# Модуль Network Basic
## Практическое занятие №1
### Подготовлен стенд
### Настроена конфигурация коммутатора Switch7
- параметр *interface vlan 1* в собокупности *ip address 192.168.1.100 255.255.255.0* создает VLAN1 и настраивает на нем IP адрес для управления.
- параметр *no shutdown* "поднимает" интерфейс.
- параметр *username user password Qq123456* создает пользователя и назначает ему пароль
= параметр *aaa new-model* включает модуль аутентификации, авторизации и аудита
- параметр *int e1/2* в собокупности *switchport mode access* и *switchport access vlan 10* поднимает интерфейс e1/2, переводит его в режим access и назначает тег VLAN 10.
### Наличие интернета у ОС Kali
На скриншотах видна работа ping-а на IP адрес DNS сервера как с Роутера, так и с ОС Kali, расположенной за коммутаторами.
### ARP таблица коммутатора Switch7 и захват пакетов ARP wireshark-ом
Настроили рабочую топологию небольшой сети, в которой ПО wireshark-ом с коммутатора производится захват ARP пакетов.
## Практическое занятие №2
### Атака "Переполнение таблицы коммутации"
Для данной атаки необходима утилина *macof*, входящая в пакет *dsniff*
На скриншоте показана работа программы macof, которая за короткое время создает множество запросов на коммутатор, которые переполняют таблицу маршрутизации тем самым выводя его из строя.
На основании таблицы mac-адресов коммутатора и захвата трафика наглядно видно результат атаки "Переполнение таблицы коммутации"
### Атака "Arp-Spoofing"
- Проверили подключение по telnet к коммутатору switch7 c АРМ Windows7 по адресу, ранее настроенному на коммутаторе (192.168.1.100).
- Для включения возможности маршрутизации ОС KaliLinu, раскоментировали строку в файле: *nano /etc/sysctf.conf*.
- командой *sysctl -p /etc/sysctl.conf* применили вышеуказанные настройки ОС
- Командой arpspoof -i eth0 -t 192.168.1.50 -r 192.168.1.100 провели атаку "Arp-Spoofing"
- ключ *-r* определяет IP, на который будем редиректить трафик от "жертвы""
- ключ *-t* определяет IP цели, от которой будем делать редирект трафика
- ключ *-i* указывает интерфейс ОС с которого будет производиться атака
- 192.168.1.50 -- адрес ОС Windows7
- 192.168.1.100 -- адрес коммутатора switch7
- eth0 -- сетевой интерфейс ОС KaliLinux.
С ОС Windows7 по telnet-у зашли на коммутатор Switch7 (ранее на коммутаторе была создана учетная запись user/Qq123456). На ОС KaliLinux, которая осуществляет атаку, с приминением Wireshark просмотрели перехваченный трафик. Для просмотра трафика использовался фильтр "telnet" и анализ "TCP Stream". Таким образом, была успешно выполнена атака "Arp-Spoofing".
### Атака VLAN hopping
Для проведения данной атаки на понадобится ПО "yersinia"
Установить данное ПО можно командой *apt install yersinia -y*
В соответствии с практическим заданием была осуществлена настройка коммутатора switch9, switch7. OC Wondows10 поместили в 10 VLAN. При этом, ОС KaliLinux не отправляет тегированный трафик.
Запустили ПО командой *yersinia -G* и провели атаку на протокол DTP, переведя интерфейс коммутатора из *access* в *trunk*.
- Командой *modeprobe 8021q* загрузили драйвер (модуль) ядра Linux под названием 8021.
- Командо *vcinfig add eth0 10* создали новый виртуальный интерфейс с тегом.
- Командой *ifconfig eth 0.10 192.168.10.11 netmask 255.255.255.0 up* назначили IP адрес, маску и включили интерфейс.
- Командой *ping 192.168.10.10* начали пинговать Windows 10.
На основе перехваченного трафика Wireshark-ом (видим прохождение нашего трафика с тегом 10), убеждаемся что атака прошла успешно.
## Практическое занятие №3
Данная практическая работа посвящена настройке разных типов маршрутизации с последующим приминением атак.
### Конфигурация маршрутизатора из зоны "Статическая маршрутизация"
### Конфигурация маршрутизатора из зоны "Маршрутизация OSPF"
### Конфигурация маршрутизатора из зоны "Маршрутизация iBGP"
### Работа утилиты ping крайнего маршрутизатора M-R-12
### Работа утилиты ping крайнего маршрутизатора M-R-10
### Работа утилиты ping крайнего маршрутизатора C-R-6
### Работа утилиты ping крайнего маршрутизатора L-R-15
### Атака на OSPF
Данная атака проводится путем встраивания в маршрутизацию OSPF и присвоения себе чужого IP адреса, предпочтительно адреса DNS сервера для просмотра всего проходящего трафика.
На скриншоте видно, как адрес "злоумышленника" рестрибьютился вплоть до опорного маршрутизатора. С маршрутизатора также можно пропинговать адрес 8.8.8.8 (адрес злоумыщленника). Стоит отметить, что доступа к интернету с опорного маршрутизатора нет. На основании изложенного, атаку считаем успешно проведенной.
Буду честен, в связи с короткими сроками, дополнительную задачу по атаке на BGP провести не успел.
## Практическое занятие №4
### Подготовлена рабочая схема для поведения практического занятия
Для проведенеия практического занятия подготовлен стенд. Обращаю внимание, что в качестве DРCP-сервера используется роутер вместо фаервола как в практичском занятии. Данное отхождение не влияет от практического занятия и возникло из-за проблем с запуском Firewall в EVE-NG (впоследствии данная поблема была решена путем замены доступа с telnet на vnc).
Конфиг роутера в части настройки DHCP-сервера
### Сканирование сети утилитой "netdiscover" (ARP сканирование)
Утилита "netdiscover" принудительно, по выбранному диапазону отправляет ARP запросы.
С АРМ KaliLinux посмотрели ARP таблицу командой *arp -a*
На скриншоте видна работа утилиты. Минус данного сканирования - за счет массовой рассылки можем наткнуться на систему защиты. Утилита также может осуществлять сканирование в "реалтайме" т.е. "снифить", используя команду *netdiskover -r 192.168.1.0/24 -i eth0*
- Полный вид команды *netdiskover -r 192.168.1.0/24 -i eth0*
- *-r* опция указания сети сканирования
- *-i* опция указания интерфейса с которого будет производиться сканирование
- *-p* опция включения сниффинга
### Сканирование сети утилитой "NMAP"
Полный вид команды для примера *nmap -sL 192.168.1.0/24*. По умолчанию происходит TCP сканирование.
- Сканирование с ключем *-sL* работает через запросы DNS, т.е. заправшивается информация у DNS какие хосты имеются из данного диапазона
- Сканирование с ключем *-sn* работает через запросы ARP и DNS, т.е. заправшивается информация какие хосты имеются в данном диапазоне
- Сканирование с ключем *-sN* заправшивается полная информация, какие хосты имеются в данном диапазоне (работающие сервисы на хостх в данном случае не указываются!)
- Сканирование без ключей сканирует ВСЕ хосты и ВСЕ порты в данном диапахоне. Выводит полную инфомрмацию без учета версий сервисов, того что находится "за портами" и без информации об ОС.
- опция *-O* включает детект-сканирование и показывает ОС
- опция *-p* указывает сканирууемые порты
- Сканирование с ключем *-А* происходит TCP-сканирование, определяет ОС, проводит "трасероут", использует скрипты для определения версий сервисов и другой информации (происходят TCP, HTTP, SSL и другие запросы)
- Сканирование с ключем *-sU* запускает UDP сканирование
### Сканирование сети утилитой "masscan"
Уилита предназначена для проведения массового сканирования. Как правило сканирование осуществляется длительное время.
- опция *-p* указывает сканирууемые порты
### Захват трафика через SPAN (зеркалирование)
Для осуществления захвата трафика, на коммутаторе настраивается порт SPAN (зарекалирование) для перенаправления трафика на АРМ злоумылленника. Напоминаю и обращаю внимание, что на АРМ злоумышленника необходимо включить режим *promisc* для принятия ВСЕГО трафика.
На интерфейсе eth1 включен режим *promisc*. Командой *systemctl restart networking.service* перезапускаем сервис сети для принятия настроек
На интерфейсе eth1 появился статус *PROMISC*
На интерфесе коммутатора настроен SPAN. C интерфейса eth0/0 трафик зеркалируется на eth1/0
На скриншоте мы видим что трафик проходящий от АРМ c Windows7 в Интернет зеркалируется на порт eth0/1, на котором находмися злоумышленник. Wireshark-ом видим HTTP запросы.
### Захват трафика через MITM
Для осуществления данного типа атак, злоумышленник встанет как бы между Интернетом и клиентами, выполняя функциии коммутатора. Для выполнения функций коммутатора, необходм пакет "bridge-utils", который можно установить командой *apt install bridge utils*
На АРМ злоумышленника настроили соответствующим образом интерфейсы eth0 eth1 br0, где eth0 eth1 настроены на прием трафика, br0 как мост между соответствующими интерфейсами.
Wireshark-ом на АРМ KaliLinux с интерфейса eth0 (смотрит в сторону интернета) сняли трафик. На скиншоте видны запросы HTML которые отправляет АРМ Windows7 (обновлялась страница рамблера). На соновании изложенного, мы видим весь проходящий трафик. Атаку считаем успешно выполненной, можем успешно проводить анализ проходящего трафика.
### Анализ трафика
Анализ трафика будем осуществлять утилитой Wireshark.
В данном случае видим проходящие запросы от АРМ с Windows7 с указанием даты и времени
- На данном скриншоте используем анализ TCP (*Analyze -> Follow -> TCP Stream*).
Можем сохранить и посмотреть HTTP объекты (*File -> Export Objects -> HTTP*).
С помощью статистики *Statistics -> Endpoints*, видим всю информацию о проходящем трафике (IP-адреса, MAC-адреса, протоколы, количество пакетов и т.д.)
## Практическое занятие №5
Подготовили схему сети, в процессе которой:
- Настроили коммутатор, указав *eth0* как *trunk*, eth1 как *access VLAN10* и *access VLAN20*.
- Настроили АРМ Kali_MITM в виде коммутатора (установили пакет *bridge-utils*, настроли файл */etc/network/interfaces* и перезапустили сервис сети командой *service networking restart*. Данную настройку можно посмотреть в предидушем практическом занятии).
- Настроили Firewall. Подняли два виртуальных VLAN интерфейса на eth1 - eth1.10 и eth1.20. На обоих VLAN интерфейсвх подняли DHCP (192.168.10.0/24 и 192.168.20.0/24 с ограничением по 20 адресов в каждом диапазоне).
- Настроили АРМ KaliLinux (на 2 разных интерфейса повесили разные VLAN и получили по DHCP адреса. Удалили лишний IP адрес командой *ip addr delete 192.168.1.101/24 dev eth1*)
- На АРМ Kali_MITM и АРМ KaliLinux устанавливаем через *apt* утилиту *yersinia* с помощью которой возможно проведение множества атак на уровне L2
- На АРМ Kali_MITM и АРМ KaliLinux устанавливаем через *apt* уилиту *dsniff*
- На АРМ Kali_MITM устанавливаем через *apt* пакеты *python3-dev* и *python3-pip* для работы Starvator
- На АРМ Kali_MITM устанавливаем через *pip3 install* утилиты *scapy* и *netaddr* для работы Starvator
Проверили доступ к pfSens (Firewall) по адресу 192.168.1.1 (admin/pfsense). Поменяли названия VlAN-ов.
Проверили пинг с рабочих машин Win7 и Debian
### ARP-Spoofing. Атака и защита.
Для теста начнем проводить атаку Arp-Spoofing (как производится данная атака можно посмотреть в предидущем практичеком занятии). Для защиты от данной атаки на интерфейсах eth0/1 eth0/2 eth0/3 eth1/0 коммутатора ставим ограничение прохождения пакетов и указываем откуда прилетают "правильные" запросы (eth0/0):
- НАСТРАИВАЕМ НЕ ДОВЕРЕННЫЕ ИНТЕРФЕЙСЫ.
- УКАЗЫВАЕМ запросов DHCP - *ip dhcp snooping limit rate 15*
- УКАЗЫВАЕМ лимит запросов ARP - *ip arp inspection limit rate 100*
- НАСТРАИВАЕМ ДОВЕРЕННЫЕ ИНТЕРФЕЙСЫ
- УКАЗЫВАЕМ откуда прилетают "правильные" запросы - *ip dhcp snooping trust* и *ip arp inspection trust*
- ГЛОБАЛЛЬНО ВКЛЮЧАЕМ DHCP-snooping, но не ARP-inspection:
- *ip dhcp snoopin* - глобально
- *ip dhcp snoopin vlan 10* - для VlAN 10
- *ip dhcp snoopin vlan 20* - для VlAN 20
- *no ip dhcp snoopin information option* - отключили появдени информации об dhcp-snooping
- СОЗДАЕМ ARP ACL DAI и указываем кто может проходить (*arp accsess-list DAI*):
- *permit ip host 192.168.10.10 mac host 5000.0002.0000* - разрешили прохождение пакетов с данным IP и MAC адресами
- *permit ip host 192.168.10.254 mac host 5000.0004.0001* - разрешили прохождение пакетов с данным IP и MAC адресами
- *ip arp inspection vlan 10* - ВКЛЮЧАЕМ инспектирование, на каком VLAN будет все это работать (в данном случае только на VLAN 10).
Видим что с АРМ Win7 запросы проходят.
При проведении атаки "Arp-Spoofing" срабатывает защита
### DHCP-ARP-Spoofing. Атака и защита.
Данную атаку будем проводить с помощью ПО *yersinia*. Данной атакой будем заполнять некую DHCP-очередь. Через edit-режим производим подмену MAC-адреса нашего Firewall-а (MAC-посмотретли через ARP таблицу на Kali)
Направляем множество discover пакетов. Видим что по Whireshark пришли не все пакеты в связи с настройкой номмутатора на ограничение пакетов (огранияение в 15 запросов).
Также, попробуем провести атаку с АРМ MITM с помощью ПО *STARWATOR* и сравним результаты.
Утилитой *starvit.py* создаетм множество DHCP запросов NACK по всему диапазону адресов, тем самым находим MAC-алрес нашего DHCP-сервера.
- *python starvit.py -eth0 -net 192.168.1.0/24 -start 100 -end 200 -dst_mac 50:00:00:05:00:01*
- *-net* - сеть которую мониторим;
- *-start* *-end* - диаапзона поиска;
- *-dst_mac* - макадрес DHCP сервера.
Создаетм множество DHCP запросов на получение адресов, тем самым заполняем все свободные адреса.
- python listener.py -i eth0 -starvation-attack
На pfSense в разделе DHCP Leases видно что DHCP сервер раздал множество адресов. Атака по получению множества адресов прошла успешко.
### CAM-table overflow. Атака и защита.
Технология *арп протекшн* в *CISCO* требует наличие *DHCP* сервера в самом оборудованнии, поэтому отключаем *арм инспектирование*, что бы работа была автоматизированной.
Для теста провели атаку с помощью утилиты *macof* (в предидущем занятии рассматривали проведение данного типа атаки)
- Для защиты от данного типа атаки используем технологию на коммутаторе *PORY SECURITY*, с помощью которой указзываем максимальное количество МАС-адресов которое будет храниться в МАС таблице.
- *int e1/0* - входим в настройки интерфейса
- *witchport port-security maximum 5* - настраиваем технологию *port security*
На скриншоте хорошо видно как работает технология защиты *port security* при проведении атаки на переполнение таблицы МАС-адресов.
Примечание: при приминении технологий защиты порты коммутатора могут реагировать по разному, по умолч. выключается (*shutdown*). Что бы его вернуть в работу, достаточно выключить и включить интерфейс командой *shutdown/no shutdiwn*. Также можно изменить поведение реагирования командой *violation [restrict/shuydown/protect* Посмотреть состояние интерфейсов можно командой: *sh int status*.
### VLAN-hopping. Атака и защита.
Данная атака заключается в получении VLAN-а на порту, который является "гибридным" у коммутатра (обычно такой режим устанавливается по умолчанию).
Для решения данной задачи, на Kali_MITM настроили еще пару интерфейсов под VLAN 10 и VLAN 20 (br0.10 и br0.20 соответсвтенно) в режим прослушивания (*manual*).
- В случае если мы не знаем какие VLAN висят на порту, то прослушивая трафик, мы можем это сделать!
- *tcpdump -i br0 -w dump* - записываем проходящий трафик через интерфейс *br0* в файл *dump*.
- *mv dump input.cap* - переименовываем наш *dump* в *input.cap*.
- *tshark -r input.cap -T fields -e vlan.id | sort -n -u* - находим VLAN из дампа и сортируем список.
На скриншоте видим VLAN из дампа. Атака прошла успешно. Обращаю внимание на первую строчку - она пустая. Это означает что имеется не тегированный трафик.
### ACL. Защита с помощью листов доступа
Для данной задачи сконфигурируем новую инфроструктуру
- На коммутаторе настраиваем VLAN1 (по умолчанию, можно не настраивать), VLAN2, VLAN3.
- На роутере настраивам основной интерфейс (eth0) и сабинтерфейсы в соответствии с VLAN-ами (не забываем указывать инкапсуляцию на интерфейсе для VLAN).
- Настроили АРМ-ы со статикой.
- Настрили NAT на интерфейсе eth0/1 командами:
- *int e0/1* и *ip nat outeside* - на интерфейсе создаем NAT ВЫХОДА (исходящего трафика).
- *int e0/0* и *ip nat inside* - на интерфейсе e0/0 создаем NAT ВХОДА (входящего трафика).
- *int e0/0.10* и *ip nat inside* - на sub-интерфейсе e0/0.10 создаем NAT ВХОДА (входящего трафика).
- *int e0/0.20* и *ip nat inside* - на sub-интерфейсе e0/0.20 создаем NAT ВХОДА (входящего трафика).
- *accsess-list 1 permit ip 192.168.1.0 0.0.0.255 any* - разрашем трафик для сети 192.168.1.0/24 в ACL листе 1.
- *accsess-list 1 permit ip 192.168.10.0 0.0.0.255 any* - разрашем трафик для сети 192.168.10.0/24 в ACL листе 1.
- *accsess-list 1 permit ip 192.168.20.0 0.0.0.255 any* - разрашем трафик для сети 192.168.20.0/24 в ACL листе 1.
- *ip nat inside source list 1 interface e0/1 overload* - правило означает что если идет трафик ИЗ интерфейса eth0/1 с указанных выше адресов (правило ACL 1), то его надо НАТИРОВАТь.
На Debian настраиваем */etc/resolf.conf* что бы напрвить WEB (nameserver 8.8.8.8) и устанавливаем *nginx* (*apt update -y && apt install nginx -y*). Командой *ss -tunip* проверили работу *nginx*.
Для удобства организации доступа через ACL листы создали матрицу доступа на которой видны все необходимые правила доступа (кто к кому имеет доступ и по каким протоколам)
- Настраиваем ACL на Router согласно матрице лоступа (ЗАДАНИЯ К ДАННОМУ ПРАКТИЧЕСКОМУ ЗАНЯТИЮ):
- *access-list 101 deny tcp 192.168.1.0 0.0.0.255 192.168.20.0 0.0.0.255 eq www* - ЗАПЕРЕЩАЕМ TCP траффик от VLAN1 к VLAN20 по протоколу HTTP (www или 80 порт)
- *access-list 101 deny ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255 any* - ЗАПЕРЕЩАЕМ весь траффик от VLAN10 к VLAN20
- *access-list 102 deny ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255 any* - РАЗРЕШАЕМ трафик Debian ТОЛЬКО в сеть Internet (блокируем 192.168.10.0 0.0.0.255).
- *access-list 102 deny ip 192.168.1.0 0.0.0.255 192.168.20.0 0.0.0.255 any* - РАЗРЕШАЕМ трафик Debian ТОЛЬКО в сеть Internet (блокируем 192.168.1.0 0.0.0.255).
- *int e0/0.20* затем *ip access-group 101 out* - на интерфейсей e0/0.20 к исходящему трафику применили группу правил ACL 101, созданную ранее.
- *int e0/0.20* затем *ip access-group 101 in* - на интерфейсей e0/0.20 к выходящему трафику применили группу правил ACL 102, созданную ранее.
- *accsess-list 101 permit ip any any* - создаём расширенное правило для прохождения всего трафика ПОСЛЕ СОБЛЮДЕНИЯ предидущих правил.
Видим работу правила ACL 101 (доступа по протоколу HTTP не сервер NGINX нет, однако ping проходит. При этом, досутп с АРМ Win7 по тому же протоколу имеется.)
Видим работу правила ACL 101 в части запрета всего трафика от VLAN10 к VLAN20 (от Win7 до сервера Deian). При этом, первое правило работает - ping Kali идет, доступа к WEB нет.
Видим работу правила ACL 101 в части запрета всего трафика от Deian кром как к сети Internet.
Настройка Роутера при выполнении практического задания.
## Практическое занятие №6
Для организации данного практического задания, за основу взяли конфигурацию из предыдущего задания. Добавили IP адрес на коммутатор и убрали листы доступа ACL. На Debian запустили SSH-сервер
### Генерация трафика DHCP
Сгенерировали трафик DHCP путем выключения и включения адресации на интерфейсе Роутера, который смотрит в интернет. Из анализа видно весь процесс работы данного протокола (discover запросы сервера и offer ответы клиента).
### Генерация трафика DNS
Сгенерировали трафик DNS осуществления запросов Debian к своему репозиторию. Анализируя трафик мы видим запросы доменных имен. Протокол используется UDP. Видим отправителя и получателя.
### Генерация трафика telnet и ssh!
Сгенерировали трафик Telnet путем осуществления входа с Win7 на коммутатор, на котором заранее создали профиль пользователя. Провели его анализ. Трафик проходит не зашифрованным, видим даже аутентификацию пользоваеля.
Сгенерировали трафик ssh путем осуществления входа с Kali на Debian, на котором заранее создали доаступ по ssh. По анализу видно что трафик идет зашифрованный в отличии от telnet трафика.
### Генерация трафика HTTP
Сгенерировали трафик HTTP путем осуществления входа с Win7 на Debian nginx. По анализу видим запросы HTTP: время когда осущесвтялся вход, на какой сервер, с какого браузера, какая информация запрашивалась. Можнос сохранить данную информацию и посмотреть визуально некоторые элементы запрашиваемых страниц.
### Генерация трафика SMB
Сгенерировали трафик путем входа на SMB-срвер, которыый ранее развернули на Debian. Из анализа трафика видна работа сессии TCP протокола. SMB протокол
работает на основе тройного рукопожатия. При передачае информации мы видим IP адрес сервера и запрашиваемые ресурсы.
Обращаю внимание что данные виды трафиков были сгенерированы легитимным образом. Не легитимным образом сгенерированный трафик можно посмотреть в предыдущих занятиях.
Sign in with Wallet
Connect another wallet