Как работает перехват пакетов

Сетевая карта обычно отбрасывает пакеты, не предназначенные для её MAC-адреса. Неразборчивый режим отключает этот фильтр, заставляя NIC передавать операционной системе все полученные кадры независимо от адресата. При наличии прав администратора любое приложение может включить для интерфейса неразборчивый режим и получать весь трафик, видимый в сетевом сегменте, а не только трафик, адресованный этой машине.

libpcap — переносимая библиотека C, предоставляющая стандартный API для захвата пакетов в Unix-подобных системах. WinPcap и её преемник Npcap предоставляют аналогичные возможности в Windows. Практически каждый инструмент захвата пакетов и анализа сети, включая Wireshark, tcpdump и Snort, использует libpcap как базовый механизм захвата. Библиотека обрабатывает низкоуровневое взаимодействие с операционной системой и предоставляет язык фильтров для выбора определённых пакетов.

Wireshark — наиболее широко используемый графический инструмент анализа пакетов. Он захватывает трафик в реальном времени или открывает сохранённые файлы PCAP, декодирует сотни протоколов, собирает потоки TCP и отображает расшифрованное содержимое, если доступны ключи. Строки пакетов с цветовой маркировкой, фильтры отображения, отслеживание потоков и статистика протоколов делают его незаменимым инструментом как для устранения неполадок в сети, так и для анализа безопасности.

tcpdump — инструмент захвата пакетов из командной строки, доступный практически во всех системах Unix. Простая команда tcpdump -i eth0 port 80 захватывает весь трафик HTTP на интерфейсе eth0 и выводит краткую информацию о каждом пакете. Флаг -w записывает необработанные пакеты в файл PCAP для последующего анализа в Wireshark. Язык фильтров BPF в tcpdump позволяет точно выбирать трафик по протоколу, порту, адресу и флагам.

В современных сетях с коммутацией коммутатор пересылает пакеты только на правильный порт назначения, поэтому NIC в неразборчивом режиме видит лишь широковещательный трафик и трафик, адресованный собственному MAC-адресу. Отравление ARP позволяет обойти это ограничение. Злоумышленник отправляет самопроизвольные ответы ARP, сообщая жертве, что MAC-адрес злоумышленника принадлежит шлюзу, а шлюзу — что MAC-адрес злоумышленника принадлежит жертве. Весь трафик проходит через машину злоумышленника.

После успешного отравления ARP машина злоумышленника получает пакеты и от жертвы, и от шлюза. Чтобы не нарушить обмен данными, злоумышленник пересылает пакеты между ними, одновременно читая или изменяя содержимое. Такие инструменты, как arpspoof из пакета dsniff и Ettercap, автоматизируют отравление ARP и пересылку трафика. Атака незаметно выполняется в локальном сетевом сегменте, и жертвам трудно её обнаружить без специального мониторинга ARP.

До того как коммутаторы стали стандартом, в сетях использовались концентраторы, которые передавали каждый пакет на все порты. В сегменте с концентратором для захвата всего трафика всех узлов было достаточно включить неразборчивый режим, не прибегая к отравлению. Сегодня концентраторы редко встречаются за пределами старых устаревших сред и некоторых промышленных сетей управления. Однако сети Wi-Fi ведут себя как концентраторы для трафика в пределах одного беспроводного канала, поэтому пассивный захват в режиме мониторинга выполняется достаточно просто.

Сетевые администраторы используют зеркалирование портов, также называемое SPAN в терминологии Cisco, для законного захвата трафика с целью мониторинга и устранения неполадок. Управляемый коммутатор настраивают так, чтобы он копировал весь трафик, проходящий через указанные порты или VLAN, на выделенный зеркальный порт, подключённый к устройству мониторинга. Это обеспечивает полную видимость трафика без отравления ARP и является утверждённым методом для датчиков обнаружения вторжений и сетевых ответвителей.

Захват сетевого трафика, к которому у вас нет разрешённого доступа, нарушает законодательство большинства юрисдикций, включая US Computer Fraud and Abuse Act и UK Computer Misuse Act. Даже внутри организации захват трафика сотрудников может требовать их согласия и соблюдения политики HR. Специалисты по тестированию на проникновение должны иметь явное письменное разрешение, охватывающее захват пакетов. Администраторам IT обычно требуется одобрение политики организации для развёртывания сетевого мониторинга.

Захват сетевой активности даже за несколько минут может раскрыть версии приложений из заголовков User-Agent в HTTP, отпечатки операционных систем по поведению стека TCP, внутренние имена узлов из запросов DNS, учётные данные из устаревших протоколов, файлы cookie сеансов из трафика HTTP, а также карту всех взаимодействующих систем и служб. Такая разведывательная ценность делает захват пакетов основным инструментом атаки.

Основная защита от захвата пакетов — шифрование всего сетевого трафика, чтобы захваченные пакеты содержали только шифротекст. Механизм динамической проверки ARP на управляемых коммутаторах сопоставляет ответы ARP с доверенной таблицей привязок DHCP и предотвращает отравление ARP. Защита портов ограничивает MAC-адреса, которые могут появляться на каждом порту коммутатора. Сегментация сети ограничивает масштаб последствий для любой отдельной скомпрометированной машины, выполняющей атаки ARP.

Какова цель отравления ARP при атаке с захватом пакетов в сети с коммутацией?

Неразборчивый режим позволяет NIC получать все кадры в сегменте. libpcap служит основой всех основных инструментов захвата. Wireshark и tcpdump — главные инструменты анализа. Отравление ARP перенаправляет коммутируемый трафик через машину злоумышленника для перехвата в атаке посредника. Зеркалирование портов обеспечивает законный мониторинг без отравления. Шифрование является основной защитой, а динамическая проверка ARP предотвращает атаку отравления.