Агаву на кактус или массовая уязвимость уровня всего ДЦ

123 4
K
На сайте с 24.03.2004
Offline
223
3955

Немного отхожу от шока, но настроение в целом прибавилось. Собственно в очередной истории с инжектом на один из сайтов был слегка шокированы т.к. возможность кражи их вирусами была исключена. И вот он хит сезона - возможность проведения атак типа arp poisoning cache внутри агавовской 89.108.80.0 - 89.108.95.255.

Т.е. если по русски, то практически любой из подключенных к этой сети может завернуть через свой хост трафик практически любого подключенного к этой сети. Любой из клиентов может убедиться в этом используя утилиту ettercap, которая как раз и предназначеня для проверки качества безопасности сети.

Не долго думая мы попробовали набрать: ettercap -a ./etter.conf -i em0 -T -M arp:remote /89.108.80.1/ /89.108.65.143/ и наши глаза вылезли из орбит.

АГАВУ НА КАКТУС!

И т.к. я не могу доказать, что мои конфиденциальные данные были украдены именно так, то и претензий к Агаве в очередной раз предъявлять не буду. Прошлый раз у них нашли массовый дырявый шаред. Прошу заметить, что атаки уровня arp poisoning cache известны с момента появления первых свичей.

Вис бест регардс,

Константин Ефимович

проверенная ддос защита (http://ddos-protection.ru) -> http://ddos-protection.ru (http://ddos-protection.ru), бесплатный тест, цена от размера атаки не зависит.
Andreyka
На сайте с 19.02.2005
Offline
822
#1

Команду лучше сотри, а то сейчас пойдут пионеры слушать трафик

Не стоит плодить сущности без необходимости
P
На сайте с 08.03.2007
Offline
250
#2

Как страшно жить...

У меня появился вопрос. А вообще уровень компьютерной грамотности снизился или повысился за последние годы в среде имеющих отношение к администрированию ?

A
На сайте с 10.10.2007
Offline
25
#3

а у многих дц отношение к сетке под коло, как к офисной, только что свитчи не д-линк.

Pilat:
У меня появился вопрос. А вообще уровень компьютерной грамотности снизился или повысился за последние годы в среде имеющих отношение к администрированию ?

такое, как правило, сложилось как раз у старых "вояк", сначала плевали на это, а потом сети поразрастались

------ это не завуалирование предложение себя в качестве эксперта. это мнение. Поведение в споре должно быть простым: (с) Стили спора (http://www.jvanetsky.ru/data/text/t7/stili_spora/?print=1) М.М.Ж.
Dolph
На сайте с 08.04.2008
Offline
215
#4

странно, ARP-poison это болезнь виндовых машин. Никсы, на сколько помню, не меняют физический адрес уже известного им устройства.

Лечится все путем прописывания статичных ARP-записей

RuCaptcha.com ( http://www.RuCaptcha.com ) отечественный капча-сервис 20-44 руб за 1000 решений ($0,61 максимум!) на простые капчи ReCaptcha V2/V3/Invis, FunCaptcha, HCaptcha, GeeTest, Capy, KeyCaptcha
A
На сайте с 10.10.2007
Offline
25
#5
Dolph:
странно, ARP-poison это болезнь виндовых машин. Никсы, на сколько помню, не меняют физический адрес уже известного им устройства.
Лечится все путем прописывания статичных ARP-записей

еще скажите, что юниксам необходим ребут после смены адресов :)

Вы что-то путаете. В условиях ДЦ это и остальные арп-фокусы лечатся только умными свитчами 2/2+

K
На сайте с 24.03.2004
Offline
223
#6
Andreyka:
Команду лучше сотри, а то сейчас пойдут пионеры слушать трафик

не будут... одновременно слушать сложно.

kostich добавил 09.04.2008 в 22:54

Dolph:
Лечится все путем прописывания статичных ARP-записей

лечится это либо VLAN-ами, либо L2/L3 ACL на свичах терминирующих клиента... на тему остальных ДЦ с аналогичным бардаком вежливо умолчу... где-то доступно /24, а где-то /17.

AGAVA Firewall входит в число самых эффективных файрволов. Файрвол блокирует внешние атаки, утечку информации, действия злоумышленников в локальной сети, предоставляет полный контроль над всей сетевой активностью.

Виды защиты:
[...]
# Защита от ARP атак, позволяющих перехватить любую информацию, передающуюся по сети.
Zaqwr
На сайте с 08.08.2007
Offline
111
#7
Andreyka:
Команду лучше сотри, а то сейчас пойдут пионеры слушать трафик

такого чуда в инетернетии полно, если бы хотели уже давно послушали...

kostich, а скажите пожалуйста, у вас как реагирует машина на то, что меняется mac на какой либо машины чей мак уже присутствует в arp таблице, в логи ничего не пишет, хотя вроде должна!?

Zaqwr добавил 10.04.2008 в 09:46

kostich:
лечится это либо VLAN-ами, либо L2/L3 ACL на свичах терминирующих клиента

кстати насколько мне известно, acl на свичах достаточно сильно загружает cpu данного девайса (наверное не ко всем свичам это относится, но всёже), что в последствии без сомнений скажется на его производительности не в лучшую сторону... а vlan для каждой машины, это соответствующие затраты на потери ip... а лучше всего сразу предлагать клиентам, статически прописывать мак дефолтного гейта

Администрирование, Linux, Cisco, Juniper
K
На сайте с 24.03.2004
Offline
223
#8
Zaqwr:
такого чуда в инетернетии полно, если бы хотели уже давно послушали...
kostich, а скажите пожалуйста, у вас как реагирует машина на то, что меняется mac на какой либо машины чей мак уже присутствует в arp таблице, в логи ничего не пишет, хотя вроде должна!?

никак не реагирует т.к. MAC адрес при этой атаке не меняется....

Zaqwr
На сайте с 08.08.2007
Offline
111
#9

kostich, да? я думал что меняется arp таблица на атакуемой машине, а что тогда происходит?

и трафик при такой атаке попадет только исходящий от атакуемой машины?

K
На сайте с 24.03.2004
Offline
223
#10
Zaqwr:
kostich, да? я думал что меняется arp таблица на атакуемой машине, а что тогда происходит?

http://en.wikipedia.org/wiki/ARP_spoofing

123 4

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий