访客Wi-Fi旁的ARP欺骗
某集团总部大楼12层，约450名员工。办公网是一个大二层VLAN 10（10.10.0.0/16），访客Wi-Fi SSID“Guest”与办公网接在同一批物理交换机上，仅靠ACL限制访客网段访问10.10.0.0/16，其中有一条放行规则允许访客访问打印服务器10.10.5.20的9100端口。周一10:05，IDS告警：VLAN 10内出现大量ARP应答，网关10.10.0.1的MAC被改成同一MAC；随后多名员工访问内部OA时被跳转到证书错误页面。网络管理员抓包发现攻击者IP为10.10.8.77，该地址属于访客DHCP池。办公网没有802.1X，交换机端口未做MAC绑定，也没有DHCP Snooping和动态ARP检测。访客与员工共用一个DHCP服务器，租期8小时。打印服务器同时被访客和财务用于扫码打印，财务每月需打印工资单。IDS仅镜像核心交换机上行链路，未覆盖接入层；攻击者还尝试用伪造DHCP服务器下发网关。楼内会议室无线投屏设备使用固定IP 10.10.5.30且无认证，物业摄像头与办公网在同一VLAN。网络工程师想直接关闭VLAN 10所有端口，但财务要求当天恢复工资单打印。交换机为多厂商混合环境，安全团队只有1名网络工程师。访客网络由市场部自行采购的AP提供，未纳入网络资产清单；ACL由外包工程师在去年配置，缺少变更记录。员工抱怨无法访问OA，管理层要求给出2小时内和3个月内的方案。
1. 为什么现有ACL没有阻止攻击？请指出至少两个设计缺陷。
Read the worked answer
ACL是三层/IP层过滤，ARP是二层广播协议；攻击者在同一VLAN内伪造网关MAC，流量在到达ACL前就已被劫持，这是第一个缺陷：把访客和办公放在同一广播域。第二个缺陷：放行规则允许访客访问打印服务器9100端口，等于给访客一条可用的内网路径，攻击者可先访问打印服务器再探测。第三个缺陷：没有DHCP Snooping和动态ARP检测，伪造DHCP服务器和ARP应答都无人拦截。第四个缺陷：IDS只镜像核心上行，看不到接入层的东西向流量。所以ACL规则写得再细，也补不上二层隔离缺失。
2. 请给出2小时内的处置步骤及顺序，注意财务当天要打印工资单。
Read the worked answer
顺序：1）先抑制：在接入交换机定位10.10.8.77所在端口，关闭该端口或把它移入隔离VLAN；同时清除网关ARP缓存，恢复10.10.0.1的正确MAC；2）保护打印：临时允许财务网段到10.10.5.20的9100，其他访客来源全部拒绝，打印服务器加IP白名单；3）抓证据：保存攻击者端口镜像、DHCP租约、ARP包和IDS日志；4）排查横向：查打印服务器和OA的登录日志，确认是否被利用；5）恢复办公访问，通知员工不要忽略证书警告；6）若短时间无法定位，先关访客SSID，优先保生产。不要直接关闭VLAN 10所有端口，否则财务和全楼办公一起停摆。
3. 3个月内的改造方案是什么？请按优先级说明。
Read the worked answer
优先级：先做访客与办公的物理/逻辑隔离，访客使用独立VLAN、独立SSID、独立出口，禁止互访；打印服务器迁到独立打印VLAN，只放行财务和必要网段。其次在接入层启用DHCP Snooping、动态ARP检测和ARP限速、端口安全，并部署802.1X或NAC，至少对办公有线端口做认证。第三，把大二层拆小，按楼层和部门划分VLAN，网关做在核心，减少广播域。第四，IDS或NDR覆盖接入层，增加ARP欺骗、伪造DHCP和异常东西向流量告警。最后，把会议室投屏、摄像头等IoT设备单独隔离。改造要排变更窗口，先隔离访客和打印，再上认证，最后做监控全覆盖。