Yerel ağlar (LAN), cihazların birbirleriyle hızlı ve verimli iletişim kurabilmesi için tasarlanmıştır. Ancak bu iletişimi mümkün kılan bazı temel protokoller, tasarlandıkları dönemde güvenlikten çok işlevsellik düşünülerek geliştirilmiştir. Bu protokollerden biri de ARP (Address Resolution Protocol) protokolüdür.

ARP, bir cihazın ağ üzerindeki başka bir cihazın IP adresine karşılık gelen MAC adresini öğrenmesini sağlar. İnternet erişimi, yazıcı kullanımı, dosya paylaşımı ve ağ iletişiminin büyük kısmı bu mekanizma sayesinde gerçekleşir.

Fakat ARP protokolünün önemli bir zayıflığı vardır: doğrulama (authentication) mekanizması bulunmaz. Bu durum, saldırganların ağdaki cihazları yanıltmasına ve trafiği farklı bir yöne yönlendirmesine imkân tanıyabilir. Bu saldırı tekniği ARP Önbellek Zehirlenmesi (ARP Cache Poisoning) olarak bilinir.

ARP Protokolü Nedir?

ARP (Address Resolution Protocol – Adres Çözümleme Protokolü), yerel ağlarda IP adreslerinin fiziksel ağ adreslerine yani MAC adreslerine dönüştürülmesini sağlayan protokoldür.

Bir bilgisayar, ağ üzerindeki başka bir cihaza veri göndermek istediğinde yalnızca IP adresini bilmesi yeterli değildir. Veri paketlerinin doğru ağ kartına ulaşabilmesi için hedef cihazın MAC adresi de gerekir.

Örnek:

Bilgi	Değer
IP adresi	192.168.1.10
MAC adresi	00:1A:2B:3C:4D:5E

IP adresi mantıksal adresleme sağlar.

MAC adresi ise fiziksel teslimatı sağlar.

ARP bu iki dünya arasında köprü kurar.

MAC Adresi ve IP Adresi İlişkisi

ARP’nin anlaşılabilmesi için önce IP ve MAC kavramlarını ayırmak gerekir.

IP Adresi

IP adresi ağ üzerindeki mantıksal kimliktir.

Örnek:

192.168.1.15
10.0.0.25

IP adresleri değişebilir.

Bir cihaz farklı ağa bağlandığında yeni IP alabilir.

MAC Adresi

MAC adresi ağ kartının fiziksel kimliğidir.

Örnek:

3C:52:82:AA:10:11
00:0C:29:8D:44:55

Genellikle üretici tarafından atanır.

Switch’ler veri yönlendirmesini MAC adresleri üzerinden yapar.

ARP Nasıl Çalışır?

Aynı ağdaki iki cihaz arasında veri iletimini düşünelim.

Senaryo:

Cihaz	IP
Kullanıcı PC	192.168.1.20
Router	192.168.1.1

Kullanıcı internet erişimi istediğinde router’ın IP adresini bilir.

Ancak router’ın MAC adresini bilmeyebilir.

Bu durumda ARP devreye girer.

Adım 1 — ARP Request

Bilgisayar ağa şu soruyu yayınlar:

192.168.1.1 kimde?
MAC adresini bildir.

Bu istek broadcast olarak gönderilir.

Yani ağdaki herkes duyar.

Adım 2 — ARP Reply

Router cevap verir:

192.168.1.1 benim.
MAC adresim AA:BB:CC:DD:EE:FF

Bu cevap unicast döner.

Adım 3 — ARP Cache

Bilgisayar bu bilgiyi geçici hafızaya kaydeder.

Bu kayıt:

ARP Cache (ARP önbelleği) olarak adlandırılır.

Böylece her pakette yeniden sorgu yapılmaz.

Örnek ARP tablosu:

IP	MAC
192.168.1.1	AA:BB:CC:DD:EE:FF
192.168.1.15	00:11:22:33:44:55

ARP Cache Neden Kullanılır?

ARP sorgusu sürekli yapılırsa ağ yükü artar.

Bu nedenle cihazlar sonuçları kısa süreli saklar.

Avantajları:

Daha hızlı iletişim
Daha az broadcast trafik
Daha düşük gecikme
Ağ verimliliği

Fakat aynı mekanizma saldırılara da zemin hazırlar.

Çünkü cihazlar gelen ARP cevaplarını çoğu zaman sorgulamadan kabul eder.

Bu tasarım kararı, ARP cache poisoning’in temel nedenidir.

ARP’nin Tasarımsal Güvenlik Zayıflığı

ARP geliştirildiğinde modern tehdit modeli yoktu.

Protokolde şu güvenlik mekanizmaları bulunmaz:

Kimlik doğrulama
Paket imzası
Kaynak doğrulama
Güven ilişkisi kontrolü

Bu nedenle ağdaki herhangi bir cihaz:

Ben router’ım.

veya

Bu IP bana ait.

şeklinde sahte bilgi gönderebilir.

Birçok işletim sistemi gelen ARP yanıtını cache içine kaydedebilir.

İşte bu davranış:

ARP önbellek zehirlenmesi saldırısının temelini oluşturur.

ARP Cache Poisoning Nedir?

ARP Cache Poisoning:

Ağdaki cihazların ARP tablolarına yanlış IP–MAC eşleşmeleri yerleştirilmesi işlemidir.

Amaç genellikle:

Trafiği izlemek
Trafiği yönlendirmek
Ağ iletişimini bozmak
Ortadaki adam (MITM) konumu elde etmek

şeklindedir.

Basit düşünelim.

Normalde:

IP	MAC
Router	Gerçek MAC

Sahte durumda:

IP	MAC
Router	Saldırgan MAC

Artık kullanıcı trafiği router yerine saldırgan sisteme gitmeye başlayabilir.

ARP Önbellek Zehirlenmesi (ARP Cache Poisoning) Nedir?

Çalışma Mantığı, Riskleri, Tespit ve Savunma Yöntemleri

Bölüm 2 — Teknik Çalışma Mantığı ve Ağ Üzerindeki Etkiler

İlk bölümde ARP protokolünün nasıl çalıştığını ve neden güvenlik zafiyetine açık olduğunu gördük. Şimdi ARP önbellek zehirlenmesinin ağ üzerinde nasıl gerçekleştiğini, paket akışını ve neden çoğu zaman Ortadaki Adam (Man-in-the-Middle – MITM) saldırılarıyla ilişkilendirildiğini inceleyelim.

ARP Zehirlenmesinin Temel Mantığı

ARP cache poisoning’in özünde basit bir fikir vardır:

Ağdaki cihazlara yanlış IP–MAC eşleşmesi kabul ettirmek.

ARP protokolü, gelen cevapların doğruluğunu çoğu zaman denetlemez.

Bu nedenle bir cihaz:

“Router IP adresi aslında benim MAC adresime ait.”

şeklinde sahte ARP yanıtları gönderdiğinde bazı sistemler bunu geçerli kabul edebilir.

Sonuç:

ARP tabloları hatalı bilgilerle güncellenir.

Bu süreç “zehirlenme” olarak adlandırılır.

Normal Ağ Trafiği Nasıl İlerler?

Önce normal iletişimi görelim.

Senaryo:

Cihaz	IP
Kullanıcı	192.168.1.20
Router	192.168.1.1

Normal durumda:

Kullanıcı router’ın MAC adresini öğrenir.
ARP cache’e kaydeder.
Paketler doğrudan router’a gönderilir.
Router internet erişimini sağlar.

Akış:

Kullanıcı  →  Router  →  İnternet

Bu modelde araya başka cihaz girmez.

Zehirlenmiş Ağ Senaryosu

Şimdi aynı ağda üçüncü bir cihaz olduğunu düşünelim.

Cihaz	IP
Kullanıcı	192.168.1.20
Router	192.168.1.1
Yetkisiz Sistem	192.168.1.50

Yanlış ARP eşleşmesi oluştuğunda kullanıcı şunu düşünebilir:

IP	MAC
192.168.1.1	Yetkisiz sistem MAC’i

Artık trafik önce bu sisteme yönlenebilir.

Akış:

Kullanıcı → Aradaki Sistem → Router → İnternet

Kullanıcı çoğu zaman bunu fark etmez.

İnternet erişimi devam ettiği için bağlantının normal olduğu sanılabilir.

Neden “Poisoning” Denir?

“Poisoning” yani zehirleme terimi, önbelleğin yanlış verilerle kirletilmesinden gelir.

ARP cache normalde:

IP → Gerçek MAC

eşleşmesini tutar.

Zehirlenmiş durumda:

IP → Yanlış MAC

oluşur.

Sistem bu veriyi doğru kabul ettiğinde yönlendirme mantığı bozulur.

Ortadaki Adam (MITM) İlişkisi

ARP poisoning çoğu zaman MITM (Man-in-the-Middle) senaryolarıyla anılır.

MITM:

İki taraf arasındaki iletişime üçüncü bir noktanın dâhil olmasıdır.

Normal iletişim:

A → B

MITM:

A → X → B

Burada X aradaki sistemdir.

ARP cache poisoning, yerel ağlarda bu konumu elde etmek için kullanılan yöntemlerden biri olabilir.

Trafik Neden Kesilmeyebilir?

İlginç bir nokta vardır:

Bazı durumlarda kullanıcı internetinin tamamen kopmaması mümkündür.

Sebep:

Aradaki sistem trafiği yalnızca alıp durdurmak yerine yönlendirmeye devam edebilir.

Bu durumda:

Bağlantı sürer
Kullanıcı fark etmeyebilir
Ağ performansı biraz değişebilir
Gecikme artabilir

Bu nedenle yalnızca bağlantı kopmasına bakmak yeterli değildir.

Ağ Üzerindeki Olası Etkiler

ARP zehirlenmesinin etkileri senaryoya göre değişir.

Genel sonuçlar şunlar olabilir:

1. Trafik Manipülasyonu

Yanlış yönlendirme:

Paket kaybı
Gecikme
Kararsız bağlantı
Yavaş internet

gibi sonuçlar doğurabilir.

2. Hizmet Kesintisi (DoS Benzeri Durum)

Bazı senaryolarda yanlış ARP kayıtları:

Gateway erişimini bozabilir
Ağ segmentini etkileyebilir
İletişimi kesintiye uğratabilir

Özellikle küçük ofis ağlarında etkisi daha belirgin olabilir.

3. Ağ Güveninin Bozulması

Yerel ağlar çoğu zaman güvenilir kabul edilir.

Fakat ARP poisoning şunu gösterir:

Aynı ağda bulunmak her zaman güvenilir olmak anlamına gelmez.

Bu nedenle kurumsal ağlarda “iç tehdit” konusu önemlidir.

Switch Kullanılıyor Olması Koruma Sağlar mı?

Sık sorulan sorulardan biri budur.

“Switch varsa neden bu sorun oluşuyor?”

Switch:

Broadcast trafiği
MAC tablosu
Port yönlendirmesi

ile çalışır.

Fakat switch tek başına ARP doğrulaması yapmaz.

Yani:

Switch kullanmak
Otomatik olarak ARP güvenliği sağlamak

anlamına gelmez.

Bu yüzden ek güvenlik mekanizmaları gerekir.

Kablosuz Ağlar Daha mı Riskli?

Kablosuz ağlarda risk daha görünür olabilir.

Özellikle:

Açık Wi-Fi
Ortak ağlar
Misafir ağları
Güvenlik segmentasyonu olmayan ortamlar

daha hassas olabilir.

Sebep:

Aynı yayın alanındaki cihazların birbirleriyle ARP etkileşimine girebilmesidir.

Ancak bu, yalnızca Wi-Fi’ye özgü bir problem değildir.

Kablolu LAN’larda da görülebilir.

ARP Poisoning Her Trafiği Görebilir mi?

Hayır.

Burada önemli bir ayrım vardır.

Şifreli iletişim:

HTTPS
VPN
TLS

kullandığında içerik korunabilir.

Ancak şunlar hâlâ görünür olabilir:

Trafik akışı
Hedef adresler
Zamanlama
Paket hacmi
Ağ davranışı

Dolayısıyla şifreleme önemli olsa da tek başına bütün riskleri ortadan kaldırmaz.

Güvenlik Ekipleri Neden Önemser?

Kurumsal SOC ve Blue Team ekipleri için ARP anomalileri önemli bir uyarıdır.

Sebep:

ARP zehirlenmesi bazen daha büyük olayların erken belirtisi olabilir.

Örneğin:

Yetkisiz ağ erişimi
Yanlış yapılandırma
İç tehdit
Ağ manipülasyonu
Güvenlik politikası ihlali

Bu nedenle ağ izleme sistemlerinde ARP davranışları dikkatle takip edilir.

Bölüm Özeti

Bu bölümde şunları gördük:

✓ ARP zehirlenmesi yanlış IP–MAC eşleşmesi üretir
✓ Trafik yön değiştirebilir
✓ MITM senaryolarıyla ilişkili olabilir
✓ İnternet tamamen kopmadan da gerçekleşebilir
✓ Switch tek başına koruma sağlamaz
✓ Kurumsal ağlarda ciddi güvenlik göstergesi olabilir

ARP Önbellek Zehirlenmesi (ARP Cache Poisoning) Nedir?

Çalışma Mantığı, Riskleri, Tespit ve Savunma Yöntemleri

Bölüm 3 — Wireshark ile Tespit ve ARP Anomalilerinin Analizi

ARP önbellek zehirlenmesi çoğu zaman sessiz ilerler. Kullanıcı internet bağlantısının çalıştığını gördüğü için ağda olağan dışı bir durum olduğunu fark etmeyebilir. Bu nedenle güvenlik ekipleri yalnızca kullanıcı şikâyetlerine değil, paket seviyesinde ağ analizine de ihtiyaç duyar.

Bu noktada en yaygın araçlardan biri Wireshark’tır.

Wireshark, ağ paketlerini yakalamaya ve incelemeye yarayan güçlü bir protokol analiz aracıdır. ARP poisoning tespitinde oldukça etkilidir.

Wireshark Nedir?

Wireshark:

Ağ paketlerini yakalar
Protokolleri ayrıştırır
Trafik davranışını gösterir
Güvenlik olaylarının analizine yardımcı olur

Bir anlamda ağın “mikroskobu” olarak düşünülebilir.

ARP saldırıları paket seviyesinde gerçekleştiğinden Wireshark analiz için önemli bir araçtır.

ARP Paketleri Wireshark’ta Nasıl Görünür?

ARP paketleri genellikle iki kategoriye ayrılır:

Tür	Açıklama
ARP Request	MAC adresi sorma
ARP Reply	MAC cevabı verme

Normal bir yakalamada örnek görünüm:

Who has 192.168.1.1? Tell 192.168.1.20
192.168.1.1 is at AA:BB:CC:DD:EE:FF

İlk satır istek, ikinci satır cevaptır.

Bu iletişim normaldir.

Wireshark’ta ARP Trafiği Filtreleme

Ağ yakalaması sırasında binlerce paket oluşabilir.

ARP trafiğini ayırmak için filtre kullanılır.

Temel filtre:

arp

Bu filtre yalnızca ARP paketlerini gösterir.

Avantajı:

Ağ gürültüsü azalır
Analiz kolaylaşır
Anomaliler daha görünür olur

Normal ARP Davranışı Nasıldır?

Normal bir ağda ARP davranışı genellikle şöyledir:

İhtiyaç oldukça ARP Request oluşur
Cihaz cevap verir
Cache güncellenir
Trafik normale döner

ARP trafiği sürekli ve aşırı yoğun değildir.

Özellikle aynı IP için art arda çok sayıda cevap görülmesi dikkat çekebilir.

Şüpheli Davranışlar Nelerdir?

Blue Team ve SOC ekipleri ARP trafiğinde bazı belirtileri izler.

Bunlar tek başına saldırı anlamına gelmeyebilir, ancak inceleme gerektirir.

1. Aynı IP İçin Farklı MAC Adresleri

En önemli göstergelerden biridir.

Örnek:

İlk paket:

192.168.1.1 is at AA:AA:AA:AA:AA:AA

Daha sonra:

192.168.1.1 is at BB:BB:BB:BB:BB:BB

Gateway IP’si kısa aralıklarla farklı MAC’lerle görünüyorsa:

Yanlış yapılandırma
Ağ değişimi
Anormal ARP davranışı

incelenmelidir.

Bu durum bazen “ARP table flip” olarak adlandırılır.

2. Yoğun ARP Reply Trafiği

Normal ağlarda:

ARP Request → Reply → iletişim

şeklinde sınırlı trafik görülür.

Fakat olağan dışı durumda:

Çok sayıda reply
Kısa aralıklar
Sürekli güncelleme

dikkat çekebilir.

Wireshark zaman çizelgesinde bu yoğunluk fark edilebilir.

Örnek görünüm:

ARP Reply
ARP Reply
ARP Reply
ARP Reply
ARP Reply

Bu durum analiz gerektirir.

3. İstenmeyen (Unsolicited) ARP Reply

ARP’nin ilginç bir özelliği vardır:

Bazen istek olmadan da cevap görülebilir.

Örneğin:

192.168.1.1 is at XX:XX:XX:XX:XX:XX

Öncesinde request yoksa buna:

Unsolicited ARP Reply
veya
Gratuitous ARP

denebilir.

Önemli not:

Her gratuitous ARP kötü değildir.

Çünkü bazı sistemler:

IP değişimlerinde
Failover senaryolarında
Ağ duyurusunda

bunu normal amaçlarla kullanır.

Ancak sıklığı ve bağlamı incelenmelidir.

Duplicate IP ve MAC Çatışmaları

Wireshark bazen doğrudan uyarı verebilir.

Örnek:

Duplicate IP address detected

Bu uyarı:

Aynı IP’nin farklı MAC’lerden gelmesi
Ağ çakışması
Yanlış yapılandırma

gibi durumları gösterebilir.

Her zaman saldırı anlamına gelmez.

Fakat göz ardı edilmemelidir.

Gateway MAC Adresinin Değişmesi

Kurumsal ağlarda en kritik göstergelerden biri:

Default gateway MAC değişimidir.

Çünkü:

Router MAC’i genelde stabildir
Sürekli değişmesi beklenmez

Örneğin:

Gateway:

192.168.1.1

önce:

AA:BB:CC

sonra:

DD:EE:FF

olarak görünüyorsa inceleme gerekir.

Bu nedenle birçok ağ izleme sistemi gateway MAC davranışını kaydeder.

Wireshark’ta ARP Paket Detayı Nasıl Okunur?

Bir ARP paketi seçildiğinde şu alanlar görülür:

Alan	Açıklama
Sender MAC	Gönderen MAC
Sender IP	Gönderen IP
Target MAC	Hedef MAC
Target IP	Hedef IP
Opcode	Request veya Reply

Analiz sırasında şu soru sorulur:

Bu IP gerçekten bu MAC’e mi ait?

Olay müdahalesinin temel mantığı budur.

ARP Tespiti Neden Zordur?

ARP poisoning bazen tespit edilmesi zor olaylardan biridir.

Sebep:

Trafik çalışmaya devam edebilir
Kullanıcı hata görmeyebilir
Ağ kesilmeyebilir
Paketler normal görünmeye yakın olabilir

Bu yüzden:

Paket analizi
Ağ davranış analizi
Log korelasyonu

birlikte değerlendirilir.

SOC ve Blue Team Yaklaşımı

Profesyonel güvenlik ekipleri ARP olaylarını genellikle şu sırayla inceler:

1. Olay var mı?

MAC değişimi
Duplicate IP
Yoğun ARP

2. Etki alanı nedir?

Tek cihaz mı?
VLAN mı?
Gateway mi?

3. Yanlış yapılandırma mı?

DHCP problemi
Ağ cihazı değişimi
Failover senaryosu

4. Güvenlik olayı mı?

Yetkisiz cihaz
Ağ manipülasyonu
İç tehdit göstergesi

Bu metodoloji yanlış alarm riskini azaltır.

Bölüm Özeti

Bu bölümde:

✓ Wireshark ile ARP filtreleme
✓ Normal ARP davranışı
✓ Şüpheli reply yoğunluğu
✓ Aynı IP–farklı MAC anomalisi
✓ Gratuitous ARP
✓ Duplicate IP uyarıları
✓ Gateway MAC değişimi

konularını inceledik.

ARP Önbellek Zehirlenmesi (ARP Cache Poisoning) Nedir?

Çalışma Mantığı, Riskleri, Tespit ve Savunma Yöntemleri

Bölüm 4 — Savunma Yöntemleri ve Ağ Güvenliği Yaklaşımları

ARP önbellek zehirlenmesi yalnızca teorik bir ağ problemi değildir. Kurumsal ağlarda, kampüs ağlarında ve bazı küçük ofis ortamlarında yanlış yapılandırmalar veya güvenlik eksiklikleri nedeniyle risk oluşturabilir.

İyi haber ise şudur:

ARP poisoning’e karşı etkili savunma yöntemleri bulunmaktadır.

Bu bölümde güvenlik ekiplerinin kullandığı başlıca koruma yaklaşımlarını inceleyeceğiz.

Savunmanın Temel Mantığı

ARP poisoning’e karşı savunmanın ana hedefi:

Yanlış IP–MAC eşleşmelerinin kabul edilmesini engellemek veya hızlı tespit etmektir.

Koruma genellikle üç katmanda yapılır:

Katman	Amaç
Önleme	Sahte ARP’yi engellemek
Tespit	Şüpheli davranışı fark etmek
İzleme	Olayları kaydetmek

Kurumsal ağlarda bu üçü birlikte uygulanır.

1. Dynamic ARP Inspection (DAI)

En güçlü savunmalardan biri:

Dynamic ARP Inspection (DAI)’dır.

DAI, yönetilebilir switch’lerde bulunan bir güvenlik mekanizmasıdır.

Temel mantığı:

Switch, ARP paketlerini kontrol eder ve doğrulanmamış paketleri engelleyebilir.

Normal switch davranışı:

ARP paketi → İlet

DAI aktif olduğunda:

ARP paketi → Kontrol et → Uygunsa ilet

DAI Nasıl Karar Verir?

DAI genellikle:

DHCP Snooping veritabanı

ile çalışır.

Switch şunu kontrol eder:

IP	MAC	Port
192.168.1.20	AA:AA	Port5

Gelen ARP uyuşmuyorsa:

Paket düşürülebilir
Log oluşturulabilir
Alarm üretilebilir

Bu nedenle DAI oldukça etkilidir.

2. DHCP Snooping

DAI’nin temel yardımcı mekanizmasıdır.

DHCP Snooping:

DHCP trafiğini izleyerek güvenilir IP–MAC kayıtları oluşturur.

Mantığı:

Switch şunu bilir:

Bu IP hangi MAC’e ve hangi porta verilmişti?

Örnek:

IP	MAC	Port
192.168.1.10	00:11	Port1
192.168.1.20	22:33	Port4

Böylece sahte eşleşmeler daha kolay fark edilir.

Trusted ve Untrusted Port Mantığı

DHCP Snooping iki port türü kullanır.

Trusted Port

Genellikle:

Router
Gerçek DHCP sunucusu
Uplink

Untrusted Port

Genellikle:

Kullanıcı cihazları
İstemciler
Edge portlar

Untrusted portlardan gelen anormal DHCP/ARP davranışları incelenebilir.

Bu tasarım iç ağ güvenliğini artırır.

3. Statik ARP Kullanımı

Bazı ortamlarda:

Static ARP Entry

kullanılabilir.

Mantık basittir.

Sistem:

IP–MAC eşleşmesini elle sabitler.

Örnek mantık:

192.168.1.1 → AA:BB:CC

Bu durumda cihaz:

Dinamik ARP güncellemesini kabul etmeyebilir.

Avantajları

Zehirlenmeye direnç
Kritik cihaz güvenliği
Stabil gateway kaydı

Dezavantajları

Büyük ağlarda yönetimi zordur.

Çünkü:

Manuel işlem gerekir
Değişiklik yönetimi zorlaşır
Ölçeklenebilir değildir

Bu nedenle genellikle:

Router
Sunucu
Kritik sistem

için düşünülür.

4. VLAN Segmentasyonu

ARP poisoning çoğunlukla:

aynı broadcast domain içinde etkili olabilir.

Bu nedenle:

VLAN segmentasyonu

önemlidir.

Segmentasyon mantığı:

Tek büyük ağ yerine:

Yönetim VLAN
Kullanıcı VLAN
Misafir VLAN
Sunucu VLAN

ayrımı yapılır.

Sonuç:

Broadcast alanı küçülür.

Risk yayılımı azalabilir.

Segmentasyonun Güvenlik Katkısı

Örnek:

Tek ağ:

100 cihaz
↓
Tek broadcast alanı

Segmentli yapı:

25 + 25 + 25 + 25

Bu:

İzolasyon
Yetki ayrımı
Olay sınırlama

sağlar.

5. ARPWatch ile İzleme

Pasif izleme araçları da önemlidir.

Bunlardan biri:

ARPWatch

aracıdır.

ARPWatch:

IP–MAC değişimlerini kaydeder
MAC hareketlerini izler
Yeni cihazları raporlayabilir
Ağ davranışını loglayabilir

Temel amacı:

Ağda değişiklik olduğunda haber vermek.

ARPWatch Neleri Fark Edebilir?

Örnek durumlar:

Yeni MAC görülmesi
Aynı IP’nin MAC değiştirmesi
Gateway MAC değişimi
Ağ hareketliliği

Bu nedenle küçük ağlarda da yararlı olabilir.

6. Switch Port Security

Yönetilebilir switch’lerde:

Port Security

önemli koruma katmanıdır.

Switch portu:

Belirli MAC adresleriyle sınırlandırılabilir.

Örnek:

Port5:

Sadece MAC X izinli

Farklı MAC görülürse:

Log
Alarm
Port kapatma

politikaları uygulanabilir.

Bu yaklaşım:

Yetkisiz cihaz riskini azaltır.

7. Şifreleme Neden Hâlâ Önemlidir?

ARP saldırıları ağ yönlendirmesini etkileyebilir.

Ancak:

HTTPS
TLS
VPN

kullanımı ek koruma sağlar.

Çünkü şifreleme:

İçeriğin okunmasını zorlaştırır.

Önemli nokta:

Şifreleme:

ARP poisoning’i durdurmaz.

Ama etkisini azaltabilir.

Bu nedenle:

Ağ güvenliği + şifreleme birlikte düşünülmelidir.

8. IDS / IPS ve Ağ İzleme

Kurumsal ağlarda:

IDS/IPS sistemleri

ARP anomalilerini izleyebilir.

İncelenen göstergeler:

MAC değişimleri
Gateway anomalileri
ARP storm
Duplicate IP
Beklenmeyen ARP yoğunluğu

Bu sistemler:

Alarm üretir
Olay korelasyonu yapar
SOC ekiplerini uyarır

Zero Trust Yaklaşımı

Modern güvenlik anlayışı:

Zero Trust

yaklaşımını benimser.

Temel fikir:

Ağ içindeki hiçbir cihaz varsayılan olarak güvenilir kabul edilmez.

ARP güvenliği de bu anlayışın parçasıdır.

Çünkü:

Yerel ağ = otomatik güven

varsayımı artık geçerli değildir.

Savunma Katmanlarının Karşılaştırması

Yöntem	Güçlü Yanı	Zayıf Yanı
DAI	Çok etkili	Yönetilebilir switch gerekir
DHCP Snooping	Güvenilir kayıt	Yapılandırma gerekir
Static ARP	Güçlü koruma	Ölçeklenmez
VLAN	Risk azaltır	Tasarım gerekir
ARPWatch	İyi görünürlük	Önleme yapmaz
Port Security	Yetkisiz cihazı azaltır	Yönetim yükü

En iyi yaklaşım:

çok katmanlı savunmadır.

Bölüm Özeti

Bu bölümde:

✓ Dynamic ARP Inspection
✓ DHCP Snooping
✓ Static ARP
✓ VLAN segmentasyonu
✓ ARPWatch
✓ Port Security
✓ IDS/IPS
✓ Zero Trust yaklaşımı

başlıklarını inceledik.

ARP poisoning’e karşı tek bir sihirli çözüm yoktur.

Başarı:

katmanlı güvenlik mimarisinden gelir.

ARP Önbellek Zehirlenmesi (ARP Cache Poisoning) Nedir?

Çalışma Mantığı, Riskleri, Tespit ve Savunma Yöntemleri

Bölüm 5 — Gerçek Dünya Senaryoları, Vaka Analizleri ve Blue Team Yaklaşımı

ARP önbellek zehirlenmesi çoğu zaman yalnız başına gerçekleşen bir olay değildir. Güvenlik ekipleri için bu durum genellikle daha büyük bir problemin işareti olabilir.

Önemli nokta şudur:

Her ARP anomalisi güvenlik saldırısı değildir.
Ama her ARP anomalisi araştırılmalıdır.

Bu bölümde gerçek ağlarda görülebilen senaryoları ve güvenlik ekiplerinin olaylara nasıl yaklaştığını inceleyeceğiz.

ARP Anomalisi ile Güvenlik Olayı Aynı Şey midir?

Hayır.

ARP davranışındaki olağan dışılık her zaman saldırı anlamına gelmez.

Çünkü bazı durumlar tamamen meşru olabilir.

Örnekler:

Router değişimi
Failover geçişi
Yedek gateway aktivasyonu
Sanallaştırma platformları
Ağ cihazı yenileme
DHCP yeniden dağıtımı

Bu yüzden Blue Team ekipleri:

Önce anomalinin nedenini doğrular.

Senaryo 1 — Yanlış Alarm (False Positive)

Bir şirkette kullanıcılar kısa süreli bağlantı değişimleri yaşadığını bildiriyor.

SOC ekranında:

Gateway MAC değişimi
Yoğun gratuitous ARP
Kısa süreli yön değişimi

görülüyor.

İlk bakışta şüpheli görünebilir.

Fakat inceleme sonunda:

Yeni router devreye alınmıştır.

High Availability (HA) sistemi çalışmaktadır.

Failover Neden ARP Üretir?

Yedek cihaz devreye girdiğinde:

Ağdaki sistemlere şunu duyurması gerekir:

Gateway artık benim.

Bu duyuru çoğu zaman:

Gratuitous ARP

ile yapılır.

Sonuç:

ARP trafiği artar.

Ama bu saldırı değildir.

Senaryo 2 — Sanallaştırma Ortamları

Modern veri merkezlerinde:

Hypervisor
VM migration
Container ağları

ARP davranışını değiştirebilir.

Örnek:

Bir sanal makine başka host’a taşınır.

IP aynı kalır.

MAC değişebilir veya yeniden duyurulabilir.

Wireshark’ta:

MAC değişimi
Gratuitous ARP
Cache güncellemesi

görülebilir.

Bu durum da güvenlik olayı olmayabilir.

Senaryo 3 — Ağ Yanlış Yapılandırması

Gerçek hayatta sık rastlanan nedenlerden biri:

Yanlış yapılandırmadır.

Örnek:

İki cihaz yanlışlıkla aynı IP’yi kullanıyor.

Sonuç:

Duplicate IP
Kararsız trafik
MAC çakışması
Gateway erişim problemi

Wireshark:

Duplicate IP detected

uyarısı gösterebilir.

Bu durumda:

Sorun güvenlik değil,

ağ yönetimidir.

Blue Team Olay İnceleme Mantığı

SOC ekipleri ARP olaylarında sistematik ilerler.

Genel yaklaşım:

1. Doğrulama

İlk soru:

Gerçekten anormal bir durum var mı?

Kontrol edilir:

MAC değişmiş mi?
Gateway stabil mi?
Tekrar eden ARP var mı?

2. Kapsam Belirleme

Sonra:

Problem ne kadar büyük?

Araştırılır.

Etkilenme:

Tür	Örnek
Tek cihaz	Yerel problem
VLAN	Segment sorunu
Gateway	Kritik olay
Çoklu subnet	Büyük olay

3. Ağ Değişiklik Kaydı Kontrolü

Kurumsal ortamda:

Change Management

çok önemlidir.

Sorulur:

Bu saatte planlı değişiklik var mı?

Kontrol edilir:

Router değişimi
Firmware update
Switch bakımı
DHCP düzenlemesi

Çünkü bazen SOC alarmı:

planlı değişiklikten kaynaklanır.

Senaryo 4 — İç Ağ Tehdidi

En zor senaryolardan biri:

İç ağ kaynaklı anomalilerdir.

Çünkü:

Yerel ağ çoğu zaman güvenilir varsayılır.

Fakat:

Yetkisiz cihaz
Yanlış bağlanan sistem
Kurumsal politikaya aykırı ağ ekipmanı

ARP anomalilerine yol açabilir.

Bu nedenle:

“İçeriden geliyor”

“Güvenlidir”

varsayımı modern güvenlikte geçerli değildir.

Vaka Analizi — Şüpheli Gateway Değişimi

Örnek olay:

Bir ofiste kullanıcılar:

İnternet bazen yavaşlıyor.

diyor.

SOC:

Gateway MAC değişimi
Düzensiz ARP reply
Aynı IP için iki MAC

görüyor.

İnceleme:

Switch logları alınır
DHCP kayıtları incelenir
Port bilgileri kontrol edilir
MAC hareketleri izlenir

Sonuç:

Eski bir access point yanlış yapılandırılmıştır.

Yani:

ARP anomalisi vardır
ama
güvenlik saldırısı yoktur.

Bu önemli bir ders verir.

Olay Müdahalesinde Önceliklendirme

Her ARP olayı aynı aciliyette değildir.

SOC ekipleri risk derecelendirmesi yapar.

Örnek:

Durum	Öncelik
Tek istemci	Düşük
Çoklu cihaz	Orta
Gateway etkilenmesi	Yüksek
Ağ kesintisi	Kritik

Bu yaklaşım:

Alarm yorgunluğunu azaltır.

SIEM Korelasyonu

Tek başına Wireshark yeterli olmayabilir.

Kurumsal ortamda:

SIEM sistemleri

birden fazla kaynağı birleştirir.

Örnek korelasyon:

ARP anomalisi
+

DHCP log
+

Switch log
+

IDS alarmı

↓

Daha güvenilir sonuç.

Bu nedenle olay analizi çok katmanlı yapılır.

MITRE ATT&CK Perspektifi

Modern güvenlik ekipleri olayları bazen:

MITRE ATT&CK

çerçevesiyle de değerlendirir.

ARP manipülasyonu benzeri davranışlar:

Network manipulation
Adversary-in-the-middle
Internal network abuse

gibi taktiklerle ilişkilendirilebilir.

Bu yaklaşım:

Olayı yalnızca teknik hata olarak değil,

tehdit bağlamında da incelemeyi sağlar.

Güvenlik Ekibinin Temel Sorusu

Bir ARP anomalisi görüldüğünde asıl soru şudur:

Bu değişiklik beklenen bir ağ davranışı mı, yoksa açıklanamayan bir olay mı?

Profesyonel olay müdahalesi:

kanıta dayalı ilerler.

Varsayıma değil.

Bölüm Özeti

Bu bölümde:

✓ False positive olaylar
✓ Failover ve HA senaryoları
✓ Sanallaştırma etkileri
✓ Duplicate IP problemleri
✓ İç ağ tehditleri
✓ Blue Team metodolojisi
✓ SIEM korelasyonu
✓ Olay önceliklendirme

başlıklarını inceledik.

ARP anomalileri:

bazen saldırı,
bazen yapılandırma,
bazen de normal ağ davranışı olabilir.

Önemli olan:

doğru analizdir.

ARP Önbellek Zehirlenmesi (ARP Cache Poisoning) Nedir?

Çalışma Mantığı, Riskleri, Tespit ve Savunma Yöntemleri

Bölüm 6 — Sonuç, En İyi Uygulamalar ve Güvenlik Önerileri (Final Bölüm)

ARP önbellek zehirlenmesi, ağ güvenliği dünyasında yıllardır bilinen bir konudur. Bunun nedeni saldırının karmaşık olmasından çok, ARP protokolünün tasarımsal güven varsayımlarına dayanmasıdır.

Modern ağlar artık yalnızca çalışır olmayı değil, aynı zamanda güvenli olmayı da hedeflemektedir. Bu nedenle ARP güvenliği, kurumsal ağ mimarisinin önemli bir parçası hâline gelmiştir.

Bu final bölümünde en iyi uygulamaları, sık yapılan hataları ve kurumlar için güvenlik önerilerini inceleyeceğiz.

ARP Poisoning’den Çıkarılması Gereken Temel Ders

Makalenin en önemli sonucu şudur:

Yerel ağ güvenlidir varsayımı artık yeterli değildir.

Geçmişte birçok ağ mimarisi:

İç ağ = Güvenli alan

düşüncesiyle kuruluyordu.

Ancak modern tehdit modeli:

İç tehditleri
Yetkisiz cihazları
Yanlış yapılandırmaları
Ağ manipülasyonlarını

da hesaba katmaktadır.

Bu nedenle:

LAN güvenliği = aktif yönetim

anlayışı gerekir.

En Sık Yapılan Hatalar

Kurumsal ve küçük ağlarda benzer yanlışlar görülür.

1. “Switch Var, Sorun Yok” Düşüncesi

Yaygın yanılgılardan biri:

Switch kullanıyoruz, güvenliyiz.

Switch:

Trafiği yönlendirir
MAC tablosu tutar

ancak tek başına:

ARP doğrulaması yapmaz.

Yönetilebilir güvenlik özellikleri devreye alınmadığında risk devam edebilir.

2. VLAN Kullanıp Güvenliği Tam Sanmak

VLAN önemlidir.

Ancak:

VLAN ≠ Tam güvenlik

Segmentasyon:

Risk azaltır
İzolasyon sağlar

ama tek başına tüm ağ tehditlerini ortadan kaldırmaz.

3. Ağ İzleme Yapmamak

Bazı kurumlarda:

Switch logları incelenmez
DHCP kayıtları tutulmaz
SIEM entegrasyonu yoktur

Sonuç:

Olaylar geç fark edilir.

Görünürlük eksikliği:

güvenlik açığıdır.

4. Varsayılan Yapılandırmaları Korumak

Birçok ağ cihazı:

varsayılan ayarlarla çalıştırılır.

Bu durum:

Gereksiz servisler
Zayıf güvenlik politikaları
İzleme eksikliği

oluşturabilir.

Ağ cihazları:

“kur ve unut”

yaklaşımıyla yönetilmemelidir.

Kurumlar İçin En İyi Uygulamalar (Best Practices)

ARP güvenliği çok katmanlı düşünülmelidir.

Aşağıdaki yaklaşım yaygın olarak önerilir.

1. Dynamic ARP Inspection Kullanımı

Mümkünse:

DAI aktif edilmelidir.

Çünkü:

ARP doğrulaması yapar
Sahte kayıtları engelleyebilir
Switch seviyesinde koruma sağlar

Kurumsal ağlarda önemli bir güvenlik katmanıdır.

2. DHCP Snooping Aktifleştirme

DAI’nin verimli çalışması için:

DHCP Snooping

önemlidir.

Bu sayede:

Güvenilir IP–MAC veritabanı
Port doğrulaması
Ağ görünürlüğü

sağlanabilir.

3. Ağ Segmentasyonu

Broadcast alanı küçültülmelidir.

Önerilen yapı:

Ağ	Ayrım
Kullanıcı	Ayrı VLAN
Sunucu	Ayrı VLAN
Yönetim	Ayrı VLAN
Misafir	İzole

Bu tasarım:

olası olayların yayılımını sınırlar.

4. Sürekli İzleme

Savunma yalnızca engelleme değildir.

İzleme gerekir.

Önerilen kaynaklar:

Switch logları
DHCP logları
IDS/IPS
NetFlow
SIEM
ARP değişim kayıtları

Şu prensip önemlidir:

Ölçemediğiniz şeyi koruyamazsınız.

5. Kritik Sistemlerin Korunması

Bazı cihazlar:

yüksek önceliklidir.

Örnek:

Gateway
Domain Controller
Sunucu
Güvenlik cihazı

Bu sistemlerde:

Static ARP
Port security
İzleme politikaları

düşünülebilir.

6. Şifreleme Politikaları

Ağ güvenliği yalnızca Layer-2 konusu değildir.

Kurumsal iletişim:

HTTPS
TLS
VPN
Güçlü sertifika politikaları

ile desteklenmelidir.

Çünkü:

Katmanlı güvenlik en etkili yaklaşımdır.

Küçük Ofis ve Ev Ağları İçin Öneriler

Her ortam kurumsal değildir.

Küçük ağlarda da bazı iyi uygulamalar vardır.

Öneriler:

✓ Router firmware güncelleme
✓ WPA2/WPA3 kullanımı
✓ Misafir ağı ayırma
✓ Gereksiz cihazları kaldırma
✓ Ağ cihazı yönetim şifrelerini değiştirme
✓ Ağ hareketlerini zaman zaman kontrol etme

Ev ağları da tamamen risksiz değildir.

Güvenlik Eğitiminin Önemi

Teknoloji kadar:

insan faktörü de önemlidir.

Ağ yöneticileri ve teknik ekipler:

ARP mantığını
Ağ katmanlarını
Paket analizini
Anomali davranışını

anladığında olaylar daha hızlı çözülebilir.

Bu nedenle:

eğitim = güvenlik kontrolüdür.

Gelecekte ARP’nin Yeri

IPv4 ağlarında ARP hâlen yaygın biçimde kullanılmaktadır.

Ancak:

IPv6

farklı mekanizmalar kullanır.

IPv6’da:

Neighbor Discovery Protocol (NDP)

bulunur.

NDP de kendi güvenlik değerlendirmelerine sahiptir.

Dolayısıyla:

adres çözümleme güvenliği gelecekte de önemini koruyacaktır.

Genel Değerlendirme

Bu makale boyunca gördük ki:

ARP poisoning:

Basit görünen
Ama etkileri önemli olabilen
Ağ görünürlüğü gerektiren

bir konudur.

Tek başına saldırı aracı olarak değil,

ağ güvenliği mimarisini değerlendirme fırsatı olarak görülmelidir.

Modern savunma yaklaşımı:

Güven varsayma, doğrula.

ilkesine dayanır.

ARP güvenliği de bu anlayışın parçasıdır.

Makale Serisi Özeti

Bu seri boyunca:

✓ ARP protokolü
✓ MAC–IP ilişkisi
✓ ARP cache mantığı
✓ Zehirlenme kavramı
✓ MITM ilişkisi
✓ Wireshark analizi
✓ DAI ve DHCP Snooping
✓ ARPWatch
✓ VLAN ve segmentasyon
✓ Blue Team vaka yaklaşımı
✓ Best practices

başlıklarını ayrıntılı biçimde inceledik.

Son Söz

ARP önbellek zehirlenmesi, ağ güvenliğinin neden yalnızca cihaz kurmaktan ibaret olmadığını gösteren önemli örneklerden biridir.

Başarılı güvenlik:

Görünürlük
Doğrulama
İzleme
Katmanlı savunma

üzerine kurulur.

Ve çoğu zaman güvenlikte en kritik soru şudur:

Ağ gerçekten göründüğü gibi mi çalışıyor?