ARP Spoofing

Wat is ARP Spoofing?

ARP spoofing, ook ARP poisoning of ARP cache poisoning genoemd, is een aanval op het lokale netwerk waarbij een aanvaller vervalste ARP-berichten verstuurt, zodat andere apparaten het IP-adres van een legitiem systeem koppelen aan het MAC-adres van de aanvaller. Het verkeer voor dat systeem loopt daarna via de aanvaller, die het kan meelezen, wijzigen, vertragen of blokkeren. De termen worden door elkaar gebruikt: “spoofing” beschrijft het vervalsen van de identiteit, “poisoning” het gevolg, namelijk een vergiftigde ARP-cache. In OT-netwerken is dit een klassieke opstap naar een Man-In-The-Middle-aanval tussen een PLC en een SCADA-systeem.

ARP spoofing werkt alleen binnen hetzelfde broadcastdomein, maar daar is het vrijwel altijd mogelijk: het protocol kent geen enkele vorm van authenticatie.

🧠 Hoe werkt ARP en waarom is het kwetsbaar?

Het Address Resolution Protocol is vastgelegd in RFC 826 uit 1982. Een apparaat dat een IPv4-pakket naar een buur op hetzelfde VLAN wil sturen, moet het bijbehorende MAC-adres kennen. Dat gaat zo:

• ARP-request - het apparaat vraagt via een broadcast: “Wie heeft 192.168.10.20?”
• ARP-reply - de eigenaar antwoordt rechtstreeks met zijn MAC-adres
• ARP-cache - de afzender bewaart de koppeling tijdelijk, zodat niet elk pakket een nieuwe vraag kost

Het ontwerp gaat uit van vertrouwen. Een reply wordt niet op echtheid gecontroleerd, veel besturingssystemen accepteren ook replies waar niet om gevraagd is, en een nieuwere reply overschrijft een oudere. Ook gratuitous ARP, een bericht waarmee een apparaat zelf zijn adres aankondigt (onder meer gebruikt voor adresconflictdetectie volgens RFC 5227), voegt geen authenticatie toe. Precies die eigenschappen maken ARP poisoning mogelijk.

🎯 Hoe verloopt een ARP-spoofingaanval stap voor stap?

1. Toegang tot het segment - de aanvaller heeft een apparaat in hetzelfde broadcastdomein: een gecompromitteerd engineeringstation, een malafide laptop op een vrije switchpoort of een geïnfecteerde HMI.
2. Verkenning - door passief te luisteren of met een ARP-scan brengt de aanvaller in kaart welke IP-adressen bij welke PLC’s, HMI’s en servers horen.
3. Vergiftigen in twee richtingen - de aanvaller vertelt de SCADA-server “het IP van de PLC hoort bij mijn MAC” en de PLC “het IP van de SCADA-server hoort bij mijn MAC”. Omdat cache-items verlopen, herhaalt de aanvaller deze berichten om de paar seconden.
4. Doorsturen - de aanvaller zet IP-forwarding aan, zodat de verbinding blijft werken en niemand iets merkt.
5. Misbruik - verkeer wordt afgeluisterd, aangepast, opnieuw afgespeeld als replay-aanval of juist gedropt.

MITRE ATT&CK for ICS beschrijft dit onder techniek T0830 (Adversary-in-the-Middle) en noemt ARP poisoning als een van de meest gebruikte methoden. De IT-variant staat in de Enterprise-matrix als T1557.002 (ARP Cache Poisoning).

⚠️ Wat zijn de gevolgen in OT-omgevingen?

Veel industriële protocollen, zoals Modbus TCP, hebben geen integriteitscontrole of authenticatie. Wie in het midden zit, kan dus ongemerkt waarden aanpassen.

MITRE noemt als vervolgstappen onder meer het blokkeren of vervalsen van rapportageberichten, het wijzigen van parameters en het versturen van ongeautoriseerde commando’s. Dat raakt direct de integriteit en beschikbaarheid van het proces.

Een belangrijk detail: protocollen die rechtstreeks op laag 2 van Ethernet draaien, zoals GOOSE uit IEC 61850 en het realtimeverkeer van ProfiNET, gebruiken geen ARP voor de aflevering van frames. ARP spoofing richt zich op IP-gebaseerd verkeer: Modbus TCP, EtherNet/IP, OPC UA, S7-communicatie, HMI-clients en historians.

🔍 Hoe herkent u ARP poisoning?

In OT is passieve detectie de veiligste aanpak. Een sensor op een SPAN-poort (Passive Monitoring) ziet ARP-afwijkingen zonder zelf verkeer naar gevoelige besturingen te sturen. Een goede asset-inventaris maakt het verschil: alleen als u weet welk MAC-adres bij welke PLC hoort, valt een afwijking op.

🛡️ Welke maatregelen beschermen tegen ARP spoofing?

Op Cisco-switches beperkt DAI het ARP-verkeer op untrusted poorten standaard tot 15 pakketten per seconde; bij overschrijding gaat de poort in err-disable. Test dat eerst, want sommige apparaten sturen bij het opstarten pieken ARP-verkeer. Volgens het principe van Zero Trust gaat u er bovendien van uit dat intern verkeer niet automatisch te vertrouwen is.

🔧 Hoe pakt u ARP-beveiliging praktisch aan?

1. Inventariseer alle IP-MAC-koppelingen per OT-segment en leg ze vast.
2. Verklein broadcastdomeinen, zodat een besmette laptop maar een paar apparaten kan bereiken.
3. Schakel ongebruikte switchpoorten uit en zet port security aan op de rest.
4. Activeer DAI op managed switches; gebruik ARP-ACL’s voor statisch geadresseerde PLC’s en markeer uplinks als trusted.
5. Zet statische ARP-items op kritieke HMI’s en SCADA-servers waar het beheer dat toelaat.
6. Monitor passief met een OT-IDS en stuur meldingen naar het SIEM.
7. Test in een lab met tools als arpspoof, ettercap of bettercap en controleer of detectie en blokkering werken. Voer zulke tests nooit uit op een productienetwerk.

IEC 62443-3-3 vraagt in de eis voor communicatie-integriteit (SR 3.1) om bescherming tegen manipulatie van verzonden berichten. Laag-2-maatregelen tegen ARP poisoning dragen daaraan bij, maar MITRE wijst er ook op dat berichtauthenticatie (mitigatie M0802) gemanipuleerde berichten zichtbaar maakt, ook als een aanvaller toch in het midden komt.

❓ Veelgestelde vragen

Wat is het verschil tussen ARP spoofing en ARP poisoning?

ARP spoofing en ARP poisoning beschrijven dezelfde aanval. Spoofing verwijst naar het vervalsen van de identiteit in het ARP-bericht, poisoning naar het resultaat: een ARP-cache met een foute IP-MAC-koppeling. De term ARP cache poisoning betekent hetzelfde.

Kan ARP spoofing via internet of over een router heen?

Nee, ARP spoofing werkt alleen binnen één broadcastdomein, dus binnen hetzelfde VLAN of subnet. Een aanvaller moet daarom eerst een apparaat in dat segment controleren. Daarom is ARP spoofing een typische stap na binnendringen, bij laterale beweging of bij een insider-dreiging.

Werkt ARP spoofing ook bij IPv6?

IPv6 gebruikt geen ARP maar Neighbor Discovery (NDP), dat een vergelijkbare zwakte heeft. De tegenhanger van ARP spoofing heet daar neighbor spoofing; switches bestrijden dat met functies als ND Inspection, terwijl RA Guard valse routeraankondigingen blokkeert. In de meeste OT-netwerken speelt IPv4 met ARP nog de hoofdrol.

Helpt een firewall tegen ARP spoofing?

Een firewall tussen zones helpt niet tegen ARP spoofing binnen een zone, omdat ARP-verkeer de firewall niet passeert. Wel beperkt een firewall met kleine zones het aantal apparaten dat een aanvaller via ARP kan bereiken. De echte bescherming komt van switchfuncties als DAI en port security.

Hoe controleert u of uw ARP-cache vergiftigd is?

Bekijk de ARP-cache met arp -a (Windows) of ip neigh (Linux) en zoek naar meerdere IP-adressen met hetzelfde MAC-adres, vooral bij de gateway of een PLC. Vergelijk het MAC-adres met de bekende waarde uit uw asset-inventaris. Structureel werkt arpwatch of een OT-IDS beter dan handmatige controle op ARP poisoning.

Waarom is ARP spoofing in OT gevaarlijker dan in IT?

ARP spoofing is in OT gevaarlijker omdat veel industriële protocollen geen versleuteling of authenticatie hebben en een gemanipuleerde waarde direct een fysiek proces aanstuurt. Bovendien zijn OT-netwerken vaak plat opgebouwd, met oude apparatuur die geen 802.1X of versleuteling ondersteunt. Een aanvaller kan de operator zo een vals procesbeeld tonen.

📌 Samengevat

ARP spoofing, ook ARP poisoning genoemd, misbruikt het ontbreken van authenticatie in ARP om verkeer tussen PLC’s, HMI’s en SCADA-servers via een aanvaller te leiden. Voorkom het met kleine segmenten, Dynamic ARP Inspection, port security en statische koppelingen voor kritieke systemen, en detecteer het met passieve monitoring tegen een bekende asset-baseline.