Conceito e funcionamento
ARP resolve endereços MAC para destinos IPv4 no mesmo segmento. A tabela local de vizinhos pode manter entradas antigas ou temporárias; uma migração de IP entre máquinas costuma exigir verificar a convergência de ARP, anúncios e políticas de segurança do switch. Um registro inconsistente não comprova spoofing.
Como investigar e correlacionar
Compare ip neigh, interfaces, VLAN, gateway, MAC e horário da mudança. Verifique se existe outro host usando o mesmo IP e se há filtragem anti-spoofing. Em ambientes virtualizados, considere movimento de VM, endereço virtual e ARP gratuito. Antes de limpar cache em produção, avalie impacto e tenha teste de recuperação.
Consulta ou exemplo orientativo
Execute somente em ambiente autorizado, com privilégios e ferramentas adequados. A saída depende da configuração da fonte.
ip -br addr
ip route get 192.0.2.10
ip neigh showESTUDO DE CASO · CENÁRIO SINTÉTICO
Aplicação em uma investigação
Situação
Um endereço IP de uma VM migra para nova máquina, mas parte da rede continua alcançando o MAC anterior.
Procedimento orientado
Verifique ip neigh em origem e destino, VLAN, gateway e tabela do switch, comparando horário da migração.
Resultado esperado
A decisão descreve convergência de vizinhança e passos controlados de correção, sem atribuir ataque ARP sem prova.
Cuidados adicionais
Limpar cache no host errado ou ignorar duplicidade de IP pode manter indisponibilidade intermitente.
Limitações e interpretações incorretas
ARP não funciona como resolução para hosts remotos por roteadores e não cobre IPv6, que usa Neighbor Discovery. Tabelas diferentes em equipamentos de rede podem convergir em momentos distintos. Dados antigos não bastam para atribuir ataque.
Checklist de validação
- Confirmar que destino é local
- Comparar IP, MAC e VLAN
- Verificar vizinhos nos dois lados
- Avaliar mudanças recentes
Referências técnicas
Guias para aprofundar
- jornada do log ate alerta — aguardando publicação editorial