Instructeur: Oké, laten
we nu eens kijken hoe we Wireshark kunnen
gebruiken, om verdachte activiteiten in ons netwerk te ontdekken.
En voordat ik iets doe, ga ik naar de voorkeuren,
en ik ga naar protocollen,
ARP, en ik schakel
de optie in om ARP request
storms te detecteren.
Als iemand probeert alle
apparaten op het netwerk
te ontdekken, krijg
ik een melding.
Dus ik klik op oké, en ik start mijn
capture, en nu ga ik naar mijn
Kali machine, en ik ga netdiscover
gebruiken.
Dus ik ga geen ARP vergiftiging doen.
Ik ga alleen, of probeer
alle aangesloten apparaten op mijn netwerk te ontdekken.
Dus we gebruiken precies hetzelfde
commando als eerder, netdiscover, interface en het bereik.
Ik druk op enter, en we zien
dat netdiscover klaar is.
Het ontdekte alle apparaten die we hebben.
Dus als we hier komen,
nog voor we kijken naar de uitvoer van de meldingen, laten we eens kijken
naar de pakketten die zijn gegenereerd.
Je kunt zien dat er hier een apparaat is.
Deze bron zendt uit, dus eigenlijk heeft
hij geen bestemming.
Het vraagt alle andere apparaten in het netwerk,
en het vraagt naar elke mogelijke IP.
Dus het vraagt eigenlijk wie deze IP heeft?
En vertel het 67 IP.
En dan is het de vraag wie de 241 IP heeft?
Vertel het 67.
Wie heeft de 251?
Vertel het 67, en het
doet dit voor elke mogelijke IP.
Het controleert dus eigenlijk
of er een mogelijk IP in het bereik bestaat en vraagt het antwoord terug te sturen
naar het IP op 10.
20. 40. 67.
Dus hieruit kunnen we afleiden dat iemand
probeert alle aangesloten apparaten te ontdekken en dat iemand
op 10 staat. 20. 40. 67.
Als we nu naar de analyse en expertinformatie gaan,
zie je dat we een ARP packet storm hebben gedetecteerd.
Dus eigenlijk betekent het dat een enkel apparaat een
zeer groot aantal ARP-pakketten heeft verzonden.
Dus ze proberen waarschijnlijk aangesloten apparaten of
aangesloten poorten te ontdekken.
Dus het vertelt ons dat deze persoon iets
verdachts probeert te doen.
Ik ga een ARP-poisoning aanval uitvoeren en kijken of
we meldingen of waarschuwingen krijgen
in Wireshark.
Nu ga ik weer naar analyse en expertinfo en als we kijken zien we
dat we hier een waarschuwing hebben en de waarschuwing
vertelt ons dat er
een dubbel IP-adres is geconfigureerd.
Dit vertelt ons dus opnieuw
dat het IP adres van de router twee
verschillende MAC adressen had.
Wat dit betekent is
dat iemand hiermee knoeide en onze
ARP tabel manipuleerde, om zichzelf
in het midden te plaatsen met een ARP poisoning
aanval.
Nu hebben we een aantal methoden gezien om ARP-poisoning op te sporen.
Laten we bespreken hoe we het kunnen voorkomen,
of ons ertegen kunnen beschermen.
Ik voer een ARPA uit
en we bekijken onze tabel.
Er zijn switches die dit ook voor u bewaken en die zullen
u waarschuwen of zelfs
ARP-poisoning aanvallen voorkomen.
Een andere manier is als je hier kijkt.
Als u naar uw router kijkt, zult u
zien dat deze vermelding in de tabel dynamisch is.
Het type van deze vermelding is dus dynamisch.
Wat dat betekent, is dat dit niet kan veranderen.
Het systeem staat toe dat deze waarde wordt veranderd.
U ziet hier statische waarden, wat betekent
dat het systeem nooit zal toestaan dat deze waarden
veranderen.
U kunt dus statische ARP-tabellen gebruiken,
wat in feite betekent dat u elk IP-adres moet configureren.
Je moet dus eigenlijk je ARP-tabel configureren en
elk IP-adres aan het MAC-adres koppelen,
aan het relevante MAC-adres.
Maar als u dat doet, zal
het systeem weigeren iets te veranderen,
zelfs als iemand een antwoord
probeert te sturen naar uw computer,
omdat u uw ARP-tabel statisch hebt geconfigureerd.
Het enige probleem daarbij is dat telkens wanneer u verbinding
maakt met een netwerk en telkens wanneer een
nieuw apparaat verbinding maakt
met uw netwerk, u dat apparaat handmatig moet
configureren om met uw netwerk te werken.
Het is dus geen erg nuttige oplossing als je in een groot
bedrijf zit of als je in een grote firma zit.
Maar misschien in een klein huis, of in een klein
bedrijf, zou dit een heel goede oplossing
zijn om ARP poisoning aanvallen te
voorkomen, omdat alles statisch zal zijn,
je moet het handmatig instellen, maar wanneer
iemand probeert een ARP poisoning aanval uit te voeren, zelfs
als hun aanval succesvol is en ze de
beste hulpmiddelen gebruiken die ze
kunnen, is je tabel zo ingesteld dat hij vaststaat.
Het kan niet veranderd worden.
Het systeem zal dus altijd weigeren om
de waarden van de MAC-adressen te veranderen,
waardoor ARP-poisoning-aanvallen nooit tegen
u zullen werken.