По вашему запросу ничего не найдено :(
Убедитесь, что запрос написан правильно, или посмотрите другие
наши статьи:
Атака MITM обычно выполняется во внутренней корпоративной сети. Злоумышленник использует этот тип атаки с целью перехвата конфиденциальной информации, которая передается между устройствами. Как вы понимаете, «человек посередине» (Man-in-the-middle) — это просто указание на то, где находится злоумышленник. Он располагается между устройством (устройствами) жертвы и получателем. Машина злоумышленника используется для перехвата всех сообщений между жертвой получателем.
Большинство пользователей не знают о незащищенных сетевых протоколах, которые используются для передачи их сообщений от источника к получателю. Эти незащищенные протоколы передают сообщения в виде обычного текста, позволяя злоумышленнику перехватить и просмотреть фактические данные.
Чтобы лучше понять, как работает MITM-атака, давайте посмотрим на следующий рисунок:
Как показано на предыдущем рисунке, если PC1 захочет отправить какие-либо данные через Интернет, они отправляются на шлюз по умолчанию, которым является R1. Кроме того, для всех коммуникаций, которые происходят в локальной сети, устройства пересылают сообщения, используя MAC-адрес назначения, найденный в кадре, а не IP-адрес назначения. IP-адрес назначения важен только тогда, когда сообщение должно быть переадресовано за пределы локальной сети, например, в другую подсеть или удаленную сеть. Следовательно, когда PC1 захочет отправить сообщение через Интернет, он пересылает сообщение на MAC-адрес назначения, известный как BBBB.BBBB.BBBB, который принадлежит R1. Когда R1 должен пересылать какие-либо сообщения (пакеты) на PC1, он будет использовать MAC-адрес назначения AAAA.AAAA.AAAA. Таким образом, изначально сообщения на машину злоумышленника не отправляются.
Злоумышленник может использовать уязвимость в протоколе разрешения адресов (Address Resolution Protocol - ARP), чтобы гарантировать, что все сообщения, которыми обмениваются между PC1 и R1, отправляются через его машину, как показано на следующем рисунке:
Протокол ARP работает между уровнем 2 (канальный уровень) и уровнем 3 (уровень Интернета) стека протоколов TCP/IP. Он предназначен для преобразования IP-адреса в MAC-адрес потому, что коммутаторы не могут считывать адресацию уровня 3, например IP-адресацию внутри пакета. Коммутаторы могут только читать MAC-адреса и пересылать кадры на основе MAC-адреса назначения, найденного в заголовке кадра уровня 2. По этой причине ARP необходим в любой сети.
Когда устройство, такое как PC1, не знает MAC-адрес целевого хоста, такого как R1, оно будет отправлять ARP-запрос в сеть, спрашивая, у кого есть MAC-адрес для конкретного пункта назначения, как показано на следующем рисунке:
Запрос ARP отправляется на все устройства. Только устройство, имеющее IP-адрес назначения, ответит ARP-ответом, содержащим его MAC-адрес, как показано на следующем рисунке:
Затем MAC-адрес временно сохраняется в кэше ARP исходного устройства, PC1. Исходное устройство затем вставляет MAC-адрес назначения в заголовок кадра уровня 2 перед размещением сообщения в сети. Коммутатор, который получает сообщение от PC1, проверяет MAC-адрес назначения, найденный в заголовке уровня 2, и пересылает сообщение на хост назначения.
Злоумышленник может обманом заставить PC1 поверить в то, что он — это R1, а также заставить R1 думать, что он — это PC1. Злоумышленник может притвориться PC1 для R1 и наоборот. С технической точки зрения злоумышленник выдает себя за другую машину в сети — это называется подменой MAC-адресов. Кроме того, злоумышленник отправит безвозмездное сообщение ARP, содержащее ложное сопоставление IP-адресов и MAC-адресов. Каждое сообщение создается специально для PC1 и R1. Безвозмездное сообщение ARP — это ответ, который не был инициирован запросом ARP.
Другими словами, это когда одно устройство отправляет обновление ARP без запроса. Это позволяет злоумышленнику выполнять атаку с подменой ARP и отправлять ложные сообщения ARP устройствам, заставляя их вставлять неверные сопоставления IP-адресов в MAC-адреса в их кэш ARP. Это известная уязвимость, обнаруженная в ARP и TCP/IP.
На следующем рисунке показано, как злоумышленник отправляет безвозмездное сообщения ARP на PC1 и R1:
Это приведет к тому, что весь трафик между PC1 и R1 будет отправлен на атакующую машину, что приведет к атаке MITM.
На следующем скриншоте показан пример инструмента тестирования на проникновение, известного как arpspoof, который используется для отправки бесплатных сообщений ARP на хост-устройства в сети для создания атак MITM:
Как показано на предыдущем скриншоте, инструмент постоянно заполняет компьютер жертвы (10.10.10.11) и шлюз по умолчанию (10.10.10.1) ложными сведениями о сопоставлении IP-адресов с MAC-адресами. На следующем рисунке показан захват Wireshark, отображающий ложные сообщения ARP, отправляемые по сети:
Обратите внимание, как Wireshark выделил сообщения желтым цветом как подозрительные для изучения. Существует множество функций безопасности уровня 2, которые уже предварительно загружены в коммутаторы Cisco IOS, и все они могут быть реализованы специалистом по безопасности. Вот некоторые из этих функций безопасности:
Port security: Port security используется для фильтрации неавторизованных MAC-адресов от входа в интерфейс коммутатора.
Dynamic ARP Inspection (DAI): DAI проверяет информацию об адресе IP-to-MAC, найденную в пакете, поступающем в коммутатор. Если будет найдено поддельное сообщение, коммутатор отклонит его, чтобы защитить сеть уровня 2.
IP Source Guard: это еще одна функция безопасности, которая позволяет устройствам Cisco разрешать в сети только IP-адреса доверенных источников, предотвращая атаки с подменой IP-адресов.
Друг, наша предыдущая статья была посвящена рассказу о том, что из себя представляет протокол DHCP (Dynamic Host Configuration Protocol). Сегодня мы расскажем, как его настроить на оборудовании Cisco.
Маршрутизатор Cisco, работающий под управлением программного обеспечения Cisco IOS, может быть настроен на работу в качестве DHCP сервера. Сервер назначает и управляет адресами IPv4 из указанных пулов адресов в маршрутизаторе для DHCP клиентов.
Исключение адресов IPv4
Маршрутизатор, работающий как DHCP сервер, назначает все адреса IPv4 в диапазоне (пуле), если не настроен на исключение определенных адресов. Как правило, некоторые IP адреса из пула принадлежат сетевым устройствам, таким как маршрутизаторы, сервера или принтеры, которым требуются статические адреса, поэтому эти адреса не должны назначаться другим устройствам. Чтобы их исключить, используется команда ip dhcp excluded-address. При помощи этой команды можно исключить как один единственный адрес, так и диапазон адресов, указав из него первый и последний.
Рассмотрим на примере, в котором исключим из раздачи адрес 192.168.1.254 и адреса с 192.168.1.1 по 192.168.1.9
Router(config)# ip dhcp excluded-address 192.168.1.254
Router(config)# ip dhcp excluded-address 192.168.1.1 192.168.1.9
Настройка DHCP пула
Настройка DHCP сервера включает в себя определение пула адресов, которые будут раздаваться. Для создания пула используется команда ip dhcp pool [название_пула]. После этого необходимо ввести две обязательные команды – network [адрес_сети][маска/длина_префикса] для указания сети из которой будут раздаваться адреса и default-router[адрес_default_gateway] для указания шлюза по умолчанию (можно ввести до 8 адресов).
Также можно использовать дополнительные команды – например, указать DNS сервер (команда dns-server [адрес]), доменное имя (команда domain-name [домен]), NetBIOS WINS сервер (команда netbios-name-server[адрес]), а так же время аренды адреса (команда lease [количество_дней_часов_минут], сначала указываются дни, затем через пробел часы, а затем минуты). По умолчанию время аренды выставляется 1 день.
Router(config)# ip dhcp pool POOL-1
Router(dhcp-config)# network 192.168.1.0 255.255.255.0
Router(dhcp-config)# default-router 192.168.1.1
Router(dhcp-config)# dns-server 192.168.1.2
Router(dhcp-config)# domain-name merionet.ru
Router(dhcp-config)# lease 2
Чтобы выполнить проверку можно использовать команду show ip dhcp binding, которая показывает список всех IP адресов и сопоставленных с ними MAC адресов, которые были выданы DHCP сервером. Также есть команда show ip dhcp server statistics, используя которую можно увидеть статистику DHCP сервера, включая информацию об отправленных и полученных DHCP сообщениях. Ну и если клиентом является ПК с ОС Windows, то информацию можно посмотреть через командную строку, введя команду ipconfig /all, а для пользователей Linux подойдет команда ifconfig.
Ретрансляция DHCP (DHCP Relay)
В сложной иерархической сети серверы обычно находятся не в той же сети, что и клиенты. В результате если DHCP сервер находится в другой сети, то до него не смогут доходить запросы от клиентов, поскольку маршрутизаторы не пересылают широковещательные сообщения. Чтобы решить эту проблему нужно воспользоваться командной ip helper-address [адрес_DHCP-сервера], которую нужно ввести на маршрутизаторе в режиме конфигурации интерфейса, чтобы он перенаправлял broadcast сообщения от DHCP клиентов уже в виде unicast к DHCP серверу, находящемуся в другой сети.
Router_2(config)# interface g0/0
Router_2(config-if)# ip helper-address 192.168.1.1
Настройка роутера как DHCP клиента
Иногда роутер сам должен получить IP адрес по DHCP, например от интернет-провайдера. Для этого нужно в режиме конфигурации интерфейса ввести команду ip address dhcp, после чего интерфейс будет пытаться получить адрес от DHCP сервера.
Router_3(config)# interface g0/0
Router_3(config-if)# ip address dhcp
В сегодняшней статье расскажем как подключить Asterisk к виртуальной АТС от Манго – Телеком на примере FreePBX 13
Теория
Перед тем как мы приступим к настройке, давайте разберемся со схемой работы интеграции. Подключаться к виртуальной АТС мы будет по протоколу SIP. В интерфейсе виртуальной АТС мы создадим сотрудника и назовем его Asterisk. Вслед за этим, нам необходимо будет создать SIP учетную запись и прикрепить ее к созданному ранее сотруднику. На этом этапе у нас будет логин, пароль и домен для регистрации нашего SIP – аккаунта.
Следующим этапом, мы создаем переадресацию на созданного пользователя в настройках распределения звонков. Заключительным этапом мы создаем SIP – транк на нашем Asterisk в сторону виртуальной АТС и регистрируем его. Схема работы приведена ниже:
Настройка
Придерживаясь созданного плана, переходим к созданию нового сотрудника на виртуальной АТС. Для этого, в разделе «Обработка звонков» выбираем пункт «Сотрудники и группы». Далее, переходим во вкладку «Список абонентов» и нажимаем на кнопку «Добавить сотрудника». Откроется форма «Новый абонент»:
Шаг 1 - указываем имя для нашего сотрудника. Мы указали просто asterisk
Шаг 2 - указываем внутренний номер
Шаг 3 - в качестве устройства можете выбрать либо опцию «На обычный IP – телефон», либо «На софтфон (компьютер)». В динамически сформированном ниже меню выбираем «Создать новую учетную запись SIP автоматически»
Шаг 4 - если у вас заведено несколько номеров на виртуальной АТС, то выберите необходимую линию – этим номером буду закрываться все исходящие вызовы с Asterisk
Нажимаем на кнопку создать. На скриншоте ниже сохраните себе выделенные красным параметры:
Пусть в нашем примере это будут следующие настройки:
SIP ID = user11@domain.mangosip.ru
Пароль = Vf5kNm7Z
Теперь необходимо создать правила распределения вызова на наш Asterisk. Переходим в раздел «Настройка», выбираем меню «Обработка входящих звонков» и нажимаем на «Распределение звонков, приветствие, голосовое меню».
В открывшемся пункте меню выбираем номер, звонки на который мы будем маршрутизировать Далее, создаем схему, для этого справа нажмите добавить и введите название для схемы, например, «переадресация» и затем нажмите «Активировать»:
Пролистываем ниже. Создаем схему с переадресации на созданного сотрудника asterisk. У вас должно получиться вот так:
Настройка FreePBX
Создаем SIP – транк в нашем FreePBX. Для этого, переходим в вкладку Connectivity -> Trunks:
Во вкладке sip Settings, в разделе Outgoing скопируйте конфигурацию ниже, предварительно изменив параметры логина, пароль и домена:
type=friend
username=user11
secret=Vf5kNm7Z
host=domain.mangosip.ru
dtmfmode=rfc2833
disallow=all
allow=alaw&g729
fromuser=user11
fromdomain=domain.mangosip.ru
canreinvite=no
insecure=port,invite
qualify=200
context=from-trunk
canreinvite=no
Во разделе Incoming скопируйте строку регистрации ниже:
user11:Vf5kNm7Z@domain.mangosip.ru/4991234567
Здесь, номер 4991234567, это DID, который будет нам передавать Манго - Телеком (номер, выбранный на этапе настройки распределения вызовов). О том, как настроить маршрутизацию вызовов с помощью FreePBX читайте по ссылке ниже:
Маршрутизация вызовов FreePBX 13