1 508
contributi
Monitorare l'attività ARP con Arpwatch: differenze tra le versioni
Vai alla navigazione
Vai alla ricerca
m
Monitorare l'attività ARP con Arpwatch (visualizza wikitesto)
Versione delle 13:45, 30 gen 2010
, 30 gen 2010nessun oggetto della modifica
Nessun oggetto della modifica |
mNessun oggetto della modifica |
||
| Riga 1: | Riga 1: | ||
{{Versioni compatibili|Tutte le versioni di Debian|}} | {{Versioni compatibili|Tutte le versioni di Debian|}} | ||
__TOC__ | __TOC__ | ||
=Monitorare l'attività di una rete LAN con Arpwatch: introduzione= | ==Monitorare l'attività di una rete LAN con Arpwatch: introduzione== | ||
Arpwatch è un ottimo strumento per sistemi Unix-like che tiene monitorata tutta l'attività ARP di una rete LAN Ethernet IPv4, intercettando ogni pacchetto di broadcast ARP che giunge sull'interfaccia di rete configurata. Appena avviato, Arpwatch genera un log contenente tutte le coppie '''Indirizzo IP / Indirizzo MAC''' associate ai PC della LAN, correlandole a un timestamp che indica quando la coppia monitorata è stata rilevata nella rete LAN.<br/> | Arpwatch è un ottimo strumento per sistemi Unix-like che tiene monitorata tutta l'attività ARP di una rete LAN Ethernet IPv4, intercettando ogni pacchetto di broadcast ARP che giunge sull'interfaccia di rete configurata. Appena avviato, Arpwatch genera un log contenente tutte le coppie '''Indirizzo IP / Indirizzo MAC''' associate ai PC della LAN, correlandole a un timestamp che indica quando la coppia monitorata è stata rilevata nella rete LAN.<br/> | ||
Ogni cambiamento rispetto al database contenuto nel log, come ad esempio l'aggiunta di nuovo host o la modifica del mac address di un host già aggiunto (sintomo o del cambio della scheda di rete di un computer o del cambio dell'host associato ad un IP o - e questo è l'aspetto più importante - di attività di arp poisoning, tipiche di sniffer per ambienti switchati come ettercap) viene notificato via mail (di default a root) e su syslog. Alla prima esecuzione è normale ricevere varie mail per tutti gli host in rete, successivamente verranno notificate solo le variazioni e su queste, se non sono previste, è sempre bene indagare. Nelle notifiche vengono segnalati l'indirizzo IP coinvolto e il vecchio e il nuovo MAC address.<br/> | Ogni cambiamento rispetto al database contenuto nel log, come ad esempio l'aggiunta di nuovo host o la modifica del mac address di un host già aggiunto (sintomo o del cambio della scheda di rete di un computer o del cambio dell'host associato ad un IP o - e questo è l'aspetto più importante - di attività di arp poisoning, tipiche di sniffer per ambienti switchati come ettercap) viene notificato via mail (di default a root) e su syslog. Alla prima esecuzione è normale ricevere varie mail per tutti gli host in rete, successivamente verranno notificate solo le variazioni e su queste, se non sono previste, è sempre bene indagare. Nelle notifiche vengono segnalati l'indirizzo IP coinvolto e il vecchio e il nuovo MAC address.<br/> | ||
| Riga 10: | Riga 10: | ||
# apt-get install arpwatch | # apt-get install arpwatch | ||
</pre> | </pre> | ||
=Configurazione= | ==Configurazione== | ||
La configurazione è contenuta nel file <tt>'''/etc/arpwatch.conf'''</tt>: | La configurazione è contenuta nel file <tt>'''/etc/arpwatch.conf'''</tt>: | ||
<pre> | <pre> | ||
| Riga 27: | Riga 27: | ||
eth0 -a -n 192.168.0.0/24 -m amministratore@dominio.local | eth0 -a -n 192.168.0.0/24 -m amministratore@dominio.local | ||
</pre> | </pre> | ||
Per funzionare, Arpwatch richiede che sullo stesso PC sia installato un mail transfer agent (come ad esempio sendmail, postfix o exim) | Per funzionare, Arpwatch richiede che sullo stesso PC sia installato un mail transfer agent (come ad esempio sendmail, postfix o exim). | ||
=Esempio di email di alert= | ==Esempio di email di alert== | ||
Mail con oggetto "'''FLIP FLOP'''" o "'''Change ethernet address'''", come ad esempio la seguente, potrebbero essere la spia di un attacco in atto sulla LAN. | Mail con oggetto "'''FLIP FLOP'''" o "'''Change ethernet address'''", come ad esempio la seguente, potrebbero essere la spia di un attacco in atto sulla LAN. | ||
<pre> | <pre> | ||