Dotaz: ako identifikovať škodca?

[secido]

Máme rozbehanú wifi sieť, v ktorej má každý komponent vlastnú ip-adresu (jedna sieť 192.168.1.0/24) a ap-čka bežia v móde bridge. Zistil som, že tam máme čierneho pasažiera, len je problém identifikovať, kam presne sa pripája. Skoro každý používateľ má vlastné ap (v režime klient), ktorého mac adresa je povolená na ap (bridge) vyššej úrovne. Neviem však ako odsledovať, že sa tam nepripojí niekto ďalší. Na routeri (je tam linux podobne ako vo všetkých ap) vidím, že tam niekto je. Ako ho mám lokalizovať?

Odpovědi

[D-Evil]

Bude to trošku offtopic, ale to je takovej problém ty APčka zabezpečit, aby k tomu nemohlo dojít (WEP nebo ještě líp WPA, closed MAC policy, případně ověřování proti RADIUS serveru)?

Jinak na vyřešení tvýho problému asi bude potřeba znát víc informací (zejména konkrétní konfiguraci a vybavení), bez toho ti těžko někdo pomůže.

[secido]

No nie je to až také jednoduché, wep sa dá prelomiť, mac adresy sa filtrujú na wireless strane a nie na tých ap u zakazníkov. Tam si ktokoľvek môže hodiť switch a basta. Môj problém nie je ako ho zablokovať, to je maličkosť. Ja potrebujem zistiť, kde sa pripája a kto to je - chápeš potenciálny klient . Konfiguráciu sem môžem hodiť, lenže neviem, čo konkrétne treba.

[D-Evil]

No pokud je připojenej někde u zákazníka, tak buď někde ukrad IP adresu, nebo je za NATem.

Pokud má vlastní adresu a ty jí znáš, asi ti pomůže traceroute.

Pokud adresu neznáš, začni logovat provoz v iptables na nejbližším routeru.

Pokud je za NATem, asi toho moc nezjistíš.

[Käyttäjä 11133]

Pokud znáš jeho ipadresu tak by mohlo pomoct trochu si zahrát s etherealem (logování na oblíbený e-mail, psaní do diskusí, ....)

[secido]

Ip adresu poznám a už som sa aj hral s etherealom (teda tcpdumpom). Traceroute nepomôže, lebo medzi ním a mnou žiadny router nie je a nepoužíva ani NAT. Rozmýšľal som, že ako zistiť jeho mac adresu. V arp tabuľke je len mac adresa najbližšieho ap. Dá sa to vôbec?

[petr_p]

Ted v tom mam gulas. Nejdriv rikate, ze mezi vasim routerem a zaskodnikem neni zadny router, tudiz musi byt cela sit switchovana (smerovani na L2 vrstve) a tudiz musite videt MAC adresy vsech klientu, vcetne zaskodnika.

Na druhou stranu tvrdite, ze vidite MAC adresu nejblizsiho AP. Pak ale AP nebridguje, anybrz routuje (a v tom pripade to AP musi znat MAC i IP zaskodnika a staci si vypsat ARP cache na AP). Tak jak to tedy je?