Zebra Co robisz?
Jak wart jesteś paskudnej zebry, pilnując jej?
Przełammy niektóre blokady modelu w tym filmie.
Pokażę ci, jak wdrożyć dynamiczną kontrolę w górę, dynamiczną kontrolę w górę zatrzymuje ataki, takie jak
zatrucie OP.
A ataki typu man in the middle w poprzednim filmie, który zamieściłem tutaj
i poniżej, pokazałem ci, jak korzystać z Kelly lub Collie Linux, jeśli wolisz zaimplementować faceta w środku ataku,
zatruwając pamięć podręczną OP urządzeń.
Kelly zatruł pamięć podręczną OP urządzenia Windows i routera Cisco, a następnie zaimplementował człowieka w środku ataku, w którym
cały ruch z tego hosta systemu Windows do jego domyślnej bramy.
Jeździec Cisco został w tym przypadku przekierowany przez hosta Kelly Linux, więc Carly mogła zobaczyć cały
ruch z Windows do kierowcy i Windows do Internetu.
Jako przykład mogliśmy przechwycić hasła telnet i hasła HDP.
Nie powinieneś dzisiaj używać protokołów czystego tekstu w swojej sieci, więc nie powinieneś
używać protokołów takich jak HDP lub telnet, ale jeśli ktoś użyłby haseł czystego tekstu, miałbym widoczność tych
haseł i danych, ponieważ wszystkie ruch jest wysyłany przez host Kelly Linux.
Który w tym przypadku wdrożył człowieka w środku ataku.
Możemy zatrzymać tego rodzaju bzdury, wdrażając dynamiczną inspekcję OP dynamiczna inspekcja OP
wymaga albo szpiegowania DHB, albo ręcznego skonfigurowania adresów MAC, te przełączniki w zasadzie szpiegują lub
nasłuchują żądań HP od hostów lub urządzeń do serwera DHB, a następnie tworzą się dynamicznie podczas korzystania
z DHB szpiegowania adresu MAC na mapowanie adresu IP do interfejsu.
Mówi więc, że ten adres MAC należy do tego interfejsu.
Jeśli zmienisz adres MAC, ruch zostanie zablokowany, a ja pokażę, że korzystam z Kelly
Linux w tym filmie.
Pokażę więc, jak wdrożyć dynamiczną inspekcję szpiegowską HP, a następnie powstrzymać Kelly przed wysyłaniem ruchu,
gdy zmieni swój adres Mac.
Więc przestaniemy zatruwać ataki.
Aby to ułatwić, dodałem tę prezentację pod tym filmem.
Ta prezentacja pokazuje sieć, z której korzystam, a następnie pokazuje, jak skonfigurować dynamiczną kontrolę
IP.
Mam tutaj linki do Cisco i innych stron internetowych, które zawierają
więcej informacji, ale pokazuję również, jak skonfigurować zarówno szpiegowanie DHB, jak i dynamikę inspekcji.
Więc w tym filmie pokażę ci sporo szczegółów, jak to wszystko działa.
Użyj menu tutaj, aby przejść do konkretnego tematu, jeśli chcesz.
Pokażę więc, jak skonfigurować szpiegowanie DHB, ale omówiłem to jeszcze raz w
tym filmie, więc jeśli chcesz tylko zobaczyć część dynamicznej kontroli IP wideo, przeskocz do
określonego znacznika czasu.
Ponownie zamieściłem to poniżej tego filmu.
Ta prezentacja pokazuje, jak to skonfigurować, aby zweryfikować to na przełączniku Cisco.
Teraz pierwszą rzeczą, którą musimy zrobić, to włączyć szpiegowanie DHB.
Teraz omówiłem to i wiele szczegółów w poprzednim filmie, więc wszystko, co zamierzam tutaj
zrobić, to skopiować i wkleić polecenia do przełącznika.
Obejrzyj ten film.
Jeśli chcesz obejrzeć wideo podglądające DHB, które omawia to bardzo szczegółowo.
Okej, więc zamierzam skopiować polecenia z tej prezentacji i wkleić polecenia na
naszym przełączniku.
Teraz nie jesteś już topologią, mamy Cisco szerszy, ten jeździec jest skonfigurowany z serwerem DHB.
Zobaczmy więc, że najpierw tutaj jest nieprzetworzony strumień danych.
Rozpocznij DHEA P, który pozwala mi tylko na zawieszenie konfiguracji, dopóki nie zostanie znalezione słowo kluczowe DHEA P, więc pojawi
się polecenie.
Oto mój ciąg DHB.
Możesz zobaczyć, że sieć wykorzystała 10 1 1 0 ukośnik 24.
Domyślną prawą lub domyślną bramą jest router lokalny, na którym serwer DNS jest ustawiony na Google, router ma ten
adres IP 10 1 1 2 5 4 skonfigurowany na gigabit 0.
Tak więc ten interfejs jest skonfigurowany z adresem IP 10 1 1 2 5 4, a po prawej stronie alokuje
adresy IP do urządzeń i możemy zobaczyć, że po wpisaniu show powiązania IP DHB możemy zobaczyć, że dwa urządzenia
otrzymały adresy IP.
To jest adres IP przydzielony Kelly Linux.
Jest to adres IP przydzielony komputerowi z systemem Windows.
Możemy to
sprawdzić za pomocą adresu IP polecenia na Kelly.
Zauważ, że adres IP jest przypisany do hosta Linux Kelly i na komputerze z systemem Windows.
Otworzę konfigurację pytania C i D IP.
Jest to adres IP komputera z systemem Windows, więc serwer DHB został skonfigurowany.
Przydziela adresy IP urządzeniom w sieci.
Teraz musimy skonfigurować szpiegowanie DHB na przełączniku.
W tej chwili nie włączono szpiegowania DHB, dzięki czemu widać, że nie włączono żadnych poleceń DCP i
nie włączono dynamicznej kontroli w górę.
Dobra, więc pierwszą rzeczą, którą zrobię, jest skopiowanie poleceń przełączania DHB P do przełącznika, więc wklej
je i
możesz zobaczyć, że podgląd DHB został włączony na całym świecie.
Zostało włączone dla VLAN 1.
Wyłączyliśmy opcję 82, a polecenie pokaż IP szpiegowanie DHB pokazuje nam, że szpiegowanie DHB jest teraz włączone w
wersji 1, żadne zaufane porty nie zostały jeszcze skonfigurowane.
Teraz jeszcze raz pokazałem ci, jak skonfigurować szpiegowanie HP i wyjaśniłem to
bardzo szczegółowo, więc nie robię tego tutaj.
W porządku.
Następnym krokiem jest skonfigurowanie zaufanych portów z myślą o topologii gigabit 0 0 to zaufany port Ok, więc może
to być topologia gigabit.
0 0 to interfejs, który łączy się z rotorem rotor uruchamia usługę DHB
przydziela adresy IP chcemy ufać serwerowi CHP nie chcemy ufać temu hostowi Kelly Linux jako serwerowi DHB.
Więc z powrotem na przełączniku wkleję te polecenia gigabit 0 0 jest teraz zaufanym interfejsem pokaż IP szperanie DHB widzimy,
że gigabit 0 0 jest teraz zaufanym interfejsem teraz możemy również osiągnąć limit żądań DHEA P do zatrzymania
atak typu „odmowa usługi”, więc ograniczę szybkość przesyłania wiadomości DCP do 10 pakietów na sekundę na gigabit
0 1, który jest interfejsem łączącym mnie ponownie z hostem Kelly Linux. Wyjaśniłem to bardzo
szczegółowo w poprzednim filmie sprzedany kawałek do tego w
najpierw należy wpisać ilość.
Więc spróbuj ponownie.
No to jedziemy.
Pokaż więc interfejs uruchamiania gigabit 00.
Ufamy temu interfejsowi.
Nie ufamy temu interfejsowi.
Interfejs gigabit 0 1 ma ograniczoną szybkość 0 0 jest zaufany.
Dobra, teraz, gdy skonfigurowałem szpiegowanie DHB, mogę skonfigurować dynamiczną inspekcję w górę
dynamiczną inspekcję w górę jest dość prosta do skonfigurowania, to co zamierzamy zrobić, to skonfigurować ją globalnie
na przełączniku za pomocą polecenia Inspekcja IP VLAN 1, więc konfetti Inspekcja IP OPP podaj VLAN mój przykład to V Land 1, ponieważ
wszystkie porty przełącznika są obecnie skonfigurowane w VLAN 1, teraz zazwyczaj w świecie rzeczywistym nie umieszczasz urządzeń, a VLAN, w
którym umieszczasz je w innej sieci VLAN, teraz zauważa, co się
dzieje.
Widzimy już nieprawidłowe komunikaty OP otrzymane na gigabit 02.
To jest host systemu Windows.
W tej chwili nikomu nie ufamy.
Zasadniczo blokujemy cały ruch.
Więc host systemu Windows próbuje dostać się do domyślnej bramy, więc próbuje dostać się do 10 1 1 2 5 4.
Adres IP hosta systemu Windows Adres Mac hosta systemu Windows próbuje dostać
się do domyślnej bramy, a ruch jest odrzucany.
Widzimy to jako przykład w oknach.
P. S. Jeśli spróbuję pingować router, to nie zadziała.
Ruch jest
zabroniony i faktycznie mogę to wykazać.
Zamierzam usunąć dynamiczną inspekcję OP, aby została usunięta, a zauważysz P. DO. Windows P.
DO. może pingować router, ale zauważysz również, że host Kelly Linux może pingować P. DO.
czego nie chcemy, aby działał i może pingować router, aby Kelly mogła pingować oba okna P. DO. jak również router, ale
jak tylko umożliwimy dynamiczną kontrolę w górę, zasadniczo psujemy sieć, ponieważ zauważamy, że ruch z
10 1 1 2 2 10 1 1 100 jest odrzucany, ponieważ teraz, gdy próbujemy pingować hosta systemu Windows, ruch
jest odrzucany Kelly nie jest w stanie pingować hosta systemu Windows i nie może pingować swojej domyślnej bramy,
host Windows nie może dostać się do domyślnej bramy.
To jest problem.
Chcemy, aby mógł komunikować się z domyślną bramą.
Więc zamierzamy ustawić gigabit 0 0 jako zaufany port.
To jest port łączący nas z rotorem.
Więc na interfejsie przełącznika Kontrola gigabit 00 IP OPP po prostu użyj znaku zapytania ponownie zaufaj,
że ufamy temu interfejsowi, więc pokaż uruchom interfejs gigabit 00.
To polecenie pokazuje nam, że interfejs ten jest zaufany zarówno dla szpiegowania DHB, jak i dla inspekcji OP, tak więc teraz
Windows P. DO. pingować wirnik.
W tej chwili widzimy, że nie może.
Nadal dostajemy całą masę zaprzeczeń na przełączniku pokazują
szpiegowanie IPD HP spójrzmy na wiązania.
Zauważ problem.
W tej chwili nie ma powiązań D HP.
Korzystamy z bazy danych powiązań D HP w celu wdrożenia dynamicznej kontroli OP.
Musimy mieć powiązania w bazie danych, aby dynamika inspekcji działała.
Dlatego ciągle otrzymujemy te odmowy, ponieważ nie ma wpisu w bazie danych szpiegujących DHB.
Więc zamierzam wydać slash konfiguracji IP, aby zwolnić mój adres IP, a następnie napisz odnów, aby
odnowić adres IP na komputerze z systemem Windows.
Teraz otrzymuje ten adres IP z powrotem na przełączniku. Pokaż powiązanie szpiegowania IP DHB możemy zobaczyć, że ten adres mac
otrzymał ten adres IP i możemy zobaczyć, że poprzez szpiegowanie DHB na VLAN 1 interfejs, na którym znajduje się
host, to gigabit 02, więc z powrotem w oknach.
P. S. Czy może teraz pingować domyślną bramę?
Odpowiedź brzmi: tak, może.
Pamiętaj więc, ponieważ używamy szpiegowania HP, elementy muszą żądać adresów IP i te adresy IP
muszą być przydzielane za pośrednictwem DHEA.
Musimy mieć podsłuch DHB podsłuchujący rozmowę, widząc, że jeździec przydziela
adres IP P. DO. a następnie z tego powodu rygiel baz
danych szpiegujących DHB i dynamiczna kontrola w górę mogą wykorzystać tę bazę danych do zezwolenia urządzeniom.
Więc ponownie na przełączniku pokaż powiązanie szpiegowania IP DHB możemy zobaczyć, że ten adres IP został
przydzielony do tego adresu Mac na tym interfejsie.
Teraz Kelly nie może płacić za domyślną bramę, ponieważ adres IP nie został dodany do bazy danych szpiegujących
DHB.
Więc zamierzam edytować połączenia w Kelly.
Przejdę do ustawień IP w wersji 4, wyłącz interfejs, wróć
i poproś go o użycie DHEA PI.
Konfiguracja pokazuje nam, że ma adres IP, pokazuje powiązanie IP
DHB na przełączniku. Możesz zobaczyć, że ten adres IP został przydzielony na ten adres
mac, który jest adresem MAC hosta Kelly Lennox, kończy się na 5 a 0 0, co widzimy tutaj.
Więc host Kelly Lennox może pingować domyślną bramę.
Tak, może.
Tak więc na przełączniku ponownie pokazuję wiązanie IP DHEA szpiegujące.
Widzimy, że dwa adresy IP zostały przypisane do określonych adresów MAC, które pokazują kontrolę IP up.
Więc znowu jest polecenie.
Widzimy, że jest włączony dla cielęciny i jeden z tylu pakietów został upuszczony.
Teraz na Kelly jeszcze raz mam konfigurację, która pokazuje mi, że jest to adres MAC hosta kończący się na
5 a 0 0 na przełączniku. Pokaż bazę danych szpiegujących adresów IP DHB, że adresowi MAC został przydzielony
ten adres IP. Kelly może zapłacić domyślną bramę.
Po raz kolejny ten adres IP ten adres MAC Zamienię adres MAC za pomocą zmieniacza Mac Zmiana Mac informuje nas, że możemy zobaczyć
adres MAC za pomocą S. jako opcję, a następnie możemy utworzyć
losowy adres MAC za pomocą paska myślnika lub łącznika lub tak Mac zmienia zero kreski Ethernet zero, który jest bieżącym
adresem mac.
To jest stały adres MAC przewijany w górę.
To jest adres MAC, który widzieliśmy wcześniej z Mam konfigurację.
Stwórzmy więc losowy adres MAC.
Adres MAC, który nam powiedziano, jest teraz dostępny.
Więc mam konfigurację, która pokazuje nam, że jest to nowy adres MAC, któremu przydzielono losowy adres MAC.
Czy możemy zapłacić domyślną odpowiedź bramy? Nie, nie możemy i widzimy wiele
zaprzeczeń na przełączniku.
Nie możesz po prostu utworzyć losowego adresu MAC ani spróbować zaimplementować fałszowania operacji lub zatrucia OP,
ponieważ mamy teraz włączoną funkcję dynamicznej kontroli w górę przełącznika.
I po prostu zatrzymam ping na Kelly.
Jedynym dozwolonym adresem MAC jest ten adres MAC na interfejsie gigabit 0 1.
Ten adres MAC jest dozwolony w gigabit 02.
Więc poprzez losową zmianę mojego adresu Mac za pomocą zmieniacza Mac z tego adresu na ten adres, ruch jest teraz
odrzucany, to także powstrzymuje kogoś przed używaniem aplikacji takich jak cap do zatruwania pamięci podręcznej OP.
Tak więc poprzednio pokazałem wam, jak używać tego ograniczenia do zatrucia hostów w sieci, więc jeśli spróbuję skanować w poszukiwaniu hostów
teraz, gdy przełącznik będzie blokował ruch z powodu dynamicznej kontroli w górę, nie
mogę wdrożyć zatrucia przez używanie czapki w przeciwieństwie do poprzedniej, kiedy pokazałem to w tym
filmie, ponieważ mamy włączoną dynamiczną kontrolę OP.
W porządku.
Bardzo długi film jeszcze raz, ale mam nadzieję, że pokazałem jasno, jak skonfigurować
dynamikę inspekcji i jak ją przetestować. Możesz ponownie pobrać tę prezentację, jeśli chcesz mieć podsumowanie tego,
co zrobiliśmy i chcesz zachowaj to jako odniesienie.