用途：检测局域网二层 ARP 投毒（ARP 欺骗）攻击。ARP 无认证机制，攻击者可伪造 ARP 应答将自身 MAC 绑定到合法 IP，实现中间人拦截、会话劫持或拒绝服务。本技能提供多层检测与防护流程。
主要能力：
- ARPWatch 持续监控，识别 new station、changed ethernet address、flip flop、reused old ethernet address 等告警。
- 交换机 DAI 配置，基于 DHCP snooping 绑定表校验 ARP 包，设置信任端口与速率限制，并可用 ARP ACL 处理静态 IP 设备。
- Wireshark 检测过滤器，如 arp.src.proto_ipv4 == arp.dst.proto_ipv4、arp.opcode == 2、arp.duplicate-address-detected，以及网关仿冒过滤。
- 自定义 Python 监控脚本，基于 Scapy 或 tcpdump 实时检测网关欺骗、MAC 变更、flip-flop 和 ARP 洪泛，并生成报告。
使用方式：需目标网段访问权限、Linux 主机、支持 DAI 的可管理交换机、Wireshark/tcpdump、已配置 DHCP snooping 及 SIEM/syslog。安装命令：sudo apt-get install -y arpwatch；脚本依赖 pip install scapy，运行示例：python process.py eth0 10.0.1.1 aa:bb:cc:dd:ee:01。
适用场景：安全事件调查、检测规则与威胁狩猎查询构建、SOC 分析流程、验证相关攻击技术的监控覆盖。
限制：DAI 依赖 DHCP snooping，须先启用；静态 IP 设备需 ARP ACL；检测需覆盖广播域；资料未提供具体收费、平台兼容范围或效果保证。