permette a un'attaccante interno di intercettare il traffico di altri host, fare man-in-the-middle e rubare credenziali. La difesa principale a livello di switch si chiama DAI (Dynamic ARP Inspection). Vediamo come funziona l'attacco e come configurare la difesa.

Come funziona l'attacco

ARP (Address Resolution Protocol) mappa indirizzi IP in indirizzi MAC. Quando un'host vuole parlare con 192.168.1.1, invia broadcast ARP chiedendo chi ha quell'IP. L'host con quell'IP risponde con il proprio MAC. Il problema: ARP non ha autenticazione. Un'attaccante può inviare ARP gratuiti dichiarando che il gateway 192.168.1.1 è al proprio MAC, riempiendo la cache ARP delle vittime. Da quel momento tutto il traffico verso il gateway passa dall'attaccante.

Cos'è DAI

DAI (Dynamic ARP Inspection) è una funzione degli switch managed che valida ogni ARP reply confrontandolo con una tabella affidabile. La tabella è costruita dal DHCP snooping: lo switch osserva i DHCP DORA e annota la coppia IP-MAC. Quando arriva un'ARP reply, DAI verifica che la coppia sia coerente con la tabella; se non lo è, scarta il pacchetto. Risultato: il poisoning è impossibile sui device che hanno IP via DHCP.

Procedura passo-passo

1. Abilita DHCP snooping globalmente: ip dhcp snooping (Cisco) o equivalente Aruba/HPE.
2. Specifica le VLAN da proteggere: ip dhcp snooping vlan 10,20,30.
3. Marca le porte trusted (verso DHCP server, uplink ad altri switch): ip dhcp snooping trust.
4. Tutte le altre porte sono untrusted di default.
5. Abilita DAI per VLAN: ip arp inspection vlan 10,20,30.
6. Per host con IP statico configura ARP ACL: arp access-list STATIC_HOSTS, permit ip host x.x.x.x mac yyy.yyy.yyy.
7. Imposta rate limit ARP per evitare flood: ip arp inspection limit rate 15 burst interval 1.
8. Verifica con show ip arp inspection statistics e show ip dhcp snooping binding.

Errori comuni e come risolverli

• Trust port mancanti: il DHCP server è untrusted e i client non ottengono IP. Marca trust verso DHCP.
• IP statici senza ACL: server con IP fisso vengono bloccati. Aggiungi ARP ACL.
• Rate limit troppo basso: traffico ARP normale supera il limite, porta err-disable. Aumenta rate.
• VLAN non protette: configurazione parziale. Abilita DAI su tutte le VLAN sensibili.
• Switch unmanaged in mezzo: DAI funziona solo se la porta direttamente verso l'host. Switch in cascata vanificano.

Approfondimenti tecnici e scenari avanzati

Nella pratica quotidiana di un sysadmin che lavora con ARP poisoning e difesa con DAI, alcuni aspetti aggiuntivi meritano attenzione particolare. La gestione corretta in ambienti enterprise richiede di considerare l'integrazione con altri sistemi già presenti, la scalabilità futura e gli aspetti operativi day-2 spesso sottovalutati nella fase di design iniziale. Una configurazione che funziona bene per 50 utenti puo creare problemi seri a 200, ed e fondamentale prevedere fin da subito i punti di crescita.

Sul piano della sicurezza, l'attenzione si e spostata negli ultimi anni dal perimetro tradizionale al modello zero trust, dove ogni accesso viene verificato indipendentemente dalla provenienza. Per ARP poisoning e difesa con DAI questo significa applicare principi come minimum privilege, segregation of duties e continuous verification anche dove storicamente si dava fiducia implicita. Audit log, monitoring di anomalie e alert tempestivi sono ormai requisiti di base, non optional. Le normative europee come NIS2 e DORA stanno rendendo questi requisiti vincolanti per categorie sempre più ampie di aziende italiane.

Dal punto di vista operativo, l'automazione e ormai necessaria per gestire infrastrutture moderne con risorse umane limitate. Tool come Ansible, Terraform e script Python permettono di trattare la configurazione di rete come codice, versionata in git con pull request, review e CI/CD. Anche in piccole PMI vale la pena investire in queste pratiche: il tempo recuperato in change ripetitivi compensa rapidamente la curva di apprendimento iniziale, e la qualità aumenta perché le configurazioni sono validate prima del deployment.

Infine, il rapporto con i fornitori e gli operatori di telecomunicazione e importante. Avere chiari i punti di contatto NOC, le procedure di apertura ticket, gli SLA contrattuali e i meccanismi di escalation evita di scoprire questi dettagli durante un'incident critico. Documentare contratti, scadenze, modalita di rinnovo e clausole di uscita in un repository accessibile al team riduce la dipendenza da singole persone e migliora la continuita operativa nel medio periodo.

Domande frequenti

D: DAI è gratuito?
R: Sì, è una feature dei switch managed enterprise (Cisco, Aruba, HPE, Juniper). UniFi lo supporta.

D: Funziona su WiFi?
R: Indirettamente: l'AP è connesso a uno switch dove DAI è attivo. WiFi enterprise ha protezioni proprie (PMF).

D: ARP poisoning è ancora attuale?
R: Sì, strumenti come Ettercap e Bettercap sono attivamente sviluppati.

Hai bisogno di aiuto?

Se vuoi affidare la gestione rete aziendale al team di G Tech Group, scrivici tramite il modulo di contatto.