Come toccare la tua rete e vedere tutto ciò che accade su di essa

La tua rete domestica e tutto ciò che vi è connesso è come un caveau. Dietro il tuo login si nascondono tonnellate di informazioni preziose, da file non crittografati contenenti dati personali a dispositivi che possono essere dirottati e utilizzati per qualsiasi scopo. In questo post, ti mostreremo come mappare la tua rete, dare un'occhiata sotto le coperte per vedere chi sta parlando con cosa e come scoprire dispositivi o processi che potrebbero risucchiare la larghezza di banda (o sono ospiti inaspettati sulla tua rete) .

In breve: sarai in grado di riconoscere i segni che qualcosa sulla tua rete è compromesso. Supponiamo che tu abbia familiarità con alcune nozioni di base sulla rete, ad esempio come trovare l'elenco dei dispositivi del tuo router e cos'è un indirizzo MAC. In caso contrario, vai al nostro Scuola serale Know Your Network rispolverare prima.

Prima di andare oltre, però, dovremmo emettere un avvertimento: usa questi poteri per sempre ed esegui questi strumenti e comandi solo su hardware o reti che possiedi o gestisci. Il tuo amichevole dipartimento IT di quartiere non vorrebbe che tu eseguisse la scansione o lo sniffing dei pacchetti sulla rete aziendale, e nemmeno tutte le persone del tuo bar locale.

Fase uno: crea una mappa di rete

Prima ancora di accedere al tuo computer, scrivi ciò che pensi di sapere sulla tua rete. Inizia con un foglio di carta e annota tutti i tuoi dispositivi connessi. Ciò include cose come smart TV, altoparlanti intelligenti, laptop e computer, tablet e telefoni o qualsiasi altro dispositivo che potrebbe essere connesso alla tua rete. Se ti aiuta, disegna una mappa stanza per stanza della tua casa. Quindi annota ogni dispositivo e dove si trova. Potresti essere sorpreso dal numero esatto di dispositivi che hai connesso a Internet contemporaneamente.

Gli amministratori di rete e gli ingegneri riconosceranno questo passaggio: è il primo passo per esplorare qualsiasi rete con cui non hai familiarità. Fai un inventario dei dispositivi su di esso, identificali e poi vedi se la realtà corrisponde a ciò che ti aspetti. Se (o quando) non è così, sarai in grado di separare rapidamente ciò che sai da ciò che non sai.

Potresti essere tentato di accedere al tuo router e guardare la sua pagina di stato per vedere cosa è connesso, ma non farlo ancora. A meno che tu non riesca a identificare tutto sulla tua rete tramite il suo indirizzo IP e MAC, otterrai solo un lungo elenco di cose, che include eventuali intrusi o scrocconi. Fai prima un inventario fisico, poi passa a quello digitale.

Fase due: sonda la tua rete per vedere chi c'è

Una volta che hai una mappa fisica della tua rete e un elenco di tutti i tuoi dispositivi fidati, è il momento di andare a scavare. Accedi al tuo router e controlla l'elenco dei dispositivi connessi. Questo ti darà un elenco di base di nomi, indirizzi IP e indirizzi MAC. Ricorda, l'elenco dei dispositivi del tuo router potrebbe mostrarti o meno tutto. Dovrebbe, ma alcuni router mostrano solo i dispositivi che utilizzano il router per il suo indirizzo IP. Ad ogni modo, tieni l'elenco da parte: va bene, ma vogliamo maggiori informazioni.

Scarica e installa Nmap

Successivamente, ci rivolgeremo a il nostro vecchio amico Nmap . Per chi non lo conoscesse, Nmap è uno strumento di scansione della rete multipiattaforma e open source in grado di trovare i dispositivi presenti sulla rete, insieme a un sacco di dettagli su tali dispositivi. Puoi vedere il sistema operativo che stanno utilizzando, gli indirizzi IP e MAC e persino porte e servizi aperti. Scarica Nmap qui , guardare queste guide all'installazione per configurarlo, e seguire queste istruzioni per scoprire gli host sulla tua rete domestica.

Un'opzione è installare ed eseguire Nmap dalla riga di comando (se vuoi un'interfaccia grafica, Zenmap di solito viene fornito con il programma di installazione). Scansiona l'intervallo IP che stai utilizzando per la tua rete domestica. Questo ha scoperto la maggior parte dei dispositivi attivi sulla mia rete domestica, esclusi alcuni su cui ho una maggiore sicurezza (sebbene anche quelli fossero rilevabili con alcuni dei comandi di Nmap, che puoi trovare nel link sopra).

Confronta l'elenco di Nmap con l'elenco del tuo router

Dovresti vedere le stesse cose su entrambi gli elenchi a meno che qualcosa che hai scritto in precedenza non sia spento ora. Se vedi qualcosa sul tuo router che Nmap non ha rilevato, prova a utilizzare Nmap direttamente su quell'indirizzo IP.

Quindi guarda le informazioni che Nmap trova sul dispositivo. Se afferma di essere una Apple TV, probabilmente non dovrebbe avere servizi come http in esecuzione, ad esempio. Se sembra strano, esaminalo in modo specifico per ulteriori informazioni.

Nmap è uno strumento estremamente potente, ma non è il più facile da usare. Se sei un po' timido con le armi, hai altre opzioni. Scanner IP arrabbiato è un'altra utility multipiattaforma che ha un'interfaccia di bell'aspetto e facile da usare che ti darà molte delle stesse informazioni. Osservatore della rete wireless È un'utilità di Windows che esegue la scansione delle reti wireless a cui sei connesso. Filo di vetro è un'altra fantastica opzione che ti avviserà quando i dispositivi si connettono o si disconnettono dalla tua rete.

Fase tre: annusare e vedere con chi stanno parlando tutti

A questo punto, dovresti avere un elenco di dispositivi che conosci e di cui ti fidi e un elenco di dispositivi che hai trovato connessi alla tua rete. Con un po' di fortuna, hai finito qui e tutto corrisponde o si spiega da sé (come una TV attualmente spenta, per esempio).

Tuttavia, se vedi attori che non riconosci, servizi in esecuzione che non corrispondono al dispositivo (perché il mio Roku esegue postgresql?) o qualcos'altro non funziona, è tempo di fare un po' di sniffing. Sniffing di pacchetti, cioè.

Quando due computer comunicano, sulla rete o su Internet, si scambiano bit di informazioni chiamati 'pacchetti'. Messi insieme, questi pacchetti creano flussi di dati complessi che costituiscono i video che guardiamo o i documenti che scarichiamo. Lo sniffing dei pacchetti è il processo di acquisizione ed esame di quei bit di informazioni per vedere dove vanno e cosa contengono.

Installa Wireshark

Per fare questo, avremo bisogno Wireshark . È uno strumento di monitoraggio della rete multipiattaforma che abbiamo utilizzato per eseguire un piccolo sniffing dei pacchetti la nostra guida per individuare password e cookie . In questo caso, lo useremo in modo simile, ma il nostro obiettivo non è acquisire nulla di specifico, ma solo monitorare quali tipi di traffico circolano sulla rete.

Per fare ciò, dovrai eseguire Wireshark tramite Wi-Fi in ' modalità promiscua .” Ciò significa che non sta solo cercando i pacchetti diretti da o verso il tuo computer, ma raccoglie tutti i pacchetti che può vedere sulla tua rete.

Segui questi passaggi per la configurazione:

• Scarica e installa Wireshark
• Seleziona il tuo adattatore Wi-Fi.
• Fai clic su Acquisisci > Opzioni e, come puoi vedere nel video qui sopra (per gentile concessione della gente di Hak5 ), è possibile selezionare 'Cattura tutto in modalità promiscua' per quell'adattatore.

Ora puoi iniziare a catturare i pacchetti. Quando avvii la cattura, otterrai molte informazioni. Fortunatamente, Wireshark lo anticipa e semplifica il filtraggio.

Poiché stiamo solo cercando di vedere cosa stanno facendo gli attori sospetti sulla tua rete, assicurati che il sistema in questione sia online. Vai avanti e cattura un valore di pochi minuti di traffico. Quindi puoi filtrare quel traffico in base all'indirizzo IP di quel dispositivo utilizzando i filtri integrati di Wireshark.

In questo modo avrai una rapida visione di chi sta parlando quell'indirizzo IP e quali informazioni stanno inviando avanti e indietro. Puoi fare clic con il pulsante destro del mouse su uno qualsiasi di questi pacchetti per ispezionarlo, seguire la conversazione tra le due estremità e filtrare l'intera acquisizione per IP o conversazione. Per ulteriori informazioni, dai un'occhiata a Wireshark dettagliate istruzioni di filtraggio .

Potresti non sapere (ancora) cosa stai guardando, ma è qui che entra in gioco un po' di investigazione.

Analizza l'attività imprecisa

Se vedi quel computer sospetto parlare con uno strano indirizzo IP, usa il nslookup comando (nel prompt dei comandi in Windows o in un terminale in OS X o Linux) per ottenere il suo nome host. Questo può dirti molto sulla posizione o sul tipo di rete a cui si connette il tuo computer. Wireshark ti dice anche le porte utilizzate, quindi Google il numero di porta e guarda quali applicazioni lo usano.

Se, ad esempio, hai un computer che si connette a uno strano nome host su porte spesso utilizzate per IRC o trasferimento di file, potresti avere un intruso. Ovviamente, se scopri che il dispositivo si sta connettendo a servizi affidabili su porte comunemente utilizzate per cose come e-mail o HTTP/HTTPS, potresti essere appena incappato in un tablet che il tuo coinquilino non ti ha mai detto di possedere, o qualcuno della porta accanto che ruba il tuo wifi. Ad ogni modo, avrai i dati necessari per capirlo da solo.

Fase quattro: gioca il gioco lungo e registra le tue acquisizioni

Ovviamente, non tutti i cattivi attori sulla tua rete saranno online e si scateneranno mentre li cerchi. Fino a questo punto, ti abbiamo insegnato come verificare la presenza di dispositivi connessi, scansionarli per identificare chi sono veramente e poi annusare un po' del loro traffico per assicurarti che sia tutto a posto. Tuttavia, cosa fai se il computer sospetto sta facendo il suo lavoro sporco di notte mentre dormi o qualcuno sta succhiando il tuo wifi quando sei al lavoro tutto il giorno e non sei in giro per controllare?

Usa un software di monitoraggio della rete

Ci sono un paio di modi per affrontare questo problema. Un'opzione è usare un programma come Filo di vetro , di cui abbiamo parlato prima. Questo software ti avviserà quando qualcuno è connesso alla tua rete. Quando ti svegli la mattina o torni a casa dal lavoro, puoi vedere cosa è successo mentre non stavi guardando.

Controlla il registro del tuo router

La tua prossima opzione è utilizzare le capacità di registrazione del tuo router. Sepolto in profondità nella risoluzione dei problemi o nelle opzioni di sicurezza del tuo router, di solito c'è una scheda dedicata alla registrazione. La quantità di informazioni che puoi registrare e il tipo di informazioni variano in base al router, ma le opzioni possono includere IP in entrata, numero di porta di destinazione, IP o URL in uscita filtrati dal dispositivo sulla tua rete, indirizzo IP interno e relativo indirizzo MAC e quali dispositivi sulla tua la rete ha effettuato il check-in con il router tramite DHCP per il proprio indirizzo IP (e, tramite proxy, che non l'ha fatto). È piuttosto robusto e più a lungo si lasciano in esecuzione i registri, più informazioni è possibile acquisire.

Firmware personalizzato come DD-WRT e Tomato (entrambi ti abbiamo mostrato come installare ) ti consentono di monitorare e registrare la larghezza di banda e i dispositivi connessi per tutto il tempo che desideri e puoi persino scaricare tali informazioni in un file di testo che puoi esaminare in seguito. A seconda di come hai configurato il tuo router, può persino inviarti regolarmente il file tramite e-mail o rilasciarlo su un disco rigido esterno o NAS.

Ad ogni modo, utilizzare la funzione di registrazione spesso ignorata del router è un ottimo modo per vedere se, ad esempio, dopo mezzanotte e tutti sono andati a letto, il tuo PC da gioco inizia improvvisamente a scricchiolare e trasmettere molti dati in uscita, o hai una normale sanguisuga a chi piace saltare sul tuo wifi e iniziare a scaricare torrent nelle ore dispari.

Mantieni Wireshark in esecuzione

La tua ultima opzione, e una specie di opzione nucleare, è lasciare che Wireshark catturi per ore o giorni. Non è inaudito e molti amministratori di rete lo fanno quando stanno davvero analizzando strani comportamenti di rete. È un ottimo modo per individuare cattivi attori o dispositivi loquaci. Tuttavia, richiede di lasciare un computer acceso per anni, annusando costantemente i pacchetti sulla rete, catturando tutto ciò che lo attraversa e quei registri possono occupare un bel po 'di spazio. Puoi ridurre le cose filtrando le acquisizioni in base all'IP o al tipo di traffico, ma se non sei sicuro di ciò che stai cercando, avrai molti dati da vagliare quando guardi un'acquisizione anche qualche ora. Tuttavia, ti dirà sicuramente tutto ciò che devi sapere.

In tutti questi casi, una volta registrati dati sufficienti, sarai in grado di scoprire chi sta utilizzando la tua rete, quando e se il suo dispositivo corrisponde alla mappa di rete che hai creato in precedenza.

Passaggio cinque: bloccare la rete

Se sei arrivato fino a qui, hai identificato i dispositivi che dovrebbero essere in grado di connettersi alla tua rete domestica, quelli che effettivamente si connettono, identificato le differenze e, si spera, capito se ci sono malintenzionati, dispositivi imprevisti, o sanguisughe in giro. Ora tutto ciò che devi fare è affrontarli e, sorprendentemente, questa è la parte facile.

Le sanguisughe Wi-Fi otterranno l'avvio non appena tu bloccare il router . Prima di fare qualsiasi altra cosa, cambia la password del tuo router e disattiva WPS se è acceso. Se qualcuno è riuscito ad accedere direttamente al tuo router, non vuoi cambiare altre cose solo per farlo accedere e riottenere l'accesso. Assicurati di utilizzare una password valida e complessa, difficile da utilizzare con la forza bruta.

Quindi, controlla gli aggiornamenti del firmware. Se la tua sanguisuga ha sfruttato un exploit o una vulnerabilità nel firmware del tuo router, questo li terrà fuori, supponendo che l'exploit sia stato corretto, ovviamente. Infine, assicurati che la tua modalità di sicurezza wireless sia impostata su WPA2 (poiché WPA e WEP lo sono molto facile da decifrare ) e cambia la tua password wifi con un'altra buona, lunga password che non può essere forzata. Quindi, gli unici dispositivi che dovrebbero essere in grado di riconnettersi sono quelli a cui fornisci la nuova password.

Questo dovrebbe occuparsi di chiunque prosciughi il tuo wifi e faccia tutto il download sulla tua rete invece che sulla loro. Aiuterà anche con la sicurezza cablata. Se puoi, dovresti anche prendere alcuni passaggi di sicurezza wireless aggiuntivi , come disattivare l'amministrazione remota o disattivare UPnP.

Per i malintenzionati sui tuoi computer cablati, devi cacciare. Se in realtà è un dispositivo fisico, dovrebbe avere una connessione diretta al tuo router. Inizia a rintracciare i cavi e a parlare con i tuoi coinquilini o la tua famiglia per vedere cosa succede. Nel peggiore dei casi, puoi sempre accedere nuovamente al tuo router e bloccare completamente quell'indirizzo IP sospetto. Il proprietario di quel set-top box o di quel computer collegato silenziosamente entrerà in funzione abbastanza rapidamente quando smetterà di funzionare.

La preoccupazione più grande qui, tuttavia, sono i computer compromessi. Un desktop che è stato dirottato e unito a una botnet per l'estrazione di Bitcoin durante la notte, ad esempio, o una macchina infettata da malware che chiama casa e invia le tue informazioni personali a chissà dove, può essere dannoso.

Dopo aver ristretto la ricerca a computer specifici, è il momento di sradicare dove si trova il problema su ogni macchina. Se sei davvero preoccupato, adotta l'approccio del tecnico della sicurezza al problema: una volta che le tue macchine sono di proprietà, non sono più affidabili. Eliminali, reinstallali e ripristinali dai tuoi backup. ( Hai i backup dei tuoi dati, vero? ?) Assicurati solo di tenere d'occhio il tuo PC: non vuoi ripristinare da un backup infetto e ricominciare da capo il processo.

Se sei disposto a rimboccarti le maniche, puoi procurarti una solida utility antivirus e uno scanner anti-malware su richiesta ( sì, avrai bisogno di entrambi ) e provare a pulire il computer in questione. Se hai visto il traffico per un tipo specifico di applicazione, cerca di vedere se non è malware o semplicemente qualcosa che qualcuno ha installato che si comporta male. Continua a scansionare finché tutto non risulta pulito e continua a controllare il traffico da quel computer per assicurarti che sia tutto a posto.

Abbiamo solo scalfito la superficie qui quando si tratta di monitoraggio e sicurezza della rete. Esistono tantissimi strumenti e metodi specifici che gli esperti utilizzano per proteggere le proprie reti, ma questi passaggi funzioneranno per te se sei l'amministratore di rete per la tua casa e la tua famiglia.

Sradicare dispositivi sospetti o sanguisughe sulla tua rete può essere un processo lungo, che richiede investigazione e vigilanza. Tuttavia, non stiamo cercando di aumentare la paranoia. È probabile che non troverai nulla di straordinario e quei download lenti o velocità Wi-Fi scadenti sono qualcos'altro. Anche così, è bene sapere come sondare una rete e cosa fare se trovi qualcosa di non familiare. Ricorda solo di usare i tuoi poteri per sempre.

Questa storia è stata originariamente pubblicata nell'ottobre 2014 ed è stata aggiornata nell'ottobre 2019 con informazioni e risorse attuali. Aggiornato il 3/3/22 con nuovi dettagli.