Názory k článku Bráníme se odposlechu: ARP Cache Poisoning a připojení počítače k síti

Diky za doplneni

správce se o změně dozví při první změně konfigurace. Přijdete o notebook nebo AP.

Většina věcí je mi známá, ale takhle hezky dohromady jsem to ještě neviděl...;-) Díky za článek!

Pokud má vaše firma hlouběji do kapsy, existuje možnost i ověřování klientů pomocí protokolu EAPOL

Obrat "mít hlouběji do kapsy" se používá jako vyjádření, že je někdo chudý, nikoliv bohatý.

Statické ARP záznamy jsou fajn do chvíle, kdy máte tak 2-3 počítače. Při větším množství strojů znamená výměna jedné síťové karty oběhnutí všech počítačů a změna záznamu. Což je třeba ve chvíli, kdy měním pokažený směrovač asi to poslední, po čem toužím.

Pro středně velké společnosti, které si nemohou dovolit nákup drahých switchů, doporučuji bránit se statickými položkami.

Pod pojmem "středně velká společnost" si obvykle představím firmu s minimálně několika sty počítači. Tvrdit, že si taková společnost nemůže dovolit switch, který v horším případě stojí stejně jako jeden počítač při počtu 48 portů, je poměrně směšná představa.

Navíc, jak už jsem uvedl, statické ARP záznamy se opravdu do větších sítí nehodí.

No jo mate pravdu :-), to prislovi jsem pekne zmotal :-D.

Ohledne strednich firem tak pro me ma stredni firma okolo 100 pocitacu :-).

Abych si obhajil svoje staticky adresy :-):
Situaci ve firme hodlam resit tak ze na linux nasadim skript, ktery kazdy den oskenuje sit a pomoci toho da dohromady IP a MAC adresy a z toho vygeneruje davkovej soubor. Tento davkovy soubor nasledne necham spoustet jako davku po prihlaseni do domeny. IP adresy jsou sice pridelovany pomoci DHCP serveru, ale pokud nastavim propujceni IP adresy napriklad na tri dny tak se nemusim bat ze by v siti neco prestalo fungovat :). Sice nektery pocitace nemuseji byt nektere dny chraneny ale to pro me nic neznamena ochranim totiz temer vsechny.

Uprime tohle Vase reseni neni vubec spatne.
Pri odposlouchavani musi byt faze "nasazeni" pomerne rychla, cim je pomalejsi, tim je vetsi pravdepodobnost odhaleni. Takze hledani nejslabsiho mista muze stat pomerne dost casu. Drahoceneho casu.A nakonec neprinest zadne vysledky. Teorie a praxe jsou bahuzel/nastesti (jak pro koho:) dve rozdilne veci.
Ve skutecnosti je neslabsi misto hw kaylogger, ale to je jina kapitola.

Vzdyt nic takoveho ani netvrdim ze by to neslo. Jde o to mit jenom penize na technologie a odborniky, kteri vam vytvori reseni na klic. Takovato reseni povazuju za nejdokonalejsi.

Nevim jak jsou banky zabezpeceny. Rozhodne ale musi byt zabezpeceny velmi dobre. Ovsem to ze by to nikdo neprosel si nemyslim. Rocne prijdou banky o miliony tim ze je nekdo prolomi. Jenom to banky nepriznavaji, kvuli dobremu jmenu.

Doufam ze jsem vas tema klukama neurazil :-), to nebylo naschval.

na druhou stranu lepší než drátem do oka. Dokonalá bezpečnost stejně neexistuje.

to bude mít v podstatě vždycky, větší sítě jsou dost komplikované samy o sobě.

Zrovna předevčírem jsem konfiguroval jeden router, a už teď mám pocit, že jsem přestal rozumnět tomu, jak to vlastně funguje :-) A to je to jenom pár strojů spojených VPN tunelem.

Jeste jsem zapome, oni nektere firmy i kdyz prsperuji tak stejne investuji do IT oddeleni fakt mizive.

Pro středně velké společnosti, které si nemohou dovolit nákup drahých switchů, doporučuji bránit se statickými položkami.

Nesouhlasim, imho nezalezi na velikosti firmy ale natom, jak je firma "paranoidni". Problem po implementaci statickych arp zaznamu neni o poctu pc(to se da vyresit) ale o mire fluktuace mobilnich PC: tzn. pokud prichazi denne ruznych 20+ lidi do firmy a potrebuji se pripojit, asi by to chtelo nejakou opicku, ktera by arp zaznamy upravovala.(nebo defaultni vlana VISITORS)

Myslim si ze snadnejsi cesta je(security/price):
1)nepouzite port hodit "shotdown".
2)staticke arp zaznamy pro "pevna Pc" (seznamy zalohovat)
3)vlan "visitors" (dedikovane zasuvky v meeting roomu etc)

Zkuste se vyjadrit, L2/3 security je totiz uzasne tema:)

Program arpwatch, alespoň ten, který používám na Linuxu, nepracuje na principu porovnávání změn v arp cache, to by se zaznamenávaly jen stanice, se kterými jsem komunikoval. Arpwatch odposlouchává a analyzuje komunikaci protokolem ARP. Proto zaznamená i stanice, které vyslaly arp-request. To je broadcast, proleze celou sítí a arpwatch jej slyší. Arpwatch nezaznamená stanici, která je zcela tiše. Lze ji samozřejmě zkusit vyprovokovat např. vysláním arp-requestu.

ok, ale jak a kdy se to dozvi?
imho pouze v pripade,ze bude muset na zarizeni udelat zasadni zmenu. Coz se uprimne nestava casto.

Jestli mate nastarosti 4 sitove prvky tak zasadni konfigurace prakticky jiz nedelate, pokud 40 tak nemate na blbosti cas a pokud 400 tak je vas vic a nez zjistite, ze to neudelal nikdo z vasich kolegu, uz je pozde.

Druha moznost je, ze si na svem monitovacim toolu vsimne ze jeste vcera bylo vsude 100 procent, ale dnes je tam na jednom prvku 99 a on nema nic lepsiho na praci nez to zacit zkoumat.

Ztrata notebooku zamrzi, "AP" jsem myslel tak, ze do stavajici bezdratove infrastruktury (pokud jiz existuje) protrunkujete RSPAN, vytvorite novy subnet(jine SSID) a notebook pripojite prez tuto bezdratovou sit. Priznam se o wifi toho moc nevim, ale pri prvni mozne prilezitosti se to pokusim nekde vyzkouset. (snad v patek pokud bude cas)

máme na starosti několik desítek switchů a každý den si necháváme posílat změny konfigurace. Konfigurace se zazálohuje a diff se pošle správcům.
A to nemluvím o tom, že lepší monitorovací nástroje sledují změny konfigurace při každé změně, takže rychlost odhalení by byla ještě vyšší.
Co se týká RSPANu přes WiFi, tak je to sice zajímavý nápad, ale patrně nerealizovatelný, protože v tom RSPANu by patrně tekly takové objemy, že by to tu WiFi položilo a rychlost reakce správce by byla ještě větší.
A představa: příjdu do serverovny a vypnu switch je taky poměrně zajímavá :-)

Dobra tedy.
Zmeny konfigurace: Kazdy den zalohujete? To je ok, ale diff se rozesle spravcum? Co to znamena? Ze si toho jeden ze 3 spravcu vsimne? Tohle by jste davide, pokud mate na prvky pristup, mohl provest maly test: treba zmenit Description na portu, nebo vytvorit na prvni pohled odpudivy access-list (nikam ho neumistit, jenom aby tam byl). A jestli nekdo z vasich kolegu zareaguje, tak vsechno odvolam.

Lepsi monitorovaci nastroje: Pochlubte se, ktery to aktivne zjisti tak, ze si toho vsimnete. (z nasaditelnych samozrejme)

RSPAN, WIFI, malo mista: V souvislosti se nejakym cisco pravidlem 30:70 (nebo tak nejak) by to nemusel byt zas tak velky problem, nebo mate office connectivitu 10Mb? Hlavne neberete vse, ale pouze "vybranou" vlanu

Prichod do serverovny: Divil by jste se :) (samozrejme ze pokud tam neni redundance a vy to udelate za bileho dne, tak asi mate problem :)

Změny čtu pravidelně, každý den, stejně jako kolegové. Navíc je ve změně konfigurace napsáno, kdo tu konfiguraci měnil naposledy.

Co se týká monitorovacích nástrojů, tak HP OpenView nebo Ciscoworks by ty změny měly umět. Nicméně, pokud si posíláte logy někam na vzdálený syslog server, tak by neměl být problém udělat velmi jednoduchý skriptík, který vám to bude hlásit třeba přes ICQ :-)

RSPAN jsem pochopil tak, že vybranou VLAN chcete posílat vzduchem. To znamená, že máte ve velmi dobrém případě k dispozici max. 54Mbit/s. V dnešních sítích žádná výhra.

Co se týká serveroven, pár znám a myslím, že pokud se nejmenujete Bond, James Bond, tak by to mohl být problém. Ve dne je tam obsluha nebo je tam zamčeno a v noci je to zastřeženo bezpečnostním systémem.

Změny čtu pravidelně, každý den, stejně jako kolegové. Navíc je ve změně konfigurace napsáno, kdo tu konfiguraci měnil naposledy.

Potom chapu, ale tohle je jiz rekneme "sofistikovanejsi" metoda AAA. Ok zjistim snmp RW a provedu: http://www.cisco.com/en/US/tech/tk648/tk362/technologies_tech_note09186a0080094aa6.shtml (veta: Note: This MIB is not supported on Catalysts. neni pravdiva) Tohle by jste mohl zkusit, aby jste vedel, zda vam dojde notifikace o zmene.
--

Co se týká monitorovacích nástrojů, tak HP OpenView nebo Ciscoworks by ty změny měly umět. Nicméně, pokud si posíláte logy někam na vzdálený syslog server, tak by neměl být problém udělat velmi jednoduchý skriptík, který vám to bude hlásit třeba přes ICQ :-)

To je presne to, o cem jsem mluvil, MELY BY umet. Pouzivate to? A na syslogu uvidite prosim pekne co? A trosku si rypnu, pouzivate acl na snmp?
--

RSPAN jsem pochopil tak, že vybranou VLAN chcete posílat vzduchem. To znamená, že máte ve velmi dobrém případě k dispozici max. 54Mbit/s. V dnešních sítích žádná výhra.

Samozrejme mate pravdu. Odposlouchavat DC, kde vse bezi na 1000Mb prez wifi je samozrejme nesmyls. Chtel jsem jenom poznamenat, ze pokud mate WAN konektivitu 1Mbps a 70 procent provozu je limitovano prave touto konektivitou(30% je lokalnich 100Mbps), potom 1*.7+100*.3 se do Vasich 54Mbps v pohode vejde.(Tahle matematika je spatna, chce to zkusit)
--

Co se týká serveroven, pár znám a myslím, že pokud se nejmenujete Bond, James Bond, tak by to mohl být problém. Ve dne je tam obsluha nebo je tam zamčeno a v noci je to zastřeženo bezpečnostním systémem.

Ale ovsem, taky znam par takovych, kde se musite ohlasit min. 12 hodin do predu, musite byt nahlasen jako visitor pouze tou jedinnou osobou, ktera muze visitory nahlasovat.
A neni to serverovna, ve smyslu server room, ale neco, co by se dalo nazvat serverhausem.
--

Potom chapu, ale tohle je jiz rekneme "sofistikovanejsi" metoda AAA.

Kdepak, na začátku každé konfigurace je napsáno, kdo ji měnil naposledy (pokud se tedy přihlašujete jménem a heslem).

Zálohování konfigurací provádíme přes vámi popsané SNMP.

To je presne to, o cem jsem mluvil, MELY BY umet. Pouzivate to?

Ne, ale vím o lidech, kteří to používají. My to nepoužíváme, protože nám současný stav celkem vyhovuje

A na syslogu uvidite prosim pekne co? A trosku si rypnu, pouzivate acl na snmp?

V syslogu se objeví:

%SYS-5-CONFIG_I: Configured from console by uživatel on vty0 (10.20.30.40)

No a podle toho se snad můžu zařídit, ne?

Ono jde používat SNMP bez ACL? :-) Většinou používáme i view, takže patřičná komunita může sahat jenom tam, kde se jí řekne.

A neni to serverovna, ve smyslu server room, ale neco, co by se dalo nazvat serverhausem.

Ale i taková serverovna bývá většinou zamčená. Opravdu neznám firmu, kde by měli serverovou místnost bez zámku.

Dobra uz toho nechame... :)

Jen me tak ted napadlo, a nemam to prave ted moznost nikde vyzkouset a opravdu nevim. Situace:
Mate nejaky monitorovaci tool, ktery nejenom, ze chyta snmp trapy, ale zaroven zarizeni i pooluje (treba pocita packety). Treba netmon.
V pripade ze se mi tedy podari odchytit snmp RO:
Dokazi obecne na ciscu zjistit pomoci snmpwalku (ci nejakeho snmpgetu) aktualni acl-ka? neco jako "show access-list" pomoci snmpget.

Ale tu RSPANu prez wireless zitra zkusim:)

Takze jsem se dnes pokusil vyzkouset RSPAN a uprime: pohorel jsem.
Kdyz jsem to zkousel na 4500 tak nebyla moznost:
monitor session 1 destination "vlan" (pouze interface) A pritom na 2950 np :(
Bohuzel ta 4500 je vtp server a nejde nastavit "remote-span" a je to system v produkci, takze stim nechci moc laborovat... Problem bude asi v nestandartnim IOSe(ale je tam nejaka 12.1), ale bohuzel nemam cas to zkoumat.
Smula.Nekdy priste.

1) Prunik do serverovny
2) Cisco Password Recovery -> zisk hesla
3) Konfigurace SPAN nebo dokonce RSPAN
4) Dasli nezbytna konfigurace: (zasuvka)
5) Odchod ze serverovny (mezi 1-5 odhadem 15 minut)

6) pripojeni notebooku do pripravene zasuvky
7) 2 dny pockat
8) vratit se pro ulovek

Pro RSPAN a pritomnost AP lze body 6-8 snad vyresit bezdratove (snad)

Jenomze nektere firmy do takovych switchu neinvestuji. Neni to problem administratora, ale vedeni. I kdyz je pravda ze schopnej administrator dokaze vedeni presvedcit :-).

No jo kluci to vite, krasny studentsky leta :-D.

CNB je ovsem specialni pripad. Je treba si uvedomit, ze oni si tisknou penize a za sve naklady nejsou ze zakona nikomu zodpovedni. Takze maji na vsechno petkrat tolik lidi co normalni komercni firmy a stravi spoustu casu hranim si s ruznymi hrackami na ktere by v bezne firme nikdo nemel cas ani penize.