Istruttore: Okay,
ora vediamo come possiamo
usare Wireshark per scoprire attività sospette nella nostra rete.
E prima di fare qualsiasi cosa, vado
alle preferenze e vado
ai
protocolli, ARP, e abiliterò
l'opzione per rilevare i temporali di richiesta ARP.
Ciò che farà effettivamente lo scoprirà,
se qualcuno sta cercando di scoprire
tutti i dispositivi sulla
rete e mi darà una notifica.
Quindi farò clic su OK, inizierò
la mia cattura e
ora andrò sulla mia macchina Kali
e userò netdiscover.
Quindi non farò avvelenamento da ARP.
Lo farò solo
o proverò a scoprire tutti i dispositivi collegati alla mia rete.
Quindi stiamo usando stiamo usando
esattamente lo stesso comando che abbiamo usato prima, netdiscover, interfaccia e intervallo.
Ho intenzione di premere invio
e possiamo vedere che netdiscover è finito.
Ha scoperto tutti i dispositivi che abbiamo.
Quindi, se
veniamo qui, anche prima di esaminare l'output delle notifiche, diamo
un'occhiata ai pacchetti che sono stati generati.
Puoi vedere che c'è un dispositivo qui.
Questa fonte sta trasmettendo, quindi sostanzialmente
non ha una destinazione.
Sta chiedendo a tutti gli altri dispositivi della rete
e sta indagando su ogni possibile IP.
Quindi sostanzialmente sta chiedendo chi ha questo IP?
E dire al 67 IP.
E poi si chiede chi ha l'IP 241?
Dillo al 67.
Chi ha il 251?
Dillo al 67
e lo sta facendo per ogni IP possibile.
Quindi sostanzialmente controlla
se esiste un IP possibile nell'intervallo e chiede di
restituire la risposta all'IP a
10. 20. 40. 67.
Quindi da questo possiamo dedurre che qualcuno
sta cercando di scoprire tutti i dispositivi collegati e che qualcuno
ha 10 anni. 20. 40. 67.
Ora se andiamo sull'analisi e le informazioni degli
esperti vedrai che abbiamo rilevato una tempesta di pacchetti ARP.
Quindi sostanzialmente significa che c'era un singolo dispositivo
che inviava un numero molto elevato di pacchetti ARP.
Quindi probabilmente stanno cercando di scoprire i dispositivi connessi o stanno
cercando di scoprire le porte connesse.
Quindi ci sta dicendo che questa persona sta
cercando di fare qualcosa di sospetto.
Ora andiamo e farò un attacco di avvelenamento da ARP
e vedremo se possiamo ricevere notifiche o
avvertimenti a Wireshark.
Ora vado ad analizzare nuovamente le informazioni degli esperti e se
guardiamo vedremo che abbiamo un avviso qui e
l'avviso ci
sta dicendo che c'è un indirizzo IP duplicato configurato.
Quindi, questo ci
sta dicendo che l'indirizzo IP del
router aveva due diversi indirizzi MAC.
Ciò significa
sostanzialmente che qualcuno stava manomettendo questo
e manomettendo il nostro tavolo
ARP, cercando di posizionarsi al centro usando
un attacco di avvelenamento ARP.
Ora abbiamo visto una serie di metodi per rilevare l'avvelenamento da ARP.
Discutiamo su come possiamo
prevenirlo o proteggerci da esso.
Ora gestirò un
ARPA e guarderemo il nostro tavolo.
Ci sono interruttori che monitoreranno anche questo per te e
ti avviseranno o
addirittura prevederanno gli attacchi di avvelenamento da ARP.
Un altro modo per farlo è se guardi qui.
Se guardi il tuo
router, vedrai che questa voce nella tabella è dinamica.
Quindi il tipo di questa voce è dinamico.
Ciò significa che sostanzialmente non può cambiare.
È il sistema che consente di modificare questo valore.
Puoi vedere proprio qui che hai valori statici
che in pratica significano che il sistema non permetterà mai
che questi valori cambino.
Quindi puoi usare le tabelle ARP statiche,
il che significa sostanzialmente che dovrai configurare ciascun
indirizzo IP.
Quindi devi effettivamente configurare la tua tabella ARP
e mappare ciascun indirizzo IP all'indirizzo
MAC, all'indirizzo MAC pertinente.
Ma una volta
che lo fai, anche se qualcuno cerca di
inviare una risposta al tuo computer
cercando di cambiarlo, il sistema rifiuterà di
cambiare qualsiasi cosa perché hai configurato la tua tabella ARP in modo statico.
L'unico problema è che ogni volta che ti connetti a
una rete e ogni volta che c'è
un nuovo dispositivo che
si connette alla tua rete, dovrai configurare
manualmente quel dispositivo per funzionare con la tua rete.
Quindi non è una soluzione molto utile se sei in una
grande azienda o se sei in una grande azienda.
Ma forse in una piccola casa o in
una piccola azienda, questa sarebbe davvero
una buona soluzione per prevenire
attacchi di avvelenamento da ARP perché
tutto sarà statico, dovrai installarlo manualmente, ma
quando qualcuno prova a fare un L'avvelenamento da ARP attacca
anche se il loro
attacco ha successo e usano i
migliori strumenti che possono, il tuo tavolo è impostato in modo fisso.
Non può essere cambiato
Quindi il sistema rifiuterà sempre di modificare
i valori degli indirizzi MAC, il che significherà
sostanzialmente che gli attacchi di avvelenamento da ARP non funzioneranno
mai contro di te.