Instructeur: Bon,
voyons maintenant comment utiliser
Wireshark pour découvrir des activités suspectes sur notre réseau.
Et avant de faire quoi que ce soit, je
vais aller dans les préférences,
puis dans
les protocoles, ARP, et
activer l’option permettant de détecter les tempêtes de demandes ARP.
Ce que cela va faire va réellement
découvrir si quelqu'un essaie de découvrir tous
les périphériques du réseau et
que cela va me donner une notification.
Alors je vais cliquer sur ok, et je
vais commencer ma capture, et maintenant
je vais aller sur ma machine Kali, et
je vais utiliser netdiscover.
Donc, je ne vais pas faire d'empoisonnement ARP.
Je vais seulement
faire ou essayer de découvrir tous les appareils connectés à mon réseau.
Nous utilisons donc exactement
la même commande que nous utilisions auparavant, netdiscover, interface et la plage.
Je vais appuyer sur enter, et
on peut voir que netdiscover est terminé.
Il a découvert tous les appareils que nous avons.
Donc, si
nous venons ici, avant même d’examiner le résultat des notifications, examinons
simplement les paquets qui ont été générés.
Vous pouvez voir qu'il y a un appareil ici.
Cette source diffuse, de sorte qu’elle
n’a pas de destination.
Elle interroge tous les autres périphériques du réseau
et interroge chaque adresse IP possible.
Donc, c'est essentiellement demander qui a cette adresse IP?
Et dites aux 67 IP.
Et ensuite, il demande qui a le 241 IP?
Dites le 67.
Qui a le 251?
Dites-le au 67,
et cela pour toutes les adresses IP possibles.
Donc, il s’agit essentiellement de
vérifier s’il existe une adresse IP possible dans la plage et de demander
à renvoyer la réponse à l’adresse IP
à 10. 20 40 67.
Nous pouvons donc en déduire que quelqu'un
essaie de découvrir tous les appareils connectés et que quelqu'un
a 10 ans. 20 40 67.
Maintenant, si nous allons sur l'analyse et les informations expertes,
vous verrez que nous avons détecté une tempête de paquets ARP.
En gros, cela signifie qu’un seul appareil
envoyait un très grand nombre de paquets ARP.
Ils essaient donc probablement de découvrir des périphériques
connectés ou des ports connectés.
Donc, cela nous dit que cette personne essaie
de faire quelque chose de suspect.
Maintenant allons-y et je vais faire une attaque d'empoisonnement ARP et nous
verrons si nous pouvons recevoir des notifications ou
des avertissements dans Wireshark.
Maintenant, je vais à nouveau analyser et renseigner les informations des experts. Si
nous regardons, nous verrons que nous avons un avertissement ici
et que cet
avertissement nous indique qu’une adresse IP dupliquée a été configurée.
Encore une fois, cela
nous indique que l'adresse IP du
routeur avait deux adresses MAC différentes.
Ce que cela
signifie fondamentalement, cela signifie que quelqu'un a altéré
cela et altéré notre table ARP,
en essayant de se placer au milieu en
utilisant une attaque par empoisonnement ARP.
Nous avons maintenant vu un certain nombre de méthodes pour détecter l'intoxication par ARP.
Discutons de la manière dont
nous pouvons l’empêcher ou nous en protéger.
Maintenant, je vais juste
faire un ARPA et on va regarder notre table.
Certains commutateurs surveilleront également cette opération pour vous et
vous informeront,
voire empêcheront les attaques par empoisonnement ARP.
Une autre façon de faire est si vous regardez ici.
Si vous regardez votre routeur,
vous verrez que cette entrée dans le tableau est dynamique.
Le type de cette entrée est donc dynamique.
Qu'est-ce que cela signifie, cela ne peut fondamentalement pas changer.
C'est le système permet à cette valeur d'être modifiée.
Vous pouvez voir ici que vous avez des valeurs
statiques, ce qui signifie fondamentalement que le système ne permettra jamais à
ces valeurs de changer.
Vous pouvez donc utiliser des tables ARP
statiques, ce qui signifie que vous devez configurer
chaque adresse IP.
Donc, vous devez réellement configurer votre table ARP
et mapper chaque adresse IP à l'adresse
MAC, à l'adresse MAC appropriée.
Mais une fois que
vous avez fait cela, même si quelqu'un essaye d'envoyer
une réponse à votre ordinateur pour
le changer, le système refusera de changer
quoi que ce soit car vous avez configuré votre table ARP pour être statique.
Le seul problème avec cela est que chaque fois que vous
vous connectez à un réseau et chaque
fois qu’un nouveau périphérique
se connecte à votre réseau, vous devrez
le configurer manuellement pour qu’il fonctionne avec votre réseau.
Donc, ce n'est pas une solution très utile si vous êtes dans
une grande entreprise ou si vous êtes dans une grande entreprise.
Mais peut-être dans une petite maison ou dans
une petite entreprise, alors ce serait
une très bonne solution pour
prévenir les attaques d'empoisonnement ARP car tout
va être statique, vous devrez le configurer manuellement,
mais quand quelqu'un essaiera de Attaque par empoisonnement ARP même
si leur attaque est
réussie et qu'ils utilisent les meilleurs
outils possible, votre table est configurée de manière à ce qu'elle soit corrigée.
Cela ne peut pas être changé.
Ainsi, le système refusera toujours de
modifier les valeurs des adresses MAC, ce
qui signifie que les attaques par empoisonnement ARP ne
fonctionneront jamais contre vous.