¿Qué herramientas o técnicas están disponibles para * nix y Windows que ayudan a encontrar si alguien más en la LAN está usando un sniffer?
Habiendo dicho eso y considerando fuertemente que existen herramientas para descubrir tales "fenómenos", ¿cuál sería el trabajo para no ser olisqueado?
Respuestas:
Es muy difícil detectar rastreadores, porque funcionan de forma pasiva . Sin embargo, algunos rastreadores generan pequeñas cantidades de tráfico, por lo que existen algunas técnicas para detectarlos.
Hay algunas herramientas que implican estas técnicas, por ejemplo, herramientas de código abierto como Neped y ARP Watch o AntiSniff para Windows, que es una herramienta comercial.
Si desea evitar el rastreo, la mejor manera es utilizar el cifrado para cualquier actividad de red (SSH, https, etc.). De esta forma, los rastreadores pueden leer el tráfico, pero los datos no tendrán sentido para ellos.
El rastreo de paquetes es una actividad pasiva, generalmente no es posible saber si alguien está olfateando su red. Sin embargo, para que alguien en una LAN cableada y conmutada pueda ver el tráfico que no está destinado solo hacia o desde su IP (o transmitido a la red / subred) debe tener acceso a un puerto monitoreado / duplicado que duplica todo el tráfico, o instale un 'toque' en la puerta de enlace.
La mejor defensa contra el rastreo es un cifrado decente de extremo a extremo y controles físicos en hardware sensible.
Editar: CPM, Neped y AntiSniff ahora están obsoletos de 10 a 15 años ... Piense en el kernel de Linux <2.2 o Windows NT4. Si alguien tiene acceso a un grifo o espejo, generalmente será muy difícil de detectar. Manipular ARP o DNS es probablemente la mejor apuesta, pero está lejos de ser algo seguro.
La única forma (creo) de que puedes oler todo el tráfico en una LAN conmutada es con un ataque de 'hombre en el medio'. Básicamente haces envenenamiento por ARP, robas los paquetes de todos, los lees y luego los envías a la computadora correcta.
Probablemente hay varias herramientas que pueden hacer esto, solo sé de una:
Ettercap puede realizar el ataque Mitm y detectar uno cuando alguien más lo está haciendo.
Hay una manera simple de detectar la mayoría de los rastreadores. Coloque dos cuadros en la red que no estén en DNS y no se usen para nada más. Haga que periódicamente hagan ping o se comuniquen entre sí.
Ahora, monitoree su red para cualquier búsqueda de DNS y / o solicitudes ARP para sus IP. Muchos rastreadores buscarán por defecto cualquier dirección que encuentren, y por lo tanto cualquier búsqueda en estos dispositivos sería una advertencia sólida.
Un hacker inteligente podría desactivar estas búsquedas, pero muchos no pensarían, y definitivamente lo retrasaría.
Ahora, si es lo suficientemente inteligente como para no habilitar las búsquedas de DNS y evita cualquier ARP para estos dispositivos, su tarea es mucho más difícil. En este punto, debe trabajar bajo la filosofía de que la red siempre está siendo detectada, y promulgar procedimientos proactivos para evitar cualquier vulnerabilidad que surja bajo esta suposición. Varios incluyen:
Wireshark es una gran herramienta para monitorear el tráfico de red. Y buscará nombres para que coincidan con las direcciones IP, encontrará el fabricante de una dirección MAC, etc. Naturalmente, puede verlo haciendo estas consultas y luego sabe que se está ejecutando.
Por supuesto, puede apagar estas cosas y luego no ser detectado. Y hay otros programas diseñados para pasar desapercibidos intencionalmente. Por lo tanto, es algo a tener en cuenta al intentar responder a esta pregunta.
La única forma segura de hacerlo es examinar cada uno de los dispositivos en la subred.
Hay herramientas, por ejemplo, nmap , pero no se garantiza que funcionen y los grifos pasivos no traicionarán su presencia.
El mejor enfoque es asumir que su red es más o menos pública y usar cifrado. Ya sea por aplicación: SSH, HTTPS IMAPS, etc., o haga un túnel de todo su tráfico a través de una VPN
De la parte superior de mi cabeza, vería cambiar los datos de la interfaz SNMP para las interfaces en las que un host recibe más datos y / o envía menos datos que el promedio. Busque cualquier cosa fuera de una desviación estándar en cualquiera de las dos y probablemente encontrará que las personas tienen más probabilidades de estar haciendo algo que no deberían.
Sin embargo, podría no solo ser rastreador, sino encontrar ávidos observadores de hulu / netflix.
Sus conmutadores / enrutadores también pueden tener características para vigilar y atrapar a las personas que intentan envenenar las mesas de arp, eso también sería una gran obviedad.
Los concentradores (o configuraciones de red realmente antiguas, como Thinnet / Thicknet) transfieren todos los datos a través del cable en todo momento. Cualquiera que esté conectado vería cada paquete en su segmento local. Si configura su tarjeta de red en modo promiscuo (lea todos los paquetes, no solo los que se le envían directamente) y ejecuta un programa de captura de paquetes, puede ver todo lo que sucede, oler contraseñas, etc.
Los conmutadores funcionan como puentes de red de la vieja escuela: solo transfieren el tráfico fuera de un puerto si es a) difusión b) destinado a ese dispositivo
Los conmutadores mantienen una memoria caché que indica qué direcciones MAC están en qué puerto (a veces habrá un concentrador o conmutador conectado en cadena desde un puerto). Los conmutadores no replican todo el tráfico a todos los puertos.
Los conmutadores de extremo superior (para uso comercial) pueden tener puertos especiales (Span o Management) que se pueden configurar para replicar todo el tráfico. Los departamentos de TI usan esos puertos para monitorear el tráfico (rastreo legítimo). Detectar el olfateo no autorizado debería ser fácil: mire el conmutador y vea si hay algo conectado a ese puerto.