Ausbilder: Okay,
nun wollen wir sehen, wie
wir Wireshark verwenden können, um verdächtige Aktivitäten in unserem Netzwerk zu entdecken.
Bevor ich etwas tue, gehe ich zu
den Einstellungen und zu
den
Protokollen, ARP, und
aktiviere die Option zum Erkennen von ARP-Anforderungsstürmen.
Was dies bewirkt, wird tatsächlich erkannt,
wenn jemand versucht, alle Geräte im
Netzwerk zu erkennen, und
es wird mir eine Benachrichtigung angezeigt.
Also klicke ich auf OK und
beginne mit der Erfassung.
Jetzt gehe ich zu meiner Kali-Maschine
und verwende netdiscover.
Also werde ich keine ARP-Vergiftung machen.
Ich werde nur
versuchen, alle mit meinem Netzwerk verbundenen Geräte zu ermitteln.
Wir verwenden also genau
den Befehl, den wir zuvor verwendet haben: netdiscover, interface und range.
Ich drücke die Eingabetaste und wir
können sehen, dass die Netzentdeckung abgeschlossen ist.
Es hat alle Geräte entdeckt, die wir haben.
Wenn wir
also hierher kommen, lassen Sie uns, noch bevor wir uns die Ausgabe
der Benachrichtigungen ansehen, nur die generierten Pakete ansehen.
Sie können sehen, dass es hier ein Gerät gibt.
Diese Quelle sendet, also hat sie
im Grunde kein Ziel.
Er fragt alle anderen Geräte im Netzwerk und
fragt nach jeder möglichen IP.
Also ist es im Grunde gefragt, wer diese IP hat?
Und sag der 67 IP.
Und dann fragt es sich, wer die 241 IP hat?
Sagen Sie die 67.
Wer hat die 251?
Sagen Sie die
67, und es tut dies für jede mögliche IP.
Es wird also grundsätzlich geprüft,
ob eine mögliche IP in dem Bereich vorhanden ist, und es wird darum
gebeten, die Antwort bei 10 an die
IP zurückzugeben. 20. 40. 67.
Daraus können wir schließen, dass jemand versucht,
alle angeschlossenen Geräte zu erkennen, und dass jemand bei
10 ist. 20. 40. 67.
Wenn wir nun die Analyse- und Experteninformationen durchgehen,
werden Sie feststellen, dass wir einen ARP-Paketsturm festgestellt haben.
Im Grunde bedeutet dies, dass ein einzelnes
Gerät eine sehr große Anzahl von ARP-Paketen gesendet hat.
Sie versuchen also wahrscheinlich, verbundene Geräte oder
verbundene Ports zu erkennen.
Es sagt uns also, dass diese Person
versucht, etwas Verdächtiges zu tun.
Jetzt lass uns gehen und ich mache einen ARP-Vergiftungsangriff und wir
werden sehen, ob wir Benachrichtigungen oder Warnungen
in Wireshark erhalten können.
Jetzt gehe ich noch einmal zur Analyse und zu Experteninformationen.
Wenn wir nachsehen, wird hier eine Warnung angezeigt,
die uns
darüber informiert, dass eine doppelte IP-Adresse konfiguriert ist.
Dies sagt uns
also wieder, dass die IP-Adresse
des Routers zwei unterschiedliche MAC-Adressen hatte.
Was dies
im Grunde bedeutet, bedeutet, dass jemand daran
manipuliert und an unserem ARP-Tisch manipuliert
hat und versucht hat, sich mit einem
ARP-Vergiftungsangriff in die Mitte zu stellen.
Jetzt haben wir eine Reihe von Methoden zur Erkennung von ARP-Vergiftungen kennengelernt.
Lassen Sie uns diskutieren, wie wir
es verhindern oder uns davor schützen können.
Jetzt leite ich nur noch
eine ARPA und wir schauen uns unseren Tisch an.
Es gibt Schalter, die dies auch für Sie
überwachen und
Sie benachrichtigen oder sogar ARP-Vergiftungsangriffe verhindern.
Ein anderer Weg, dies zu tun, ist, wenn Sie hier schauen.
Wenn Sie sich Ihren Router ansehen,
werden Sie feststellen, dass dieser Eintrag in der Tabelle dynamisch ist.
Der Typ dieses Eintrags ist also dynamisch.
Was das bedeutet, kann sich im Grunde nicht ändern.
Das System erlaubt es, diesen Wert zu ändern.
Sie können hier sehen, dass Sie statische Werte
haben, was im Grunde bedeutet, dass das System niemals zulässt, dass
sich diese Werte ändern.
Sie können also statische ARP-Tabellen verwenden, was
im Grunde bedeutet, dass Sie jede IP-Adresse
konfigurieren müssen.
Sie müssen also Ihre ARP-Tabelle konfigurieren
und jede IP-Adresse der MAC-Adresse zuordnen,
der entsprechenden MAC-Adresse.
Wenn Sie dies
dennoch tun, wird das System Änderungen ablehnen, auch
wenn jemand versucht, eine Antwort
an Ihren Computer zu senden, um
diese zu ändern, da Sie Ihre ARP-Tabelle als statisch konfiguriert haben.
Das einzige Problem dabei ist, dass Sie jedes Mal, wenn Sie
eine Verbindung zu einem Netzwerk herstellen, und jedes
Mal, wenn ein neues
Gerät eine Verbindung zu Ihrem Netzwerk herstellt, dieses Gerät
manuell für die Arbeit mit Ihrem Netzwerk konfigurieren müssen.
Es ist also keine sehr nützliche Lösung, wenn Sie in
einem großen Unternehmen oder in einer großen Firma arbeiten.
Aber vielleicht in einem kleinen Haus oder in
einer kleinen Firma, dann wäre dies
eine wirklich gute Lösung, um
ARP-Vergiftungsangriffe zu verhindern, da alles statisch
sein wird. Sie müssen es manuell einrichten,
aber wenn jemand versucht, eine zu machen ARP-Vergiftungsangriff Auch wenn
der Angriff erfolgreich ist
und sie die besten Werkzeuge verwenden,
die sie können, ist Ihr Tisch so eingerichtet, dass er repariert ist.
Es kann nicht geändert werden.
Das System wird sich immer
weigern, die Werte der MAC-Adressen zu
ändern, was im Grunde bedeutet, dass ARP-Vergiftungsangriffe niemals
gegen Sie wirken.