poradniki

Arpwatch - Monitorowanie aktywności sieci Ethernet w systemie Linux

Jak zainstalować i skonfigurować arpwatch – poradnik dla początkujących

Arpwatch to przydatne narzędzie sieciowe, które monitoruje ruch ARP (Address Resolution Protocol) w sieci. Dzięki niemu możemy wykryć potencjalne ataki typu man-in-the-middle oraz śledzić zmiany w mapowaniu adresów IP na adresy MAC. Jest to szczególnie użyteczne dla administratorów sieci, którzy chcą zapewnić bezpieczeństwo swojej infrastruktury.

Instalacja arpwatch

sudo apt install arpwatch

Konfiguracja arpwatch

Logi zazwyczaj znajdziemy pliku

/var/log/arpwatch

Możesz dostosować zachowanie programu, edytując plik konfiguracyjny. Jego lokalizacja może się różnić w zależności od dystrybucji, ale często znajduje się w /etc/default/arpwatch lub /etc/sysconfig/arpwatch.

W pliku konfiguracycznym możesz zmienić między innymi:

Plik logów: Określa, do jakiego pliku będą zapisywane logi.
Interfejsy: Określa, na których interfejsach sieciowych będzie działać arpwatch.
Poziom szczegółowości logów: Określa, jakie informacje będą zapisane w logach.
Filtry: Możesz skonfigurować filtry, aby ograniczyć ilość generowanych logów.

Uruchomienie

by uruchomić arpwatch, użyj następującej komendy:

sudo systemctl start arpwatch

Aby uruchomić arpwatch automatycznie przy starcie systemu:

sudo systemctl enable arpwatch

Analiza logów

Generowane logi zawierają informacje o zmianach w mapowaniu adresów IP na adresy MAC. Możesz je przeglądać za pomocą dowolnego edytora tekstu lub narzędzia do analizy logów.

Przykładowy wpis w logach:

2024-11-23 12:34:56: IP 192.168.1.100 at 00:11:22:33:44:55 on eth0

Oznacza to, że adres IP 192.168.1.100 został przypisany do adresu MAC 00:11:22:33:44:55 na interfejsie eth0.

Arpwatch to potężne narzędzie do monitorowania ruchu ARP w sieci. Dzięki niemu możesz wykryć potencjalne zagrożenia i zapewnić bezpieczeństwo swojej sieci. Pamiętaj, że analiza logów generowanych przez arpwatch wymaga pewnych umiejętności i wiedzy.