क्या आपका मॉनिटरिंग सिस्टम परिवर्तन के समय चिल्लाता है?

मान लीजिए आप एक इंटरनेट प्रदाता हैं या आपके पास डायनामिक रूटिंग के साथ अपना नेटवर्क है, तो विषय ही ...
एक वाजिब सवाल, क्यों? परिवर्तन लॉगिंग के कई कारण हैं, और निगरानी प्रणाली को सरल कारण के लिए चिल्लाना चाहिए कि कोई भी त्रुटि से प्रतिरक्षा नहीं करता है। कटौती के तहत त्रुटि के बारे में, लेकिन अभी के लिए, यदि आप जानते हैं कि रूटिंग कैसे काम करता है, तो आंकड़े में अपने प्रश्न का सावधानीपूर्वक विश्लेषण करें और उत्तर दें।



प्रश्न का सही उत्तर राउटर 3.3.3.3 के माध्यम से है, केवल इसलिए कि इस राउटर के माध्यम से उपसर्ग लंबा है। जब एक निर्णय किया जाता है कि दोनों में से कौन सा मार्ग जीतता है, तो उपसर्ग हमेशा सबसे पहले जांचा जाता है। यदि एक ही उपसर्ग के साथ मेजबान के लिए दो मार्ग हैं, तो उच्च प्राथमिकता रूटिंग प्रोटोकॉल के साथ मार्ग जीत जाएगा, यदि रूटिंग प्रोटोकॉल समान हैं, तो राउटिंग प्रोटोकॉल के आंतरिक मैट्रिक्स को ध्यान में रखा जाएगा।
लेकिन हम थोड़ा विचलित थे, वास्तव में, मैं एक लंबी कहानी बताना चाहता था, 2006 के बारे में, कि कैसे मुझे गलती से अपने प्रदाता के मार्ग के साथ हस्तक्षेप करने का अवसर मिला, और इस मामले में क्या किया जा सकता है।

त्रुटि का पता कैसे चला।

यह सब इस तथ्य से शुरू हुआ कि मुझे आईडीएस स्नॉर्ट को कॉन्फ़िगर करने की आवश्यकता थी। प्रदाता के साथ सीमांकन पर पैकेट पकड़ा जाना था। इसलिए, पोर्ट मिररिंग को स्विच में कॉन्फ़िगर किया गया था जिसमें प्रदाता शामिल था। स्नॉर्ट सर्वर स्थानीय नेटवर्क पर आंतरिक इंटरफ़ेस था, बाहरी एक सीमांकन से दर्पण ट्रैफ़िक को सूँघ रहा था। स्वाभाविक रूप से, ऐसे मामलों में, tcpdump या ऐसा ही कुछ हमेशा कॉन्फ़िगरेशन के दौरान शुरू होता है। जब मैंने विश्लेषण करना शुरू किया कि मुझे tcpdump के साथ क्या मिला, तो एक दिलचस्प बात पता चली - प्रदाता के राउटर ने समय-समय पर EIGRP HELLO मल्टीकास्ट पैकेट मुझे भेजे।

आप गलती कैसे कर सकते हैं।

सबसे पहले मुझे इस बात में दिलचस्पी थी कि ऐसा कैसे हो सकता है। मैंने पहले ईआईजीआरपी के साथ काम नहीं किया था, हालांकि, मुझे जल्दी से पता चला कि डिफ़ॉल्ट रूप से ईआईजीआरपी को कॉन्फ़िगर करते समय, सभी इंटरफेस सक्रिय मोड में बदल जाते हैं और राउटर तुरंत इसके लिए मल्टीकास्ट का उपयोग करते हुए पड़ोसियों की तलाश करना शुरू कर देते हैं। आप वैश्विक रूप से सभी इंटरफेस को निष्क्रिय मोड में स्थानांतरित कर सकते हैं और उनमें से केवल कुछ को सक्रिय कर सकते हैं। आप सभी इंटरफेस को सक्रिय छोड़ सकते हैं और अनावश्यक (जो ग्राहकों को देखते हैं) को निष्क्रिय मोड में स्थानांतरित कर सकते हैं। प्रदाता ने दूसरे दृष्टिकोण का उपयोग किया। सबसे अधिक संभावना है, प्रदाता के नेटवर्क प्रशासकों में से एक से गलती हुई थी और उस इंटरफ़ेस का अनुवाद नहीं किया था जो मुझे निष्क्रिय मोड में देखता था।
यह स्पष्ट हो गया कि यह कैसे हो सकता है। मान लें कि आप कॉन्फ़िगर करते हैं, इस समय आप 5 मिनट के लिए एक फोन कॉल से विचलित होते हैं, आप काम पर लौटते हैं और समझते हैं कि सब कुछ पहले से ही कॉन्फ़िगर किया गया है और सब कुछ काम करता है। कॉन्फ़िगरेशन को सहेजें, लेकिन यह भूल जाएं कि आपने इंटरफ़ेस को निष्क्रिय मोड में नहीं रखा है।

ऑपरेटिंग त्रुटियों के लिए विकल्प।

यह पता चला कि मैं अपने स्थान पर EIGRP को कॉन्फ़िगर कर सकता हूं और प्रदाता के मार्ग में शामिल हो सकता हूं। स्वाभाविक रूप से, मुझे इसमें रुचि थी कि इसका उपयोग कैसे किया जा सकता है। जितना मैंने इसके बारे में सोचा, उतना ही दिलचस्प बन गया।
मुझे कहना होगा कि प्रदाता के साथ मेरा उत्कृष्ट संबंध था। प्रदाता के कर्मचारियों ने हमें सूचित किया कि वे, सिद्धांत रूप में, इस तथ्य के विरोध में नहीं हैं कि हम उन्हें क्रैक करने की कोशिश करेंगे और शिकायत नहीं करेंगे। मुख्य बात कुछ भी तोड़ना नहीं है, और अगर कुछ की खोज की जाती है, तो उन्हें बताएं। सभी लोग - हर कोई गलत है। उन्हें मुफ्त में पैठ के लिए परीक्षण किया जाता है, और हमारे पास एक शांत प्रशिक्षण मैदान है।
इसलिए, मैंने प्रदाता को फोन किया, कहा कि मैंने कुछ खोजा था, अर्थात्, मैं अगले दिन कहूंगा, लेकिन अब मैं प्रयोग करूंगा। अगर वे देखते हैं कि मैं क्या कर रहा हूं, तो उन्हें इसे कवर करने दें। वास्तव में, यह दिलचस्प था कि अगर रूटिंग के साथ मेरे हस्तक्षेप का पता लगाया जाएगा या नहीं। नहीं मिला। लेकिन आइए जानें कि इस मामले में क्या किया जा सकता है।

यातायात चोरी।

यह आम बात है। EIGRP को लेने के बाद, मैंने तुरंत उनकी रूटिंग टेबल को उठाया। यह उपलब्ध होने के बाद, यह पता लगाना आसान है कि कौन सा सबनेट मुफ़्त है, इसे अपने राउटर पर पंजीकृत करें और एक चैनल प्राप्त करें जो ट्रैफ़िक या गति द्वारा सीमित नहीं है। मैंने इसका थोड़ा फायदा उठाया।

उपयोग किए गए किसी भी क्लाइंट सबनेट पर कब्जा।

आप राउटिंग टेबल में मौजूद किसी भी सबनेट पर अपने राउटर पर रजिस्टर कर सकते हैं। यदि आप इस सबनेट को एक लंबे उपसर्ग के साथ कई में तोड़ते हैं, तो ट्रैफ़िक आपके पास जाएगा, और प्रदाता के क्लाइंट के लिए नहीं।
उपयोग के कई मामले हो सकते हैं। उदाहरण के लिए, आप उनकी अवैध गतिविधियों के निशान को प्रभावी ढंग से छिपा सकते हैं। अवधारणा का परीक्षण करने के लिए, मैंने वास्तव में डायलअप क्लाइंट के आईपी पते पर कब्जा कर लिया। उन्हें कोई आपत्ति नहीं है, अगर ऐसा है, तो वे फिर से कनेक्ट कर सकते हैं और एक अलग आईपी प्राप्त कर सकते हैं।
एक अन्य उदाहरण प्रदाता के DNS सर्वरों के आईपी पते को कुछ समय के लिए कैप्चर करना है और प्रदाता के क्लाइंट्स को DNS सर्वर के साथ बदल देना है। इस मामले में, आप सहपाठियों से पासवर्ड भी चोरी कर सकते हैं (ओह, डरावनी !!!)। बेशक, यह सुनिश्चित करना मुश्किल है कि आपको पता नहीं चला है, लेकिन अब बातचीत उस बारे में नहीं है।
और आइए इस बारे में सोचें कि एक क्लाइंट के विफलता के लक्षण क्या देखते हैं कि नेटवर्क किसका काम ले रहा है। सत्यापन के लिए, मैंने GNS3 को तैनात किया। यहाँ नेटवर्क है।

लेकिन तब क्या होता है जब इसके इंटरफेस पर निर्दिष्ट सबनेट के लिए एक लंबे उपसर्ग के साथ R1 पर एक मार्ग होता है - 192.168.0.0/24, और मामले में जब यह नहीं है।

क्लाइंट को तीसरे स्तर पर इसका डिफ़ॉल्ट गेटवे दिखाई नहीं देता है।
इसलिए, यदि आप बहुत क्रोधित हैं, तो, उदाहरण के लिए, आप प्रदाता के नेटवर्क प्रशासकों को एक सुंदर, ब्रेज़ेन और परिष्कृत DoS की व्यवस्था कर सकते हैं, जो उन्हें अपने नेटवर्क का प्रबंधन करने की क्षमता से वंचित करते हैं।
क्या आप जानते हैं कि प्रदाता के "असली ओडमिन" सफेद सबनेट में बैठना पसंद करते हैं, विश्वसनीय फ़ायरवॉल के पीछे जिसे वे स्वयं कॉन्फ़िगर करते हैं? इसके अलावा, नियंत्रण नेटवर्क उपकरणों तक पहुंच केवल इस सबनेट से उपलब्ध है। बेशक, हमेशा नहीं, लेकिन वे अक्सर ऐसा करते हैं।
किसी हमले को अंजाम देने के लिए, आपको यह पता लगाना होगा कि वे किस सबनेट में बैठे हैं। ऐसा करने के लिए, आप प्रदाता के नेटवर्क व्यवस्थापक को अपने सर्वर पर एक शांत तस्वीर के लिए एक लिंक भेज सकते हैं। और जब कुछ मुस्कान वापस आती है, तो सर्वर लॉग द्वारा आईपी पते को देखें। आप इसी तरह के अन्य तरीकों का उपयोग कर सकते हैं, किसी ने भी सामाजिक इंजीनियरिंग को रद्द नहीं किया है।
इसके बाद, इस सबनेट को कई सबनेट में तोड़ें और अपने राउटर पर रजिस्टर करें। यह सब, akhtung प्रदान किया गया है, प्रदाता के नेटवर्क प्रशासक ने इंटरनेट खो दिया है। प्रदाता प्रशासकों की ओर से, ऐसा लगता है कि उनका डिफ़ॉल्ट गेटवे गिर गया है। यही है, मैक दिखाई देता है, लेकिन यह प्रतिक्रिया नहीं करता है और प्रबंधन बंदरगाहों (टेलनेट, एसश, www) पर उपलब्ध नहीं है। आप, इसके अलावा, कंसोल से कनेक्ट कर सकते हैं। यह भी पता लगाना मुश्किल है कि आप पर क्या हमला हुआ है, यह हार्डवेयर क्रैश या राउटर पर ऑपरेटिंग सिस्टम क्रैश की तरह है। क्रूर, लेकिन सुंदर, सही?

निष्कर्ष।

राउटिंग परिवर्तनों की निगरानी करना अच्छे कारणों के लिए अच्छा अभ्यास माना जाता है। बेशक, जब नेटवर्क में मार्ग बदलते हैं, तो आपको एक ज़ोर से सूचना नहीं देनी चाहिए, लेकिन IMHO, यह एक चेतावनी सेट करने के लायक है कि डायनामिक रूटिंग में भाग लेने वाला एक नया राउटर नेटवर्क पर दिखाई दिया है।

PS अपने रूटिंग हाथ , सेन्या का ख्याल रखें।