Die ARP-Daemon-Komponente hört den gesamten Netzwerkverkehr an einer oder mehreren Schnittstellen ab und bietet folgende Funktionalität
•Sammelt Statistiken über MAC-Adressen, die im Netzwerk verwendet werden
•Gibt Warnmeldungen aus, wenn neue MAC-Adressen gefunden werden
•Gibt Warnmeldungen aus, wenn die Zuordnungen von IP- und MAC-Adressen geändert werden
Der ARP-Daemon durchläuft eine anfängliche Lernperiode von 2 Wochen, nach der er davon ausgeht, dass er über eine brauchbare Grundlinie aller Netzwerkgeräte im Netzwerk verfügt und bei neu gefundenen MAC-Adressen einen Alarm auslöst (falls aktiviert).
|
Der ARP-Daemon benötigt einen WinPcap-kompatiblen Treiber, um den Netzwerkverkehr zu erfassen. Npcap ist derzeit der Treiber der Wahl, da sich der ursprüngliche WinPcap-Treiber nicht mehr in aktiver Entwicklung befindet.
WICHTIG: Stellen Sie bei der Installation sicher, dass "Install Npcap in WinPcap API-compatible Mode" markiert ist. |
Merkmale
Statistik
Bietet Echtzeitinformationen über die Verwendung und Änderungen von MAC-Adressen.
•Wann wurde eine MAC-Adresse zum ersten und letzten Mal im Netzwerk gesehen?
•Mit welcher IP-Adresse ist eine MAC-Adresse verbunden?
•Mit mit mit Hostname ist eine MAC-Adresse verbunden?
•Mit welchem Anbieter ist eine MAC-Adresse verbunden?
Warnungen
Der ARP-Dämon liefert nicht nur statistische Informationen über das Netzwerk, sondern gibt auch unter folgenden Umständen Warnungen aus
• Eine neue MAC-Adresse wurde außerhalb der anfänglichen Lernperiode entdeckt
• Eine MAC-Adresse registriert sich selbst mit einer IP-Adresse, die bereits mit einer anderen MAC-Adresse registriert ist (möglicher ARP-Spoof-Versuch)
Setup
Allgemein
Damit die ARP-Daemon-Komponente ausgeführt werden kann, muss entweder "Neue MAC-Adressen erkennen" oder "Spoof-Versuche erkennen" geprüft werden.
Netzwerkschnittstellen
Konfigurieren Sie, auf welcher(n) Schnittstelle(n) der ARP-Dämon auf Netzwerkverkehr lauschen soll, indem Sie eine oder mehrere MAC-Adressen angeben. Obwohl dies nicht unbedingt erforderlich ist, werden die besten Ergebnisse erzielt, wenn die Schnittstelle(n), die der ARP-Dämon abhört, mit einem Switch-Port verbunden ist (sind), der den gesamten Netzwerkverkehr des Switches empfängt. Ein Port auf dem Switch, der den gesamten Netzwerkverkehr empfängt (im Gegensatz zur Standardeinstellung, bei der er nur Verkehr empfängt, der an die registrierten MAC-Adressen gerichtet ist), wird normalerweise als Monitor-Port bezeichnet.
