Instrutor: Ok,
agora vamos ver como podemos
usar o Wireshark, para descobrir atividades suspeitas em nossa rede.
E antes de fazer qualquer coisa, irei às
preferências e irei aos
protocolos,
ARP, e habilitarei a
opção para detectar tempestades de solicitações de ARP.
O que isto fará, na verdade,
descobrirá, se alguém estiver tentando descobrir
todos os dispositivos na
rede e isso me dará uma notificação.
Então vou clicar em ok e
iniciar minha captura, e agora
vou para minha máquina Kali e
vou usar netdiscover.
Então não vou envenenar o ARP.
Só vou fazer
ou tentar descobrir todos os dispositivos conectados à minha rede.
Portanto, estamos usando exatamente
o mesmo comando que usamos antes, netdiscover, interface e range.
Vou pressionar Enter e podemos
ver que a descoberta de rede terminou.
Ele descobriu todos os dispositivos que temos.
Portanto, se
chegarmos aqui, mesmo antes de analisarmos a saída das notificações, vamos
apenas ver os pacotes que foram gerados.
Você pode ver que há um dispositivo aqui.
Esta fonte está transmitindo, então basicamente
não tem um destino.
Ele está perguntando a todos os outros dispositivos da rede
e está perguntando sobre cada IP possível.
Então é basicamente perguntar quem tem esse IP?
E diga o IP 67.
E então está perguntando quem tem o IP 241?
Diga ao 67.
Quem tem o 251?
Diga ao 67, e
ele está fazendo isso para todos os IP possíveis.
Portanto, é basicamente verificar
se existe algum IP possível no intervalo e pedir para retornar
a resposta ao IP em
10. 20 40 67
Portanto, podemos deduzir que alguém está tentando
descobrir todos os dispositivos conectados e que alguém está com
10 anos. 20 40 67
Agora, se analisarmos as informações de especialistas e
especialistas, você verá que detectamos uma tempestade de pacotes ARP.
Então, basicamente, isso significa que havia um único
dispositivo enviando um número muito grande de pacotes ARP.
Portanto, eles provavelmente estão tentando descobrir dispositivos conectados
ou tentando descobrir portas conectadas.
Então, está nos dizendo que essa pessoa
está tentando fazer algo suspeito.
Agora vamos fazer um ataque de envenenamento por ARP e
veremos se podemos receber notificações ou
avisos no Wireshark.
Agora vou analisar as informações dos especialistas novamente e, se olharmos,
veremos que temos um aviso aqui e o
aviso está
nos dizendo que há um endereço IP duplicado configurado.
Então, novamente, isso está
nos dizendo que o endereço IP
do roteador tinha dois endereços MAC diferentes.
O que
isso significa basicamente significa que alguém estava
violando isso e violando nossa tabela
ARP, tentando se colocar no meio usando
um ataque de envenenamento por ARP.
Agora, vimos vários métodos para detectar o envenenamento por ARP.
Vamos discutir como podemos
evitá-lo ou nos proteger dele.
Agora eu só vou rodar
um ARPA e vamos olhar para a nossa mesa.
Existem opções que monitoram isso para você também e
elas o notificarão
ou até impedirão ataques de envenenamento por ARP.
Outra maneira de fazer isso é se você olhar aqui.
Se você olhar para o
seu roteador, verá que esta entrada na tabela é dinâmica.
Portanto, o tipo desta entrada é dinâmico.
O que isso significa, basicamente isso não pode mudar.
É o sistema que permite que esse valor seja alterado.
Você pode ver aqui que você tem valores
estáticos, o que basicamente significa que o sistema nunca permitirá
que esses valores mudem.
Portanto, você pode usar tabelas ARP estáticas,
o que basicamente significa que você precisará configurar
cada endereço IP.
Portanto, você precisa realmente configurar sua tabela ARP e
mapear cada endereço IP para o endereço MAC,
para o endereço MAC relevante.
Porém, depois que
você fizer isso, mesmo que alguém tente enviar
uma resposta ao seu computador tentando
alterá-lo, o sistema se recusará a
alterar qualquer coisa porque você configurou sua tabela ARP para ser estática.
O único problema é que toda vez que você se
conecta a uma rede e toda
vez que um novo
dispositivo se conecta à sua rede, você
precisa configurá-lo manualmente para funcionar com sua rede.
Portanto, não é uma solução muito útil se você estiver
em uma grande empresa ou em uma grande empresa.
Mas talvez em uma casa pequena ou em
uma empresa pequena, essa seria uma
solução muito boa para evitar
ataques de envenenamento por ARP porque tudo
ficará estático, você precisará configurá-lo manualmente, mas
quando alguém tentar fazer uma Ataque de envenenamento por ARP,
mesmo que o ataque
seja bem-sucedido e eles usem as
melhores ferramentas possíveis, sua tabela é configurada de maneira a ser corrigida.
Não pode ser mudado.
Portanto, o sistema sempre se recusará a
alterar os valores dos endereços MAC, o
que basicamente significa que os ataques de envenenamento por ARP
nunca funcionarão contra você.