Los rastros de ARP en una captura

En el uso normal de ARP, un equipo pregunta y recibe respuesta: pregunta y respuesta van en pareja. Una respuesta ARP que no contesta a ninguna pregunta se llama no solicitada, o gratuita cuando se emite para anunciar la propia dirección. Tiene usos legítimos: un equipo que arranca y avisa de su MAC, o una pareja de cortafuegos en la que uno toma el relevo del otro y anuncia que la dirección compartida ahora está en él.

Por eso una respuesta no solicitada, por sí sola, no es una prueba. Lo que la hace sospechosa es el patrón: se repite a intervalos fijos, sale siempre de la misma MAC, afirma que una dirección crítica (la puerta de enlace) está en esa MAC y llega a varios equipos a la vez. Los detectores de ARP buscan justo eso: cambios de MAC para una misma IP y ráfagas de respuestas no pedidas.

Abre el listado de la captura. Las seis primeras tramas son ARP normal: dos puestos preguntan por la puerta de enlace y esta contesta, más el tráfico de una conexión. Después aparecen respuestas con la columna «solicitada» en «no». Una consulta que las agrupe por MAC de origen resume el comportamiento de golpe: quién las emite, cuántas son y entre qué instantes.

Una persona no produce algo cada dos segundos al milisegundo; un programa sí. Para medirla basta restar los instantes de dos respuestas consecutivas al mismo equipo. Esa cadencia es un dato que cualquier defensa puede convertir en regla (más de N respuestas no pedidas por minuto desde una misma MAC) y es lo que distingue un anuncio legítimo, que ocurre una vez, de una suplantación sostenida, que tiene que repetirse porque las entradas ARP caducan y el que suplanta necesita renovarlas.

Lista las respuestas no solicitadas y compara los instantes de dos consecutivas dirigidas al mismo puesto.

Lo que convierte la suplantación en una interposición es lo que ocurre con el tráfico después. Una trama tiene dos destinos: el de la capa de enlace (la MAC, que mira el conmutador) y el de la capa de red (la IP, que mira el enrutador). En una conexión normal de agu-pc14 hacia fuera, la MAC de destino es la de la puerta de enlace y la IP de destino es la del servidor remoto. En la captura, después de las respuestas no solicitadas, esa misma conexión sale con la MAC de destino de un puesto de usuario y la misma IP de destino remota, y un instante después ese puesto la reenvía.

Es una evidencia mejor que una tabla ARP porque no depende de lo que cree un equipo en un momento, sino de lo que hizo el tráfico. Y explica por qué nadie notó nada: la conexión funcionaba.

La tercera trama de esa conexión es la misma que la segunda, ahora con la puerta de enlace como destino de capa de enlace y con la IP de origen todavía la del puesto original. Es la huella de un equipo que recibe lo que no era para él y lo envía a su verdadero destino. Esa distinción importa en el informe: una suplantación que no reenvía corta el servicio y se detecta en minutos por las quejas; una que reenvía deja al usuario trabajando con normalidad y puede durar días.