Detekce sdílení zabezpečení/obejití - switch, router,...
Tak nejprve parametry:
Sdílím internet do lokální sítě, kde je daný počet PC (s různými OS), daný počet, jejich MAC a IP adresy znám.
Otázka 1.:
Když si někdo do sítě připojí switch, tak jak ho mám vystopovat? Slyšel jsem, že switch má MAC adresu, tak jak ji zjistit, popř. lepší způsob jak detekovat switch na lokální síti?
Popř. jak by to dotyčný uživatel mohl ze své strany zamaskovat, pokud to lze?
Otázka 2.:
Když některý z připojených pc (pc má více síťových adaptérů) do mé sítě bude sdílet připojení k dané síti za
A) pomocí sítového mostu
B) pomocí sdílení ve Windows (na jiný síťový adaptér)
Jak mohu toto sdílení odhalit, popř. jak může sdílející pc toto sdílení učinit nezjistitelným pro mě?
Otázka 3.:
Otázka stejná jako číslo.2, akorát místo pc by byl router, kde by se také sdílelo na více pc. Za předpokladu, že já bych znal MAC + IP adresu routeru a nevěděl, že dané zařízení je router (myslel si, že je to pc). Jak zjistit, že se mě zde zase neoprávněně sdílí, popř. jak by to dotyčný uživatel mohl ze své strany zamaskovat pokud to lze?
Otázka 4.:
Otázka stejná jako číslo.2, akorát místo pc by byla proxy aplikace běžící na počítači se dvěma síťovými rozhraními. Otázka zase stejná, jak zjistit, zdali dané pc sdílí připojení, popř. jak by se sdílející pc mohl přede-mnou zamaskovat, abych na sdílení nepřišel.
Otázka 5.:
Pokud by dané pc použilo VPN, tak jak to detekovat, popř. jak by se dané pc mohlo tuto skutečnost přede-mnou skrýt.
Děkuji za vaše nápady a názory, Leon
Odpoviem ti ako lokalny ISP a administrator.
1. Pocet pc pripojenych do switchu mozes ovladat cez manazovatelne switche s uzamknutim mac adries na porty. Dalsi switch v sieti zistis napr cez arp tym, ze sa ti na sieti "ponevieraju" cudzie mac adresy. Maskovanie je mozne jedine routrom.
2. Zdielanie internetu vo windowse nikdy nefungovalo, takze tymto by som sa nezaoberal. Co si predstavujes pod pojmom sietovy most je mne nezname, cize sa neviem vyjadrit.
3. Odhalit natovaci router je pomerne tazke, ale ide to. Nicmenej vynalozena namaha v tvojom pripade by urcite nestala za to. Tento bod vynechame radsej.
4. Opat velmi vseobecne, zalezi na typu proxy, niektore proxy prezradzaju viacej akoby sa mohlo zdat. Silne pochybujem, zeby niekto prevadzkoval doma vlastny proxy server.
5. VPn packet dokazes detekovat pokial nie je sifrovany, uplatnuje sa podobny princip ako pri detekcii p2p (torent) packetov. Pripadne mozes blokovat odporucane porty pri vpn spojeniach.
Pokial chces mat co najucinnesjsiu kontrolu nad sietou zakaz pouzivanie cudzich dns okrem svojich, takto budes mat prehlad pri spravnom logovani kto, kam, kde a kedy chodi.
1/
kdyz uzaknu mac adresu pc na port switche a on z daneho pc nasdili internet, tak je mi uzamykani na nic.
A uzivatel "ruzo" rika ze router od pc lze odlisit.
2/
sdileni ve windows me vzdy fungovalo na 100%. Ze Vam to nefungovalo je docela mozne. kdyz nastavite vhodne IP(+masky) adresy, nebo pouzijete DHCP server, tak by to melo slapat bez problemu.
Sítový most si představuji asi tohle:
Bridge
http://windows.microsoft.com/cs-CZ/windows-vista/W hat-is-a-network-bridge
http://technet.microsoft.com/cs-cz/library/cc78372 8%28WS.10%29.aspx
http://technet.microsoft.com/cs-cz/library/cc78109 7%28WS.10%29.aspx
atd. viz. google
3/
Uzivatel "ruzo" rika ze router od pc lze odlisit.
4/
), ale internet muze mit od nas pouze na jedom pc.
Aby mel internet i na druhem (dalsich) pc za to stoji provozovat proxy. vzdyt maji internet zadarmo (respektive za to ze u nas pracuji
5/
cim bych prosim mohl detekovat vpn paket poradte nejeke programy.
Je dost pravdepodobne, ze by ste potrebovali komplexnejsie a predovsetkym hotove riesenie.
Skuste pozriet napr.: http://www.bezpecnostit.cz/reseni/komplexni-sprava -analyza-dat/epo
Je ale pravda, ze to neni zadarmo a dokonca to neni ani "low cost".
Kdepak, tohle nelze resit softwarove.
Reseni:
poradny router s dobrym firewallem (nejlepe i aplikacnim), sofistikovane switche + nasazeni 802.1x do site.
Mas pravdu v tom, ze tohle reseni uz opravdu neni levne a zdarma ani nahodou.
Preco myslis, ze to nieje mozne riesit softwarovo. Predsa kazdy hw potrebuje urcitu cast kodu v podobe softwaru, alebo firmwaru. Uvedene riesenie je postavene na baze hw + sw.To co je zrejme tazatelom vyzadovane, alebo hladane sa vola inspekcia paketov.
Samozrejme je mozne to postavit na baze Unix like systemu aj lacnejsie, akurat ten know-how, ktory je zapracovany do uvedeneho riesenia by bolo nutne najprv nastudovat a odskusat v praxi. Ale suhlasim, ze na bezpecnost sa nemoze hrat na jednom prvku siete (napr. routri), ale je nutne mat k tomu postavenu komplexnu infrastrukturu.