Frage: Netzsicherheit: Fremdhardware im Netz finden/erkennen...

[besucher 10]

Hallo,

 

ein Sicherheitsrisiko ist wenn jemand Fremdhardware -Privatlaptop- im internen Firmen Netz ansteckt.

 

Wenn Ihr erlaubt möchte ich dazu zwei Fragen stellen....

 

Kennt Ihr Tools die, die Überwachung ermöglichen und mir eventuell auch eine AlarmMessage senden wenn jemand solche im Netz ansteckt?

Was tut Ihr dagegen?

 

Besten Dank

Michael

[aengel4111 10]

Hallo

 

Kann nur sagen....... CISCO SYSTEMS

 

Die Geräte könne alles das was Du möchtest! Leider aber sehr teuer. :(

Lohnt sich aber.

 

Andreas

[FLOST 10]

Hi Michael,

 

Willkommen im Board!

 

Das ist eigentlich unmöglich, es gibt immer Möglichkeiten Hardware zu verstecken. Aber, wenn du eine Mac-Erkennung laufen hast, dann bist du schon ziemlich sicher. Einfach nur MAC-Adressen zulassen, die dir bekannt sind. Du hast dann aber ein Wartungsproblem. Neue Hardware muss erst freigeschaltet werden etc.

 

FG

 

fLOST

[dagman 10]

Wie schon gesagt:

 

MAC-Authentifizierung ist eine Lösung - aber auch das lässt sich mit "etwas umständlicher" Frickelei umgehen...

 

 

Gruß

 

dagman

[besucher 10]

Anscheinend kann man solches wirklich nur über eine MAC Erkennung lösen.

 

Leider ist es aber ein leichtes dem Fremdgerät eine MAC Adresse zu verpassen

die irgendein Rechner im Firmennetz besitzt.

 

Natürlich kann der "Angreifer" nur wenig machen (z.B.: über den Proxy ins Internet) weil er nicht in der Domain hängt, aber das reicht ja schon :(

 

Kennt ihr ein nettes Tool (außer CISCO), dass so etwas ermöglicht?

 

lg und danke fürs welcome

Michael

[com1_manu 10]

Also ich sehe keinen Grund bei deinen Anforderungen gleich das Sündteure Hardware-Quarantäne-Netwerk wie z.b. cisco nac einzusetzen. Wenn dur dir hauptsächlich einen Überblick verschaffen / und oder überwachen willst reicht ein Softwarelösung.

 

http://www.infoexpress.com/security_products/pe_overview.php

 

Ansonsten falls du noch etwas warten willst, McAfee und Microsoft haben auch schon entsprechende Produkte in der Pipeline, die sowohl selbständig als auch mit dem cisco trust agent zusammenarbeiten. Ab der Version 3.5 vom McAfee ePolicy Orchestrator ist auch schon ein kleiner Netzwerk-Sensor mitdabei. Der kann allerdings nicht mehr als Daten per icmp und netbios zu sammeln.

[grizzly999 11]

Wie wäre es einfach mit einer 802.1x-Authentifizierung ?!

 

 

grizzly999

[substyle 20]

MAC Adress Filter einzutragen bietet erst einen gewissen schutz wenn

man auch mit Statischen ARP Einträgen arbeitet !

Zumindest für die wichtigsten Dienste. Sollte man wegen der gefahr des

ARP Spoofing sowieso machen.

 

Ansonsten: http://www.snort.org/ ! :wink2:

 

subby

[besucher 10]

Danke für eure Antworten, eigentlich geht es mir nur um ein "kostengünstiges" Tool das mich Informiert wenn ein nicht konformes Endgerät in meinem Netz identifiziert wird…

 

zur: 802.1x-Authentifizierung: ist vorhanden aber das Problem bei Kupfer

 

erfolgt ja diese nur bei herstellen der Verbindung... (möchte jetzt keine Anleitung für böse Buben schreiben)

 

wenn also mit dem internen PC eine authentifizierte 802.1x Verbindung steht, der böse Bube diesen PC physisch vom Netz trennt, einen HUB dazwischen steckt - MAC Adresse auf seinen privaten PC überträgt - usw… Switches sind nun mal (Hauptsächlich) Layer 2 Komponenten (MAC Adresse)…

[GerhardG 10]

du kannst es noch komplizierter machen und nach 802.1x noch vpn fahren ;)

[Hr_Rossi 10]

zur: 802.1x-Authentifizierung: ist vorhanden aber das Problem bei Kupfer

 

erfolgt ja diese nur bei herstellen der Verbindung... (möchte jetzt keine Anleitung für böse Buben schreiben)

 

wenn also mit dem internen PC eine authentifizierte 802.1x Verbindung steht, der böse Bube diesen PC physisch vom Netz trennt, einen HUB dazwischen steckt - MAC Adresse auf seinen privaten PC überträgt - usw… Switches sind nun mal (Hauptsächlich) Layer 2 Komponenten (MAC Adresse)…

 

 

hi

 

irgednwie versteh ich dich nicht ganz 802.1x hat nichts mit MAC Adressen zu tun sondern mit Zertifikaten !

802.1x kann man auch für wired netzwerke einsetzen vorausgesetzt die switches könne es bzw könne wirksam werden als "Radius-Proxy" die die 802.1x anforderung zum IAS weiterleiten !

Man kann es auch so mache, indem man alle die dieses Zertifikat haben in eine eigenesm Segement bzw. VLAN schmeisst und alle die kein Zert. besitzen in ein eigenes Segment bzw VLAN (Guest-VLAN)schmeisst das keine logische Verbindung zum anderen VLAnN hat sonder nur routing funktionalität ins i-net !

 

hier eine gutes powerpoint zu cisco zum thema802.1x bzw EAP over LAN !

 

http://www.cisco.com/application/vnd.ms-powerpoint/en/us/guest/products/ps6662/c1650/cdccont_0900aecd80313f72.ppt#483,11,802.1x Identity and Security

 

 

lg

rossi

[nerd 28]

Hi,

 

802.1x ist an sich eine gute Sache - setzt aber voraus, dass auch die Verbindung zwischen Netwerkdose und Rechner gesichert wird (z. B. verplombt). 802.1x schaltet nämlich Ports am Switch frei - kommt danach noch eine nicht 802.1x fähige Hardware (hub, switch) zum Einsatz dann authenitifziert der legale Rechner den Port und macht die tür für die anderen am hub auf.

 

Gruß

[Hr_Rossi 10]

hi

 

jo aber wenn wir schon von so einer sicheheit reden dann sollte das design

auch wohl oder übel überlegt sein und so etwas bedenkt werden.....

 

 

lg

[Hr_Rossi 10]

kommt danach noch eine nicht 802.1x fähige Hardware (hub, switch) zum Einsatz dann authenitifziert der legale Rechner den Port und macht die tür für die anderen am hub auf.

 

Gruß

 

ahh

 

dass musst du mir bitte erklären wie das funktionierein soll

schickt dann der hub das zertifikat für den switchport mit das der up geht oder wie jetzt !??

lg

[besucher 10]

Hr Rossi schrieb: irgednwie versteh ich dich nicht ganz 802.1x hat nichts mit MAC Adressen zu tun sondern mit Zertifikaten !

Stimmt aber die Funktionsweise von 802.1x ist, dass ein Client eine erste Verbindung zum Switch herstellt. Der Switch ignoriert solange alle Verbindungen und fragt die Identität des Clients ab und sendet diese an den RADIUS Server. Wenn der RADIUS den Client authentifiziert wird diesem die Kommunikation durch den Switch ermöglicht und daher beim Switch (Layer2) die MAC Adresse des Clients dem Switch Port zugeordnet.

 

Hr Rossi schrieb: hier eine gutes powerpoint zu cisco zum thema802.1x bzw EAP over LAN !

Danke, werd ich mir mal reinziehen :)

 

Hr Rossi schrieb: dass musst du mir bitte erklären wie das funktionierein soll

Siehe meine antwort auf mein erstes Quote.... ...nachdem ein Client 802.1x authentifiziert und dadurch der Switchport geöffnet wird, erfolgt "keine weitere" Kommunikation zwischen Client und Switch.

 

Wenn ich jetzt auf dem Angreifer-Client die MAC Adresse des authentifiziert PC übertrage und jetzt einen HUB (Layer1 - der alles Broadcastet) auf das authentifizierte geöffnete Switchport dazwischenschalte auf dem der authentifizierte Client und mein Angreifer-Client (mit der selben MAC) hängt, ist es für den Switch so als gäbe es nur den einen Client, wegen der selben MAC Adresse.

 

Dadurch wäre es dem Angreifer möglich mittels UDP und ICMP Protokollen zu kommunizieren. Sollte aber auf dem authentifiziert Client eine Firewall laufen die nicht angeforderten Datenverkehr blockt könnte der Angreifer auch mittels TCP kommunizieren und hätte somit vollzugriff.

 

lg

michael