Vlákno názorů k článku Bráníme se odposlechu: ARP Cache Poisoning a připojení počítače k síti od Michal Krsek - Sice nektery pocitace nemuseji byt nektere dny chraneny...
-
Kazdy ma ve firme nejakou funkci. Funkci administratora byva doporucit take kvalitni reseni. Postavit sit tak, ze koupim nejlevnejsi switch/hub, do nej napicham koupeny primy ethernetovy kabely a vono to funguje, umi cvicena opice. Legracni je, ze dane firme muze to nejlevnejsi reseni stacit, treba jsou rizika miziva (ale pak nema cenu si hrat s nejakymi bastly typu harvester MAC adres + staticky arp). Na bezpecnost firmy musite koukat jako na celek (nema smysl hrat si se statickym arpem, kdyz firemni ucetnictvi je v nezamcene skrini na chodbe a sekretarky maji hesla pod klavesnici - na monitorech uz je nalepene nemivaji). -
Neni dulezity, zda tomu rozumis Ty. Dulezity je, zda tomu porozumi ten, co se v tom po Tobe bude vrtat :-) Ostatne v siti, ke ktere je pripojena Tvoje organizace, jsou pomerne velke site, ktere zadny smerovac nemely hodne let :-) VLANy jim mezi sebou smeroval jejich ISP. Takze problem s konfiguraci smerovace nemely.
-
Otazkou je, co je to "vetsi sit" :-) BAPS urcite vetsi sit je. Nicmene sit o dvou trech switchich a dvou VLANach zas tak komplikovana nebude. Dokumentace trvalych nastaveni (ktery port ve ktere VLAN, kabelaz) se navic dela podstatne lepe nez dokumentace nejakeho selmostroje, ktery se pousti hazdou hodinu na serveru.
-
Inspirovat se muzete v CNB, kde maji na sobe 9 nebo 10 nezavislych slupek, ktere utocnik musi POSTUPNE prekonavat... a teprve az pronikne za tu nejnizsi ma moznost vubec cokoli zaskodnickeho provest. Dle mych informaci vetsina utocniku konci okolo urovne 7-6 (sami to vzdaji), nejlepe dopadl nejaky expert, ktery se dostal tusim az na uroven 3, ale to ho uz od urovne 7 bedlive sledovali a monitorovali kazdy jeho krok - jednak zjistili na jaka mista utoci tento clovik, jednak to poslouzilo k dalsimu zlepseni bezpecnosti systemu. Nutno podotknout, ze tento utocnik byl na mete 3 ZASTAVEN - mozna by se dostal i dal, protoze si uz nikdo nedovolil ho dale pustit (opakuji - vedelo se o nem od urovne 7).Je samozrejme, ze nikdo Vam z CNB know-how neda k dispozici, chci jen rici, ze lze postavit technicky velmi sofistikovana reseni, ktera v praxi opravdu funguji.
Tuto infromaci nemam z agentury JPP, ale primo od jistych lidi, kteri to ale samozrejme zcela poprou...:-) -
David Rohleder (neregistrovaný)
Pokud má vaše firma hlouběji do kapsy, existuje možnost i ověřování klientů pomocí protokolu EAPOL
Obrat "mít hlouběji do kapsy" se používá jako vyjádření, že je někdo chudý, nikoliv bohatý.
Statické ARP záznamy jsou fajn do chvíle, kdy máte tak 2-3 počítače. Při větším množství strojů znamená výměna jedné síťové karty oběhnutí všech počítačů a změna záznamu. Což je třeba ve chvíli, kdy měním pokažený směrovač asi to poslední, po čem toužím.
Pro středně velké společnosti, které si nemohou dovolit nákup drahých switchů, doporučuji bránit se statickými položkami.
Pod pojmem "středně velká společnost" si obvykle představím firmu s minimálně několika sty počítači. Tvrdit, že si taková společnost nemůže dovolit switch, který v horším případě stojí stejně jako jeden počítač při počtu 48 portů, je poměrně směšná představa.
Navíc, jak už jsem uvedl, statické ARP záznamy se opravdu do větších sítí nehodí.
-
Martin Haller (neregistrovaný)No jo mate pravdu :-), to prislovi jsem pekne zmotal :-D.
Ohledne strednich firem tak pro me ma stredni firma okolo 100 pocitacu :-).
Abych si obhajil svoje staticky adresy :-):
Situaci ve firme hodlam resit tak ze na linux nasadim skript, ktery kazdy den oskenuje sit a pomoci toho da dohromady IP a MAC adresy a z toho vygeneruje davkovej soubor. Tento davkovy soubor nasledne necham spoustet jako davku po prihlaseni do domeny. IP adresy jsou sice pridelovany pomoci DHCP serveru, ale pokud nastavim propujceni IP adresy napriklad na tri dny tak se nemusim bat ze by v siti neco prestalo fungovat :). Sice nektery pocitace nemuseji byt nektere dny chraneny ale to pro me nic neznamena ochranim totiz temer vsechny. -
l. (neregistrovaný)Uprime tohle Vase reseni neni vubec spatne.
Pri odposlouchavani musi byt faze "nasazeni" pomerne rychla, cim je pomalejsi, tim je vetsi pravdepodobnost odhaleni. Takze hledani nejslabsiho mista muze stat pomerne dost casu. Drahoceneho casu.A nakonec neprinest zadne vysledky. Teorie a praxe jsou bahuzel/nastesti (jak pro koho:) dve rozdilne veci.
Ve skutecnosti je neslabsi misto hw kaylogger, ale to je jina kapitola. -
Martin Haller (neregistrovaný)Vzdyt nic takoveho ani netvrdim ze by to neslo. Jde o to mit jenom penize na technologie a odborniky, kteri vam vytvori reseni na klic. Takovato reseni povazuju za nejdokonalejsi.
Nevim jak jsou banky zabezpeceny. Rozhodne ale musi byt zabezpeceny velmi dobre. Ovsem to ze by to nikdo neprosel si nemyslim. Rocne prijdou banky o miliony tim ze je nekdo prolomi. Jenom to banky nepriznavaji, kvuli dobremu jmenu. -
l. (neregistrovaný)Pro středně velké společnosti, které si nemohou dovolit nákup drahých switchů, doporučuji bránit se statickými položkami.
Nesouhlasim, imho nezalezi na velikosti firmy ale natom, jak je firma "paranoidni". Problem po implementaci statickych arp zaznamu neni o poctu pc(to se da vyresit) ale o mire fluktuace mobilnich PC: tzn. pokud prichazi denne ruznych 20+ lidi do firmy a potrebuji se pripojit, asi by to chtelo nejakou opicku, ktera by arp zaznamy upravovala.(nebo defaultni vlana VISITORS)
Myslim si ze snadnejsi cesta je(security/price):
1)nepouzite port hodit "shotdown".
2)staticke arp zaznamy pro "pevna Pc" (seznamy zalohovat)
3)vlan "visitors" (dedikovane zasuvky v meeting roomu etc)
Zkuste se vyjadrit, L2/3 security je totiz uzasne tema:) -
Dusan (neregistrovaný)CNB je ovsem specialni pripad. Je treba si uvedomit, ze oni si tisknou penize a za sve naklady nejsou ze zakona nikomu zodpovedni. Takze maji na vsechno petkrat tolik lidi co normalni komercni firmy a stravi spoustu casu hranim si s ruznymi hrackami na ktere by v bezne firme nikdo nemel cas ani penize.
