ARP и доверенные адреса

Таблица. Параметры anomaly.arp

ПараметрЗначенияНазначение и особенности

detect_mac_multi_ip

true / false; true

Один MAC заявляет несколько IP сверх порога.

mac_multi_ip_threshold

Адреса; 5

Порог IP на один MAC.

detect_ip_mac_change

true / false; true

Смена MAC для IP внутри заданного окна.

ip_mac_change_idle_sec

Секунды; 60

Интервал, в котором смена считается подозрительной.

detect_arp_sweep

true / false; true при отсутствии

ARP-обход множества адресов.

arp_sweep_threshold

Адреса; 25 при отсутствии

Порог адресов за эпизод.

entry_idle_sec

Секунды; 1800

Срок хранения соответствия MAC и IP без обновления.

whitelist_macs

Массив полных MAC; []

Исключения для виртуальных шлюзов и proxy ARP. Маски и шаблоны не заменяют полный адрес.

whitelist_ips

Массив IPv4 без маски; []

Исключаемые адреса отправителей ARP.

Перед включением контроля ARP зафиксируйте виртуальные адреса кластеров и шлюзов. Один MAC, обслуживающий несколько IP, может быть штатным для выбранной топологии. Исключайте конкретные известные узлы, сохраняя возможность увидеть изменения остальных соответствий. Изменение списков ARP в sensor-pcap вызывает краткую управляемую паузу обработки файлов.