arpwatch

[Linux]

arpwatchはネットワーク上のIPアドレスとMACアドレスの組み合わせを監視するプログラムです。新たな組み合わせが見つかると、それらをarp.datファイルと/var/log/messageに記録するとともに、指定した管理者にメールを送ります。arpwatchのオプションは主に以下のようなものがあります。

-u arpwatchのユーザ権限
-e 通知先
-s 送信元
-i 監視するインターフェース

RedHatでは/etc/sysconfig/arpwatchファイルにてオプションを指定します。

[/etc/sysconfig/arpwatch]

OPTIONS="-u pcap -e root -s 'root (Arpwatch)' -i eth1"

[/var/log/message]

May 13 22:09:40 localhost arpwatch: listening on eth1
May 13 22:10:16 localhost arpwatch: new station 192.168.1.4 0:10:5a:4:14:63

[/var/arpwatch/arp.dat]

[root@localhost ~]# cat /var/arpwatch/arp.dat
0:10:5a:4:14:63 192.168.1.4     1147525905

[メールの通知例]

From pcap@localhost.localdomain  Sat May 13 22:10:16 2006
Return-Path: <pcap@localhost.localdomain>
Received: from localhost.localdomain (localhost.localdomain [127.0.0.1])
        by localhost.localdomain (8.13.1/8.13.1) with ESMTP id k4DDAGSL004139
        for <root@localhost.localdomain>; Sat, 13 May 2006 22:10:16 +0900
Received: (from pcap@localhost)
        by localhost.localdomain (8.13.1/8.13.1/Submit) id k4DDAG4U004133
        for root; Sat, 13 May 2006 22:10:16 +0900
Date: Sat, 13 May 2006 22:10:16 +0900
Message-Id: <200605131310.k4DDAG4U004133@localhost.localdomain>
From: root@localhost.localdomain (Arpwatch)
To: root@localhost.localdomain
Subject: new station

            hostname: <unknown>
          ip address: 192.168.1.4
    ethernet address: 0:10:5a:4:14:63
     ethernet vendor: 3COM CORPORATION
           timestamp: Saturday, May 13, 2006 22:10:16 +0900

---

---