Instruktor: OK,
więc zobaczmy teraz, jak możemy
korzystać z Wireshark, aby odkrywać podejrzane działania w naszej sieci.
I zanim cokolwiek zrobię, przejdę do
preferencji i przejdę
do
protokołów, ARP, i
włączę opcję wykrywania burz żądań ARP.
To, co to zrobi, faktycznie
odkryje, jeśli ktoś będzie próbował
odkryć wszystkie urządzenia
w sieci, i da mi powiadomienie.
Więc kliknę OK i zacznę
przechwytywać, a teraz pójdę
do mojej maszyny Kali i
użyję Netdiscover.
Więc nie zamierzam zatruć ARP.
Zrobię to
lub spróbuję odkryć wszystkie podłączone urządzenia do mojej sieci.
Tak więc używamy używamy
dokładnie tego samego polecenia, którego używaliśmy wcześniej, netdiscover, interfejs i zakres.
Wciśnę Enter i
zobaczymy, że netdiscover się skończył.
Odkrył wszystkie nasze urządzenia.
Więc
jeśli tu przyjdziemy, zanim jeszcze przyjrzymy się wynikom
powiadomień, spójrzmy tylko na wygenerowane pakiety.
Możesz zobaczyć, że tutaj jest urządzenie.
To źródło nadaje, więc w zasadzie
nie ma miejsca docelowego.
Pyta wszystkie pozostałe urządzenia w sieci i pyta
o każdy możliwy adres IP.
Więc w zasadzie pyta się, kto ma to IP?
I powiedz 67 IP.
A potem pyta, kto ma adres IP 241?
Powiedz 67.
Kto ma 251?
Powiedz 67, a
robi to dla każdego możliwego adresu IP.
Więc w zasadzie sprawdza,
czy istnieje jakiekolwiek możliwe IP w tym zakresie i prosi o
odpowiedź na adres IP o
10. 20 40 67
Na podstawie tego możemy wywnioskować, że ktoś
próbuje odkryć wszystkie podłączone urządzenia i że ktoś ma
10 lat. 20 40 67
Teraz, jeśli przejdziemy do analizy i
informacji ekspertów, zobaczysz, że wykryliśmy burzę pakietów ARP.
Zasadniczo oznacza to, że jedno
urządzenie wysyłało bardzo dużą liczbę pakietów ARP.
Prawdopodobnie próbują odkryć podłączone urządzenia lub
próbują odkryć podłączone porty.
To mówi nam, że ta osoba
próbuje zrobić coś podejrzanego.
A teraz chodźmy, a ja zrobię atak zatrucia ARP i
zobaczymy, czy możemy otrzymać jakieś powiadomienia lub
ostrzeżenia w Wireshark.
Teraz przejdę ponownie do analizy i informacji ekspertów, a
jeśli spojrzymy, zobaczymy, że mamy tutaj ostrzeżenie,
a ostrzeżenie
mówi nam, że skonfigurowano zduplikowany adres IP.
To znowu mówi
nam, że adres IP routera
miał dwa różne adresy MAC.
Co to
oznacza w zasadzie oznacza, że ktoś
manipulował tym i manipulował przy
naszym stole ARP, próbując ustawić się na
środku za pomocą ataku zatrucia ARP.
Teraz widzieliśmy wiele metod wykrywania zatrucia ARP.
Omówmy, jak możemy temu
zapobiec lub uchronić się przed nim.
Teraz poprostu uruchomię
ARPA i spojrzymy na nasz stół.
Są też przełączniki, które monitorują to również dla
ciebie i
powiadamiają cię, a nawet zapobiegają zatruciom ARP.
Innym sposobem na to jest spojrzenie tutaj.
Jeśli spojrzysz na router,
zobaczysz, że ten wpis w tabeli jest dynamiczny.
Tak więc typ tego wpisu jest dynamiczny.
Co to znaczy, to w zasadzie nie może się zmienić.
To system pozwala na zmianę tej wartości.
Widać tutaj, że masz wartości statyczne, co
w zasadzie oznacza, że system nigdy nie pozwoli na
zmianę tych wartości.
Możesz więc używać statycznych tabel ARP, co
w zasadzie oznacza, że będziesz musiał skonfigurować każdy
adres IP.
Musisz więc właściwie skonfigurować swoją tablicę ARP i
zamapować każdy adres IP na adres MAC,
na odpowiedni adres MAC.
Ale gdy
to zrobisz, nawet jeśli ktoś spróbuje
wysłać odpowiedź na Twój
komputer, próbując go zmienić, system
odmówi zmiany czegokolwiek, ponieważ skonfigurowałeś tabelę ARP jako statyczną.
Jedynym problemem jest to, że za każdym razem, gdy
łączysz się z siecią i za
każdym razem, gdy
nowe urządzenie łączy się z siecią, musisz
ręcznie skonfigurować to urządzenie do pracy z siecią.
Więc nie jest to bardzo przydatne rozwiązanie, jeśli jesteś w
dużej firmie lub jeśli jesteś w dużej firmie.
Ale może w małym domu lub w
małej firmie byłoby to naprawdę
dobre rozwiązanie, aby zapobiec atakom
zatrucia ARP, ponieważ wszystko będzie statyczne,
będziesz musiał ustawić go ręcznie, ale
gdy ktoś spróbuje zrobić Atak zatruciem ARP, nawet
jeśli ich atak
się powiedzie i używają najlepszych
narzędzi, jakie mogą, Twój stół jest ustawiony w sposób naprawiony.
Nie można tego zmienić.
Dlatego system zawsze odmawia zmiany
wartości adresów MAC, co w zasadzie
oznacza, że ataki zatrucia ARP nigdy nie będą
działać przeciwko tobie.