RLOGIN, SSH1, ICQ, SMB, MySQL 3.Filtragem/descarte de pacotes de dados4.Terminar conexoes ParasiteParasite permite realizar sniffing em uma rede com switch atraves da tecnica Man-In-The-Middle com o ARP-Poisoning. Selecao de alvos, DoS e varias outras caracteristicas estao presentes nesse programa. O Parasite nao realiza uma limpeza apropriada quando termina seu funcionamento. Isto resulta num DoS de todos os computadores envenenados pois seus caches ARP estao apontando para um endereco MAC que nao esta mais direcionando seus dados. Defesa contra ARP-Poisoning e sua DeteccaoA melhor defesa contra o ARP-Poisoning e habilitar o MAC binding no switch.Esta e uma caracteristica encontrada em switchs de qualidade que nao permite que os enderecos MAC associados com uma porta sejam alterados depois de configurados. Mudancas legitimas de MAC podem ser realizadas pelo administrador da rede. Outra defesa e o uso de caminhos estaticos. O cache ARP pode ter entradas estaticas (nao alteraveis), assim respostas ARP falsas seriam ignoradas. Essa abordagem nao e pratica a nao ser em pequenas redes caseiras, consequentemente onde nao ha muitos riscos do ARP Poisoning ocorrer. E importante tambem saber como se comporta o roteamento estatico no Windows. Alguns testes descobriram que o Windows ainda aceita respostas ARP falsas e usa o roteamento dinamico ao inves do estatico, tornando nulo qualquer efeito da utilizacao do roteamento estatico no Windows.Alem desses dois metodos, a unica outra defesa disponivel e a deteccao. Arpwatch e uma das formas de deteccao. Arpwatch e uma ferramenta para detectar ataques ARP. Esta ferramenta monitora atividade ethernet e mantem uma base de dados dos pareamentos Ethernet/IP. Ela tambem reporta certas alteracoes via e-mail. Arpwatch utiliza a libcap, uma interface independente que utiliza um metodo de captura de pacotes no nivel de usuario para deteccao de ataques ARP. O Arpwatch mantem o administrador informado quando uma nova maquina adquire um endereco da rede. Ele envia por e-mail o endereco IP e o MAC da nova maquina na rede. Ele tambem informa se o endereco MAC mudou de IP. Alem de informar se alguem esta baguncando com a configuracao da rede e alterando seu seu IP para o de um gateway ou servidor. A clonagem de MAC pode ser detectada utilizando o RARP (Reverse ARP). O RARP solicita o endereco IP de um endereco MAC conhecido. Enviando uma solicitacao RARP para todos os enderecos MAC existentes em uma rede, pode determinar se algum computador esta realizando clonagem, e se multiplas respostas sao recebidas por um unico endereco MAC.Muitos metodos existem para detectar maquinas em modo promiscuo. E importante lembrar que sistemas operacionais possuem suas proprias pilhas de TCP/IP e placas ethernet possuem seus proprios drives, cada um com seus proprios subterfugios. Mesmo dierentes versoes de um mesmo sistema operacional tem variacoes de comportamento. O Solaris, por exemplo, e unico em sua forma de tratar pacotes ARP. Solaris aceita apenas alteracoes de ARP apos um determinado periodo de expiracao. Para envenenar o cache de um sistema Solaris, um atacante precisaria utilizar um ataque DoS contra uma segunda maquina alvo para evitar uma race condition6 apos o periodo de expiracao. Este DoS pode ser detectado