题目

以下哪些措施可以有效防御ARP欺骗攻击？A 静态绑定[1]ARP表项B 部署动态ARP检测（DAI）C 关闭网络中的所有ARP协议D 启用DHCP SnoopingE 使用VLAN划分网络

以下哪些措施可以有效防御ARP欺骗攻击？

A 静态绑定[1]ARP表项

B 部署动态ARP检测（DAI）

C 关闭网络中的所有ARP协议

D 启用DHCP Snooping

E 使用VLAN划分网络

题目解答

答案

本题考查防范ARP欺骗攻击的有效措施。ARP欺骗攻击的核心是伪造ARP响应，导致局域网[2]内主机将数据包发送到攻击者伪造的MAC地址，从而实现中间人攻击[3]或拒绝服务。有效的防御措施需从绑定合法映射关系或校验ARP报文合法性入手。

  • 选项A：静态绑定ARP表项

    通过在主机或交换机[4]上手动配置IP与MAC地址的静态映射，可防止ARP缓存被恶意篡改。这是最直接有效的防御方式之一，尤其适用于服务器、打印机等静态IP设备。

  • 选项B：部署动态ARP检测（DAI）

    DAI是交换机层面的功能，通过检查ARP报文是否与预设的绑定表（如DHCP提供的绑定信息或静态绑定）匹配，丢弃非法ARP报文。这是当前主流交换机支持的标准化防御机制。

  • 选项C：关闭网络中的所有ARP协议

    此措施不可行。ARP是局域网内IP到MAC地址解析的必要协议，关闭后将导致网络通信完全中断，主机无法访问内网资源，属于“杀敌一千，自损八百”，不能作为防御手段。

  • 选项D：启用DHCP Snooping

    DHCP Snooping是交换机功能，用于过滤非法DHCP服务器和客户端，防止伪造DHCP响应。虽然它不直接防御ARP欺骗，但可配合DAI使用，通过构建合法的IP-MAC绑定表，间接增强ARP防御能力。因此，在综合防御体系中是有效的辅助措施。

  • 选项E：使用VLAN划分网络

    VLAN可隔离广播域，使不同VLAN间无法直接通信，从而限制ARP广播范围，降低ARP欺骗攻击的传播范围。虽然不能直接阻止ARP欺骗，但能有效限制攻击影响范围，属于网络架构层面的防御手段。

综上，A、B、D、E均为有效防御措施，而C因破坏正常网络通信，不可取。

答案：

A, B, D, E