Dynamic ARP Inspection DAI
Eine Switch-Sicherheitsfunktion, die ARP-Pakete prüft und alle verwirft, die nicht zu einer bekannten, legitimen IP-zu-MAC-Bindung passen. Die wichtigste Verteidigung gegen ARP-Spoofing im Firmennetz.
Mechanik: DAI stützt sich auf die DHCP-Snooping-Datenbank, die festhält, welche MAC/IP-Kombination an welchem Port welche Adresse bekommen hat. Kommt ein ARP-Paket an einem "untrusted" Port an, wird es gegen diese Bindungen geprüft; passt es nicht, wird es verworfen — ein Angreifer kann sich dann nicht mehr als Besitzer der Gateway-IP ausgeben. Trusted Ports (Richtung Router/andere Switches) werden übersprungen. Für statische Hosts ohne DHCP gibt es ARP-ACLs. Der Gewinn: Man-in-the-Middle über gefälschte ARP-Antworten wird schon auf Switch-Ebene gestoppt, bevor er die Opfer überhaupt erreicht. Teil einer "Layer-2-Härtungs"-Suite zusammen mit DHCP Snooping, Port Security und BPDU Guard. Standard in ordentlich konfigurierten Access-Switches.