Удар по сниферу

Докучаев Дмитрий aka Forb

Хакер, номер #079, стр. 079-046-3

Данный прием чем-то напоминает социальную инженерию, так как ты заранее подстраиваешь исход ситуации. Этот метод действительно универсален и подходит для всех сниферов и типов операционных систем. Если ты озабочен вопросом, что твои данные кем-то перехватываются, обязательно подстрахуй себя этой проверкой.

5. Тест сетевой латентности

Предложу еще один способ определения пассивных сниферов. Он заключается в посылке мусора в сеть. Причем сгенерированные пакеты должны иметь левые MAC-адреса. Параллельно с этим осуществляется пинг всех машин в сети и сравнение результатов. По определению снифер будет кушать все пакеты и тем самым загружать собственный канал. Параллельный опрос времени ответа укажет на виновника. Впрочем, данный прием целесообразен, когда ты точно знаешь топологию твоей локалки. Бывает, что провайдер сам зарезает канал до определенных узлов. В этом случае прием не имеет особой эффективности.

6. Локальное выявление сниферов

Если у тебя есть подозрение, что хакер установил перехватчик данных на маршрутизаторе, либо одним из вышеперечисленных приемов ты доказал этот факт, то следует найти и нейтрализовать снифер. Самый простой способ отыскать нюхача — выполнить команду ifconfig ether_name. Если в выводе результата будет присутствовать слово PROMISC, это означает, что адаптер находится в прослушивающем режиме и, следовательно, в системе есть снифер. Однако даже если атрибута PROMISC не будет, взломщик мог установить руткит и протроянить бинарник /sbin/ifconfig. На всякий случай возьми проверенный исполняемый файл и запусти его на маршрутнике.

[активная атака — скрытая атака]

Даже если ты уверен, что твоя сеть строится на одних коммутаторах, это не означает, что передаваемые данные на 100% защищены. Используя метод отравления ARP-таблиц (ARP-poisoning), хакер может заставить шлюз пересылать информацию через свой компьютер. Описание этой атаки я уже приводил в прошлом номере (статья «Операция «Вулкан-5»), поэтому повторяться не буду.

Методы защиты от такого перехвата могут быть применены лишь администраторами сети. К сожалению, пользователь от таких атак защититься не может. Но, как говорится, безысходных ситуаций не существует, поэтому читай во врезке готовые решения, применяемые против всех нюхачей. А пока рассмотрим средства противостояния против атаки типа MitM.

1. ARPWatch — простенько и со вкусом

ARPWatch (www.securityfocus.com/data/tools/arpwatch.tar.Z) — это очень хорошая тулза. Она занимается выявлением нелегально присвоенных MAC-адресов, отлавливая все ARP-ответы и складывая их в базу. Если какой-то узел отправил пакет с MAC-адресом, уже имеющимся в базе, программа сравнивает его с записанным и в случае несоответствия отправляет email-уведомление администратору.