ARP Poisoning
Ataque de camada 2: um atacante na mesma LAN envia respostas ARP falsas → o cache ARP da vítima passa a mapear o IP do gateway para o MAC do atacante. Todo o tráfego de saída da vítima passa pelo atacante → possibilidade de MITM.
Ferramentas: Ettercap, Bettercap, arpspoof. Padrão no Kali Linux e nos currículos de pentest. Funciona até a vítima reiniciar ou o cache ARP expirar (5 a 20 minutos). Defesa: DAI (Dynamic ARP Inspection) no switch — valida o ARP contra a tabela de bindings do DHCP snooping e descarta o que for inválido. Entradas ARP estáticas para hosts críticos (servidores, gateways). Relevância atual: Wi-Fi para dados de celular ou VPN contorna o atacante de LAN, mas a rede corporativa continua vulnerável. HTTPS protege a confidencialidade dos dados, mas o MITM ainda pode causar DoS ou análise de tráfego.