Поиск подключения сети интернет к локальной сети - Форум по вопросам информационной безопасности

Коллеги, прошу помощи.

На предприятии используется несколько сетей. Одна для интернета, другая для работы с КИ.

Со слов наших IT, в сети, для работы с КИ, Интернета нет. Но недавно проговорились, что у некоторых (я так думаю начальников) настроен рабочий компьютер так, что с него можно выйти в сеть интернет.

Хочется, как говорится, найти с поличным. Но на предприятии около 500 рабочих компьютеров. По всем пройтись будет сложно.
По инету пошарился на предмет программ, ничего дельного не нашел.

Необходима именно прога которая просканирует сеть и отобразит где есть выход в инет.

И не найдете. Как вы себе технически такое сканирование представляете? :)

1. Есть проги, которым на вход можно скормить конфиги цисок, и они построют топологию. Но конфиги вы получите от админов, которым ничто не мешает выкусить из них "компрометирующие" строки не спалиться. Не работает, если сеть построена на дешевых поделках типа домашних маршрутизаторов.
2. Есть утилиты типа SolarWinds Network Topology Mapper, которые сами анализируют конфигурацию сетевых устройств и строят топологию. Для этого вам нужен доступ к сетевому оборудованию на уровне админского, а при наличии такого доступа вы и сами были бы способны найти засаду. Кроме того, они не определяют пркси и в целом не покажут вам то, что администраторы не захотят вам показать.
3. Есть утилиты типа BrowsingHistoryView, которые позволяют удалено просматривать историю посещения страниц в разных браузерах. Но для их применения нужно, чтобы админы дали вам доступ на чтение пользовательских профилей в AD.
4. Есть пассивные анализаторы трафика, от анализа агрегированных данных NetFlow до DPI. Но вы не сможете подключить их без содействия ITшников.
5. Если нужно провести исследование совсем без ведомаITшников. Выбираете подозрительный комп, с помощью Cain&Abel заворачиваете его трафик через свой комп и смотрите, какие HTTP-запросы в нем бегают. Но для этого требуется определенная квалификация, без которой вы скорее всего просто заблокируете работу сети. Судя по вопросу, у вас такой квалификации нет, поэтому не рекомендую.

Если вопрос действительно насущный, обратитесь в одну из организаций, оказывающих услуги тестирования на проникновение, это задача как раз по их профилю

to malotavr
Пугаете человека зря :) Тем более товарищи пентестеры заломят цену - им потребуется как минимум половину сетевой структуры "вскрыть", чтобы проглядеть наличие каналов доступа к Сети.

to rogov
Решается пивом для админов. Они дают карту http/https/ftp-запросов (если на выходе в Интернет используется прокси-сервер) или лог tcpdump для конфиденциального сегмента сети (если используется обычный NAT) за рабочие сутки, а также карту внутренних ip-адресов, действительных за данный период времени (если внутри сети используется DHCP). Сопоставляя обе карты (лога) ищем машины подозреваемых и ловим "за руку". Хотя, если эти товарищи используют нештатные каналы связи с Интернет (к примеру, через wifi или gprs модули/телефоны сидят), то такой подход ничего не даст, разумеется. Или же, если внутренняя сеть организована либо слишком грамотно, либо из рук вон плохо - результат будет аналогичным.
Вообще, еще два пути. Либо продолжать "колоть" админов (самый результативный способ), либо шастать от машины к машине (можно и удаленным способом) с целью сбора и анализа логов.

Проще поставить на контроль (а вот тут есть простор методам, от явочной проверки логов, в т.ч. истории браузеров и антивирусов, до удалённого подключения и пр.) несколько подозреваемых "к" ПК . Если не найдёте, а потом кто то вляпается, хоть будет отмазка, что меры принимались, плюс напугаете.
По крайней мере, для этого не нужно профессиональное содействие админов, хватит полномочий безопасника

Общего решения в стиле "нажми кнопку - получи результат" нет. Но можно поискать частное. Проще сначала определить подозрительные компьютера, потом установить есть ли доступ в реальности и только потом думать о доказательствах.
Если для выхода в тырнет используется та же операционная система что и для работы с КИ то можно например внимательнее посмотреть на компьютеры с регулярно обновляемым броузером или флэш плеером.

> им потребуется как минимум половину сетевой структуры "вскрыть", чтобы проглядеть наличие каналов доступа к Сети

Рутинный ARP spoofing для сетки в 500 машин - пара человекодней на все телодвижения, и не надо ничего "вскрывать" :)

В принципе, топикстартер может и сам все это проделать - инструментарий бесплатный - но нужен навык и знания. Иначе можно случайно завернуть на себя весь трафик, идущий через основной шлюз, и если рабочий комп не справится с его маршрутизацией, сеть встанет.

Ко мне как-то собеседовалась девочка, которая проделывала такой перехват парой кликов мыши, не имея ни малейшего представления о том, что такое ARP и как маршрутизируется трафик. Очень удивлялась, что мы такого волшебного спеца не взяли :)

to malotavr
Извиняюсь, не согласен. ARP - L2-уровень, сетевой уровень из стека TCP/IP. К маршрутизации не имеет явного отношения. Коммутация, ага. ARP-спуффинг проделывается изнутри сети (MiTM же!). Извне - только после перехвата управления какой-либо нодой или, что лучше, управляемым коммутатором (можно, конечно, и сервер-шлюзом). Т.е. для начала пентестерам следует "вскрыть" один из объектов сети, явно "смотрящих" и внутрь, и наружу. + чистый ARP-спуффинг сам по себе тут не имеет особого смысла. А при использовании и грамотной настройке во внутренней сети VLAN и спец.настройке коммутаторов для удаления/фильтрации broadcast-запросов так тем более (если речь идет об атаке из другого сегмента, например из открытого в КИ). О VLAN и настройках коммутаторов нам топикстартер не сказал. Выходит гадание на кофейной гуще - хз какие методы и хз как их обходить.
+ перевод трафика на себя означает колоссальное повышение нагрузки на машину атакующего и да, как уже отмечалось, возможность "кольца" и проч. обвалов сети. + надо точно знать время работы в Инете подозреваемой машины. Иначе получим поток трафика, ни на что подозрительное не указывающего. А это время, как видно из поста топикстартера, заранее не известно (иначе физически бы уже поймали за руку). + посчитайте нагрузку за счет добавления каждой новой "подозреваемой ноды" при завороте трафика на себя. Не выгодно.
Если пентестера изначально пустить внутрь сети (физически или с использованием удаленных средств доступа), то придется вначале договориться с админами (мы же не выявление уязвимостей проводим, когда фактор известия ответственных лиц может помешать). Чтобы в случае ошибки/глюка не легла сеть или хотя бы не образовалась паника, закончившаяся битием морд и зачинщику, и пентестеру. А если мы ставим своей целью все сделать в обход IT-отдела, то это все не имеет ни малейшего смысла. Таким образом, возвращаемся к идее "пиво + админ = profit" в качестве оптимального варианта решения.

Предлагаю еще одно техническое решение проблемы. Сесть на зеркальный порт (организовать его) коммутатора, на котором висят подозреваемые машины, включить дампер с анализирующим скриптом на предмет, к примеру, исходящих запросов-ответов по IP-адресам, отличающимся от адресации внутренней сети, и ждать. Но это также требует договора с админами. Зато никак не скажется на работоспособности сети.

> Извиняюсь, не согласен

Открою страшную тайну: тест на проникновение бывает не только внешним, но и внутренним :) Если вы хотите тайком от своих админов поснифить трафик, вы сделаете то же самое, с чего пентестеры начинают внутренний пентест: садитесь за свой рабочий комп, уже подключеный к сети, и начинаете спуфить записи ARP-таблиц интересующих вас машин, чобы перехватывать их трафик. Именно поэтому нахождение в одном VLAN АРМ и пользователей, и администраторов считается грубейшей ошибкой проектирования. Как при этом не захлебнуться в потоке перенаправленного трафика и не завалить всю сеть - это как раз те самые особеннности квалификации, которые отличают профессионального пентестера от скрипт-кидди :) Юывает, что и профессионалы заваливают, тут как в хирургии - даже аппендэктомия считается операцией, опасной для жизни.

Если сеть грамотно порезана на VLANs - да, не спалиться перед админами сложнее, нужно или придумать легенду, или огранииться только наиболее перспективным VLAN.

Ну а по поводу гадания на кофейной гуще - за день наблюдения кто-нибудь да спалится. Учитывая, что ловить нужно не все, а только HTTP, и не пакеты целиком, а только заголовки, объем записанного трафика будет мизерным.

В моей практике проект "поймай за руку админа" был только один раз, но там задача была чуть другой - не только найти доказательства нелояльности, но и проконтролировать, что он, почувствовав неладное, не наделает закладок. Специалист проработал на объекте пару дней, персонал был уверен, что он - новый сотрудник. Нетипичный проект, так серьезные задачи не решаются, но уж очень уважаемый был заказчик.

Ну а если вы считаете, что админы будут содействовать - да, незачем извращаться, делается обычный анализ зеркалированного трафика или просто на всех машинах прогоняются скрипты, выдергивающие историю браузеров. Нам проще, у нас эта функция в MaxPatrol'е зашита :)

Перечитал все это, задумался. Если есть сегмент КИ (рискну предположить, аттестованный), не физически, но иными методами отделенный от остальной сети, в которой есть Инет, то:
- если используется (сертифицированный) МЭ с нормальной настройкой - зачем отрубать Инет?
- если МЭ нет, то почему сегмент КИ не отключен физически?
- если Инет надо отрубить не по причине "аттестации КИ", а по иным соображениям (или по соображениям внутреннего нарушителя, к примеру), то почему это не сделали физически? или установкой, к примеру, сервер-шлюза/МЭ с жесткими acl доступа к другим ресурсам внутренней сети, но не к Инету?
- если "у пользователей есть возможность изменить конфигурацию, чтобы работать либо с Инетом, либо с внутренней сетью", то почему это изначально допустили?

Вывод: либо сети собраны через одно место, либо всем плевать на сегмент КИ, либо виноваты люди, ответственные за настройку разделения сегментов сети. В любом случае вину не надо сваливать на пользователей и не их хватать за руку. А бить по оным рукам самих сотрудников IT-отдела. И начать (для сбора доказательной базы) следует не со сбора информации о действиях пользователей, а с изучения топологии и реализации сети, всех ее сегментов, а также методов и средств ограничения доступа к внешним сетям, реализованным на машинах пользователей сегмента КИ. Безопаснику (по должности) эту информацию обязаны предоставить по запросу любые трижды крутые и самодовольные админы. И, в случае расхождения бумаги с реальностью, кто-то должен лишиться работы. Хотя тут все зависит от принятой политики безопасности в организации...

ЗЫ Много текста как обычно получилось. Это у меня откат после полотен из соседней ветки про "Панцирь+". Извиняюсь.