專家解讀ARP病毒（完）

【編者按：前文，我們講述了對ARP病毒電腦的查殺方法，這裡是本系列文章的最後一篇，將告訴大家如何採取措施對ARP病毒免疫。】

七、ARP病毒的網路免疫措施

由於ARP病毒的種種網路特性，可以採用一些技術手段進行網路中ARP病毒欺騙資料包免疫。即便網路中有ARP中毒電腦，在發送欺騙的ARP資料包，其它電腦也不會修改自身的ARP緩衝表，資料包始終發送給正確的網關，用的比較多的辦法是“雙向繫結法” 。

雙向繫結法，顧名思義，就是要在兩端綁定IP－MAC地址，其中一端是在路由器中，把所有PC的IP-MAC輸入到一個靜態表中，這叫路由器IP-MAC綁定。令一端是區域網路中的每個客戶機，在用戶端設定網關的靜態ARP資訊，這叫PC機IP-MAC綁定。客戶機中的設定方法如下：

建立記事本，輸入如下命令：

arp -d
arp -s 192.168.0.1　00-e0-4c-8c-9a-47

其中，“arp –d” 命令是清空當前的ARP緩衝表，而“arp -s 192.168.0.1 00-e0-4c-8c-9a-47 ”命令則是將正確網關的IP地址和MAC地址綁定起來，將這個批次檔放到系統的啟動目錄中，可以實現每次開機自運行，這一步叫做“固化arp表” 。

“雙向繫結法”一般在網吧裡面應用的居多。

除此之外，很多交換器和路由器廠商也推出了各自的防禦ARP病毒的軟硬產品，如：華為的H3C AR 18-6X 系列全千兆乙太網路路由器就可以實現區域網路中的ARP病毒免疫，該路由器提供MAC和IP地址綁定功能，可以根據使用者的配置，在特定的IP地址和MAC地址之間形成關聯關係。對於聲稱從這個IP地址發送的報文，如果其MAC地址不是指定關係對中的地址，路由器將予以丟棄，是避免IP地址假冒攻擊的一種方式。

八、ARP病毒KV解決方案

針對ARP病毒日益猖獗的情況，江民科技推出了整體解決方案：

1.KV殺毒軟體每周7天不間斷升級病毒庫，單機版網路版同步升級，即時攔截來自網路上的各種ARP病毒。

2.針對區域網路使用者，建議統一部署KV網路版殺毒軟體，KV網路版具有全網統一升級病毒庫，統一全網殺毒的強大功能，可以徹底查殺來自區域網路中的ARP病毒。

3.“KV未知病毒掃描”功能可以識別出絕大多數ARP病毒，KV未知病毒掃描程式採用獨特的行為判定技術，可以徹底檢測出本機中已知和未知的ARP病毒，協助網路系統管理員快速清除ARP病毒。

4.特針對企業使用者，提供“ARP病毒應急響應服務” ，江民科技網路安全工程師可以上門處理企業使用者內網中的ARP病毒，確保快速恢複商業網路的資料通訊安全。

5.KV新版防火牆特增加了ARP病毒防禦功能，可以攔截來自區域網路中的ARP欺騙資料包，保護本機連網安全。設定介面如圖11。

圖11 KV新版防火牆增加了ARP攻擊防護功能

KV新版防火牆增加了ARP攻擊防護功能，該功能使用方法也很簡單，安裝完KV防火牆之後，點擊“設定”按鈕，然後勾選“啟用攻擊防護功能” ，再點擊“自動檢測本機網路設定” ，程式就會自動獲得本機和網關的IP地址和MAC地址，然後點擊確定即可。KV防火牆就會即時檢測來自網路中的ARP資料包，發現有異常的資料包欺騙，就會予以攔截，保障本機網路通訊安全。

九、關於ARP病毒的網路安全建議

1.在網路正常時候儲存好全網的IP—MAC地址對照表，這樣在尋找ARP中毒電腦時很方便。

2.都全網的電腦都打上MS06-014和MS07-017這兩個補丁，包括所有的用戶端和伺服器，以免感染網頁木馬。

3.部署網路流量檢測裝置，時刻監視全網的ARP廣播包，查看其MAC地址是否正確。

4.做好IP—MAC地址的綁定工作，對於從這個IP地址發送的報文，如果其MAC地址不是指定關係對中的地址，予以丟棄。

5.部署網路版的殺毒軟體，定期升級病毒庫，定期全網殺毒。