שאלה מראיון עבודה לגבי אווטלוק

[BioS]

הסיבה העיקרית היא בטחון מידע

[ToMeR]

מה הביטחון בזה?

[roeibf]

להתחיל להגביל לפי MAC ADDRESS זה לא ריאלי, כי מחשבים מתחלפים. הביטחון הוא, שנגיד והלך מחשב, מחליפים אותו ונותנים לו את הכתובת באופן ידני, ללא צורך בDHCP. למה? כי אם אני אחבר את הלפטופ שלי לשקע רשת, במידה והDHCP פועל הוא לא יזהה שאני מחשב זר, ויספק לי כתובת עם כל הנתונים (דיפולט גייטווי, DNSים וכו').

 

לכן מחלקים (בצבא לפחות) באופן ידני.

[יניב ח.]

באיזה צבא היית?!?!

 

יש מספיק מנגנונים לבצע דברים כאלו + אבטחת מידע

כך שלא כל אחד יוכל לחבר מחשב לשקע באופן חופשי.

[roeibf]

אני יודע. אני מכיר את כל המנגנונים. גם אותם אפשר לעקוף. אתה תקבל את הנתונים אבל מיד אח"כ המערכת מבצעת לך BAN ורושמת מאיפה התחברת ומה הMAC שלך. אבל את הנתונים אתה תקבל.

[ToMeR]

ואיפה הבעיה לקחת את הכתובת שנתת למחשב X, לתת אותה למחשב הנייד שלי ולהתחבר עם הנייד במקום מחשב X ולהתחזות?

[BioS]

אתה צריך להשיג את הכתוסת איכשהו קודם, רטב השיטות לא רלוונטיות, תזכור שאתה לא נמצא בשום רשת כדי להשיג כתובת ip.

מעבר לזה שיקח לך הרבה יותר זמן התעסקות, בתקווה שבזמן הזה יבחינו בך פיזית ואולי גם לוגית אם היית רועש מספיק.

[roeibf]

ואיפה הבעיה לקחת את הכתובת שנתת למחשב X, לתת אותה למחשב הנייד שלי ולהתחבר עם הנייד במקום מחשב X ולהתחזות?

 

אם מחשב X מתנתק, זה נרשם. במערכת נרשמים כתובת MAC התואמת לIP X. במידה ומתחבר אותו IP אבל בMAC שונה קופצת התרעה.

[ToMeR]

ואחרי כל זה, לא עדיף לשים DHCP עם שמירת כתובות IP לפי כתובות MAC? חוסך ממך לקום לכל מחשב ברשת ולהגדיר אותו בכרטיס רשת שלו. זה יתן לך אותו אפקט של "אבטחה".

[יניב ח.]

ואיזה מנגנון בודק את ההתאמה בין כתובת ה MAC לבין כתובת ה IP?

[avishu]

ברמה של סיסקו,

מיישמים port security פשוט על הפורטים וברגע שאתה מנסה לחבר מחשב עם כתובת MAC שונה מזאת שהראוטר מכיר [על פי הפקודה] הפורט נכבה ורק מנהל הרשת יכול להחזיר אותו לחיים מהסוויטצ'.

יש לפקודה עוד כמה אפשרויות, אם תרצו ארחיב.

 

ברמות הנמוכות,

כל מחשב שעולה לראשונה שולח בקשת DHCP ברמת הLAN, בתוך ארגון, שרת הDHCP ישווה את כתובת הMAC שנמצאת בDATA בתוך הFRAME לטבלת הLEASE שבמקרה שלנו נכתבה ידנית, במידה וכתובת הMAC לא מוכרת המחשב לא יקבל כתובות.

 

בגדול, ניתן גם לזייף MAC ככה שהדרך הכי טובה להתגונן היא יישום של כמה דברים:

port security ברמת כיבוי הפורטים שלא בשימוש או הצבה בVLAN משלהם מבלי יכולות ניתוב מחוץ לרשת.

authentication server

שמירה פיזית על פורטים חשופים - לפתוח את העיניים לגבי האנשים שמסתובבים בארגון.

[Dittohead]

כמה קשקשת. אף אחד לא שמע על 802.1X?

[roeibf]

ואחרי כל זה, לא עדיף לשים DHCP עם שמירת כתובות IP לפי כתובות MAC? חוסך ממך לקום לכל מחשב ברשת ולהגדיר אותו בכרטיס רשת שלו. זה יתן לך אותו אפקט של "אבטחה".

 

אתה שואל אותי בתור מה? בתור רא"ג תקשוב?

 

ואיזה מנגנון בודק את ההתאמה בין כתובת ה MAC לבין כתובת ה IP?

 

ממר"מ מפעילים מערכת ניטור מיוחדת בשביל דברים כאלה.

[BioS]

רועי, יהיה נחמד אם לא תחשוף אם יש או אין לצה"ל יכולת כזו או אחרת.

[ToMeR]

רועי זה היה מיועד ל- BioS