ARP 与 MAC 厂商梳理
内网评估的早期工作之一是快速勾勒网段里的设备构成。做法是读取网关与主机的地址解析表，拿到网络地址与物理地址的对应关系，再按物理地址的厂商前缀与设备类型库比对，判断哪些是服务器、终端、网络设备、打印机或虚拟化平台。它能帮助发现未纳入台账的设备，也能为分区隔离评估提供输入。局限要写清楚：物理地址可被手工修改或由系统随机化，因此它只是线索，不能当作身份凭证。
基本信息
| 数据来源 | 网关与主机的地址解析表、交换机的物理地址表 |
|---|---|
| 分析价值 | 设备类型画像，发现未登记设备与异常终端 |
| 产出物 | 网段设备构成表与未登记设备清单 |
| 使用限制 | 物理地址可伪造或随机化，仅作线索 |
典型使用场景
- 资产盘点：对照台账找出网段内未登记的活跃设备
- 设备分类：区分服务器、办公终端、打印机与网络设备
- 异常识别：识别同一地址频繁变更物理地址的终端
- 分区评估：观察设备网段与办公网段是否存在混杂
- 虚拟化核对：物理地址与宿主机的对应关系需结合虚拟化平台确认
采集示例
采集示例
ip neigh show | sort -u # Linux 侧查看地址解析表
arp -a # Windows 与旧式命令的等价输出
# 把物理地址前缀与厂商库比对，标注设备类型
# 交换机侧核对物理地址表需在授权后由管理员导出
# 采集结果按时间留存，用于观察设备变动地址解析表逐列读法
| 列 | 含义 | 观察要点 |
|---|---|---|
| 网络地址 | 设备的 IPv4 或 IPv6 地址 | 是否属于规划网段，是否跨段 |
| 物理地址 | 网卡硬件地址 | 前缀判断厂商与设备类型 |
| 接口 | 本机用于通信的网卡 | 区分有线、无线与虚拟接口 |
| 状态 | 邻居可达性状态 | 长期不可达多为历史残留记录 |
物理地址会变：虚拟化环境与随机化地址策略都会让同一设备呈现不同地址，判断设备身份需结合网关日志与资产系统。