Агаву на кактус или массовая уязвимость уровня всего ДЦ

[kostich]

Немного отхожу от шока, но настроение в целом прибавилось. Собственно в очередной истории с инжектом на один из сайтов был слегка шокированы т.к. возможность кражи их вирусами была исключена. И вот он хит сезона - возможность проведения атак типа arp poisoning cache внутри агавовской 89.108.80.0 - 89.108.95.255.

Т.е. если по русски, то практически любой из подключенных к этой сети может завернуть через свой хост трафик практически любого подключенного к этой сети. Любой из клиентов может убедиться в этом используя утилиту ettercap, которая как раз и предназначеня для проверки качества безопасности сети.

Не долго думая мы попробовали набрать: ettercap -a ./etter.conf -i em0 -T -M arp:remote /89.108.80.1/ /89.108.65.143/ и наши глаза вылезли из орбит.

АГАВУ НА КАКТУС!

И т.к. я не могу доказать, что мои конфиденциальные данные были украдены именно так, то и претензий к Агаве в очередной раз предъявлять не буду. Прошлый раз у них нашли массовый дырявый шаред. Прошу заметить, что атаки уровня arp poisoning cache известны с момента появления первых свичей.

Вис бест регардс,
Константин Ефимович

[Andreyka]

Команду лучше сотри, а то сейчас пойдут пионеры слушать трафик

[Pilat]

Как страшно жить...

У меня появился вопрос. А вообще уровень компьютерной грамотности снизился или повысился за последние годы в среде имеющих отношение к администрированию ?

[amso]

а у многих дц отношение к сетке под коло, как к офисной, только что свитчи не д-линк.

Сообщение от Pilat

У меня появился вопрос. А вообще уровень компьютерной грамотности снизился или повысился за последние годы в среде имеющих отношение к администрированию ?

такое, как правило, сложилось как раз у старых "вояк", сначала плевали на это, а потом сети поразрастались

[Dolph]

странно, ARP-poison это болезнь виндовых машин. Никсы, на сколько помню, не меняют физический адрес уже известного им устройства.

Лечится все путем прописывания статичных ARP-записей

[amso]

Сообщение от Dolph

странно, ARP-poison это болезнь виндовых машин. Никсы, на сколько помню, не меняют физический адрес уже известного им устройства.
Лечится все путем прописывания статичных ARP-записей

еще скажите, что юниксам необходим ребут после смены адресов
Вы что-то путаете. В условиях ДЦ это и остальные арп-фокусы лечатся только умными свитчами 2/2+

[kostich]

Сообщение от Andreyka

Команду лучше сотри, а то сейчас пойдут пионеры слушать трафик

не будут... одновременно слушать сложно.

kostich добавил 09.04.2008 в 22:54

Сообщение от Dolph

Лечится все путем прописывания статичных ARP-записей

лечится это либо VLAN-ами, либо L2/L3 ACL на свичах терминирующих клиента... на тему остальных ДЦ с аналогичным бардаком вежливо умолчу... где-то доступно /24, а где-то /17.

AGAVA Firewall входит в число самых эффективных файрволов. Файрвол блокирует внешние атаки, утечку информации, действия злоумышленников в локальной сети, предоставляет полный контроль над всей сетевой активностью.

Виды защиты:
[...]
# Защита от ARP атак, позволяющих перехватить любую информацию, передающуюся по сети.

[Zaqwr]

Сообщение от Andreyka

Команду лучше сотри, а то сейчас пойдут пионеры слушать трафик

такого чуда в инетернетии полно, если бы хотели уже давно послушали...
kostich, а скажите пожалуйста, у вас как реагирует машина на то, что меняется mac на какой либо машины чей мак уже присутствует в arp таблице, в логи ничего не пишет, хотя вроде должна!?

Zaqwr добавил 10.04.2008 в 09:46

Сообщение от kostich

лечится это либо VLAN-ами, либо L2/L3 ACL на свичах терминирующих клиента

кстати насколько мне известно, acl на свичах достаточно сильно загружает cpu данного девайса (наверное не ко всем свичам это относится, но всёже), что в последствии без сомнений скажется на его производительности не в лучшую сторону... а vlan для каждой машины, это соответствующие затраты на потери ip... а лучше всего сразу предлагать клиентам, статически прописывать мак дефолтного гейта

[kostich]

Сообщение от Zaqwr

такого чуда в инетернетии полно, если бы хотели уже давно послушали...
kostich, а скажите пожалуйста, у вас как реагирует машина на то, что меняется mac на какой либо машины чей мак уже присутствует в arp таблице, в логи ничего не пишет, хотя вроде должна!?

никак не реагирует т.к. MAC адрес при этой атаке не меняется....

[Zaqwr]

kostich, да? я думал что меняется arp таблица на атакуемой машине, а что тогда происходит?
и трафик при такой атаке попадет только исходящий от атакуемой машины?