Arpwatch est un outil qui va surveiller l'activité ARP de votre réseau local en vérifiant les correspondances adresses IP / adresses MAC.

Arpwatch vous permettra de détecter l'arp spoofing.

Arpwatch va créer une base de données adresses IP <-> adresses MAC ( base située dans /var/lib/arpwatch ).

Celui-ci va loguer les événements dans /var/log/syslog et /var/log/messages et pourra envoyer un email dès qu'un nouvel événement apparaîtra sur le réseau ( nouvelle station, changement de correspondance adresse IP / adresse MAC...).

Pour installer arpwatch (GNU/Linux Debian) utilisez la commande :

sudo apt-get install arpwatch

Nous allons ensuite éditer le fichier de configuration :

sudo nano /etc/arpwatch.conf

Pour la surveillance de mon réseau local, j'ai entré les lignes suivantes :

eth0 -a -n 192.168.1.0/24 -m mon_adresse_mail

- eth0 : nom de mon interface réseau ( pour le réseau wifi, remplacer eth par wlan..).

-a :  arpwatch fera un rapport de toutes les nouvelles adresses IP.

-n :  spécifie l'adresse réseau et son masque.

-m : enverra le rapport à mon adresse mail.

Pour plus d'options, vous pouvez consulter le man :

man « arpwatch »

  (cliquer sur l'image pour l'agrandir) 

 

Une fois la configuration effectuée, redémarrez arpwatch.

sudo /etc/init.d/arpwatch restart

Vérifiez que le service est bien lancé avec la commande :

ps -ef | grep arpwatch

 

   (cliquer sur l'image pour l'agrandir) 

 

Vérifiez que la base de données contenant la correspondance des adresse IP / adresses MAC a bien été crée.

 

  (cliquer sur l'image pour l'agrandir) 

 

Contenu de la base de données eth0.dat

 

   (cliquer sur l'image pour l'agrandir) 

 

Maintenant, dès qu'une nouvelle connexion s'effectuera sur votre réseau, vous serez maintenant averti par mail.

Vous y verrez le nom de l'ordinateur, son adresse IP, son adresse MAC, la marque de sa carte réseau et sa date de connexion.

  

  (cliquer sur l'image pour l'agrandir)  

 

ici, vous pouvez voir que l'ordinateur xubuntu-dell a pour adresse IP 192.168.1.54 et s'est connecté a 21h37.

 

   (cliquer sur l'image pour l'agrandir)  

 

Si son adresse IP change, vous en serez alors immédiatement notifié par mail.

 

  

   (cliquer sur l'image pour l'agrandir)  

 

Si vous ne souhaitez pas recevoir de notifications par mail, vous pourrez alors consulter syslog avec la commande :

sudo grep station /var/log/syslog

 

   (cliquer sur l'image pour l'agrandir)  

 

Conclusion : 

Cet utilitaire se révèlera utile à tous les administrateurs réseaux soucieux de surveiller l'activité ARP sur leur réseau.