各位安裝人員
本人今天遇到一個特異現象
NetCare 軟體不管怎麼換
安裝的主機不管怎麼換
還有網路線不管怎麼換
設定不管怎麼調整
就是無法過濾網頁且Agent就是看不到(內網控管)
答案就出在 此正式授權序號沒有設定好
以至於過濾:無 內網控管:無
所以以後有遇到這樣靈異現象 請立刻查看序號視窗之功能狀態
只要跟我們公司通知 就可以立即更正序號設定
更多內容......
2007年12月27日 星期四
可以記錄卻不能過濾網頁的NETCARE?
2007年11月7日 星期三
NetCare 如何保存攔截紀錄
NetCare 安裝完畢後
預設是只能夠在現場觀察看到封鎖事件
如要保存至日誌檔
需要到監控設定 狀態/服務 右方視窗的雜項按鈕
裡面下方有儲存攔截日誌勾選即可(會使得日誌檔增加大小)
可到查閱網路活動日誌 查閱統計訊息 阻塞事件即可(可自訂查閱日期區間)
適用於NetCare 6.5版
更多內容......
2007年11月2日 星期五
NetCare 匯出規則
NetCare 匯出規則設定檔時(*.sflt)
不會將XKeyWords1.txt匯出
請自行備份文字檔
XKeyWords1.txt
WorkSite1.txt
更多內容......
[重要通知]NetCare Internet出口IP請勿輸入資料
監控設定/網路定義 下方Internet出口IP請勿輸入資料
以免造成網路錯誤
有設定Internet出口IP會把PING中斷
無設定Internet出口IP會把PING中斷
更多內容......
2007年10月25日 星期四
2007年10月24日 星期三
NetCare伺服器如果安裝防火牆?
會使得NetCare可以搜尋所有電腦清單 卻無法看到任何封包紀錄(已設定成打勾狀態)
所以安裝時若遇此現象，請解除SERVER防火牆，或是設定規則讓NETCARE通行
建議使用WINDOWS內建防火牆即可
更多內容......
2007年8月12日 星期日
區域網路ARP攻擊防禦的解決方案
Catalog.
一、 前言
二、 何謂ARP、RARP?
三、 何謂ARP欺騙攻擊?
四、 ARP欺騙被使用的目的為何? 它攻擊的特色為何?
五、 ARP攻擊分類、手法；為何IPS難以辨識及防禦ARP的攻擊 ?
六、 ARP攻擊的防禦需要依賴安全交換器 – 介紹NBADswitch、 NBADsensor
七、 結語
Appendix
補充資料
一、 前言
在廣大無疆的網際網路世界裡，潛藏了許許多多的危機，但也由於資安設備技術進步有效的阻隔了大多數外在攻擊，而雖然如此，由於IT使用習慣的改變及入侵與病毒的傳播技術日新月異，近年來的資訊及網路安全威脅開始來自於企業infrastrunture內部。2007 舊金山 RSA conference 正說明了這一點，會中一致的共識說明「單純的單點防禦，或是築起一道堅固的資訊防禦外牆，已經逐漸不能滿足企業(機関)在資訊安全上的需求，取而代之的，未來企業(機関)越來越需要整體內部網路與系統的協同防禦機制。」本章節以技術角度說明ARP 欺騙攻擊對企業(機関)內部使用者造成的資訊安全問題，為何ARP欺騙攻擊是現階段病毒攻擊網路最喜歡的攻擊工具，也是現階段駭客最喜歡使用的入侵工具之一，有了這些了解後，網路管理者將可更有效佈署或整合適當的網路與資訊安全設備，檢測出網路與資訊威脅來源。
二、 何謂ARP、RARP?
位置解析協定( Address Resolution Protocol –簡稱ARP)是位址轉換協定，RARP被稱為反向位址轉換協議,他們負責把IP位址和MAC位址進行相互轉換對應。ARP主要被設計用於以OSI model 第三層位址（IP address）求得第二層位址（MAC 位址），這是由於IP資料包常通過乙太網傳送,而乙太網設備本身並不識別第三層32個位元的IP位址，而是以第二層48個位元的乙太網位址(MAC位址)傳輸乙太網資料包的。因此，必須把IP目的地址轉換成乙太網地目的地址。在這兩種位址之間存在著某種靜態的映射，這是就是所為的ARP表。
ARP封包只會在同一個子網路（subnet）內傳送，它很少透過路由器（router）傳送至不同的網路。主機的作業系統會依照封包目地IP位址與本機之子網路遮罩（subnet mask）的值進行運算，以判斷封包目地IP是否與本機同屬於一個子網路，如果封包的源IP位址與目的IP位址不屬於同一子網路則封包必然須要傳送至路由器，而ARP則正可以讓本機獲得路由器乙太網設備網卡MAC位址，而讓封包可以透過本機乙太網設備網卡傳送至路由器。ARP、RARP是一個非常重要且使用頻繁的協定，在任何一個TCP/IP的連線被建立之前，都必需經由位置解析協定（Address Resolution Protocol）取得目地主機的實體網路位址（MAC），在區域網路（Local area network）中，兩部電腦要彼此互相通訊，首先必須彼此知道彼此網卡的MAC地址才能將封包送往對方；例如: 如果某ㄧ電腦 (ip1/ mac1) 得到另一台電腦 (ip2/mac2) 錯誤的 MAC地址 ( ip2/mac3), 那麼這台電腦 (ip1/mac1) 將無法傳送數據包到 Ip2 電腦。
三、 何謂ARP欺騙 ?
ARP Spoofing (ARP欺騙) 攻擊的根本原理是因為Windows電腦中維護著一個 ARP 快取記憶體（讓你可以使用 arp 命令來查看你自己的ARP快取記憶體），並且這個ARP 快取記憶體是隨著電腦不斷的發出ARP請求和收到ARP回應而不斷的更新的， ARP 快取記憶體的目的是把機器的IP位址和MAC位址相互映射，使得IP資料包在乙太網內得順利而正確找到目的MAC位址，然後正確無誤的傳送。 如果你可以藉由發出標準的ARP請求或ARP回應來擾亂或竄改某電腦或路由器內正常的ARP表，而導致該電腦(或路由器)發出的資料包誤傳目的地，或使OSI的第二層乙太網和第三層無法連接，進而癱瘓網路，我們就稱你使用了ARP欺騙攻擊。
舉例說明： 現在有三部機器分別是機器A：IP1/MAC1、機器B：IP2/MAC2、機器C：IP3/MAC3 。現在機器B上的用戶是位駭客企圖干擾機器A或是監視SNIFFER機器A與C之間的通訊，首先他向機器A發出一個 ARP Reply，其中的目的IP位址為IP1，目的(Destination) MAC 位址為MAC1，而源(Source)IP地址為IP3，源MAC地址為 MAC2 。好了， 現在機器A更新了他的 ARP快取記憶體，並相信了IP3地址的機器的MAC地址是 MAC2 。當機器A上的管理員發出一條FTP命令時---ftp IP3，資料包被送到了Switch，Switch查看資料包中的目的地址，發現MAC為 MAC2 ，於是，他把資料包發到了機器B上，因此成功攻擊機器A。現在如果不想影響A和C之間的通信該怎麼辦？僅是sniffer監視兩者之間的通訊，你可以同時欺騙他們雙方，使用 man-in-middle攻擊，便可以達到效果 。
總之本機在傳送資料包之前，會送出一個關於查詢目的IP位址的MAC乙太網廣播包。正常情況下，只有對應目的IP的主機會以一個自己的48位元MAC主機位址unicast包來做回應，並且將該IP與MAC位址對應更新本機內ARP快取記憶體，以節約不必要的ARP通信。如果有一個中毒的電腦或是網內合法授權進行非法活動的駭客，他們是對本地網路具有寫訪問許可權，極可能這樣一台機器就會發佈虛假的ARP請求或回應通訊，欺騙其他電腦或路由器將所有通信都轉向它自己，然後它就可以扮演某些機器，或對資料流程進行修改。這樣就造成arp欺騙攻擊，影響正常的主機通信。
四、 ARP欺騙被使用的目的為何? 它攻擊的特色為何?
不管是中毒無特定目標的攻擊或是駭客進行特定標的非法監聽、竊取活動，ARP欺騙是主要攻擊的一種手法也是目的。事實上很多的知名的駭客使用的工具就是使用ARP欺騙為手法的。最有名駭客攻擊的手法如中間人攻擊(Man-in-the-Middle attack) 與連線劫奪(Session Hijacking) 就是採取ARP spoofing等攻擊手法達到欺騙主機、反追蹤或是避開交換器訪問安全存取的安全機制的防護。連線劫奪(Session Hijacking) 利用ARP欺騙將使用者正常的連線搶過來；中間人攻擊則利用ARP同時欺騙使用者(Client)與服務器(Server)兩邊使所有兩邊的交談都要透過入侵人的轉述，達到欺騙、側錄、竄改資料的目的。
另外中毒的電腦發送ARP欺騙封包，或是市面上也有些軟體如網路剪刀手（NetCut），利用製造ARP欺騙封包，它則是以攻擊為目的，使得特定或不特定的目標癱瘓，並嫁禍於人。網路剪刀手（NetCut）它的原理是負責假造ARP封包，提供給目標主機假的實體網路位址（MAC）資訊，通訊閘道（Gateway）收到後，將錯誤的實體網路位址（MAC）記到ARP 表內，伺服端（Client）的返回封包就無法送達，也就無法上網，達到攻擊的目的。
ARP欺騙手法最大的特色是隱密難以偵測，和過去駭客或中毒攻擊手法 – DsS攻擊或洪水攻擊(Flooding)不同，DoS或洪水攻擊所造成的網路危害明顯，但是容易被查覺；而ARP欺騙則是以欺騙為目的，並且為了維持持續的欺騙效果，必須持續發送ARP欺騙包，這些ARP欺騙包長度短但是為數可能頗多，因此造成的網路危害不僅是可能的資料側錄、竊取，也可以是對網路特定目標的攻擊，甚至大量ARP廣播包也可造成整個或部份網路的癱瘓。
五、 ARP攻擊分類、手法；為何IPS難以辨識及防禦ARP的攻擊 ?
ARP欺騙攻擊分類基本上可以分為刻意的特定目標攻擊，及因為中毒無意的攻擎。這二種的攻擊本意有所不同，(一)通常是利用網路下載的工具、例如網路翦刀手netcut程式 然後惡意攻擊他人並將攻擊封包偽裝以駕禍於他人，其危害常是少數特定目標，但是由於攻擊者以Unicast 包方式傳送且善於偽裝，因此網路管理員極難找出問題所在，也由於此類型程式下載容易操作簡單，近期於網路中快速擴散，造成網路管理人員極大負擔，也由於目前尚無完整機制快速偵測出此類型規則來源，因此常會使管理人員處理此類問題時疲於奔命，處理耗費時間同時效果不彰，過程中也讓網路管理人員專業能力受到極大的質疑。〈二〉通常是使用者中毒後中毒軟體發送ARP欺騙封包以誤導其他人將封包送往錯誤的路徑,導致變像的攻擊使閘道受害或某用戶的遭炴,其主要的目的是造成部份或整體網路的危害
位置解析協定（Address Resolution Protocol）在區域網路中極其重要，他是屬於區域網路同ㄧ子網段內部主機對主機的傳輸或主機與路由器之間傳輸重要的協定。如果局域網內是屬於中大型網路具有多個子網路，那麼防火牆/IPS入侵偵測設備通常被設置在核心路由交換器之後根本沒有機會接觸ARP封包，因此對ARP攻擊束手無策。即使局域網內只有一個網段，防火牆/IPS入侵偵測設備兼具路由器功能也僅能偵測部分ARP廣播包，且大部分的產品如使用作業系統(如Linux)的TCP/IP Socket就難以偵測ARP數據包，因此目前的防火牆/IPS入侵偵測設備幾乎不具有即時防止「欺騙位置解析協定攻擊（ARP Spoofing Attack）」的功能，就算有也僅止於出口控制無法由網路底層第一時間阻隔此類攻擊。
六、 ARP攻擊的防禦需要依賴安全交換器 – 介紹NBADswitch、 NBADsensor
既然ARP欺騙攻擊是屬於區域網路內部的攻擊手法，而且又是許多病毒、蠕虫、駭客攻擊（如Session Hijacking連線劫奪、Man-in-The-Middle中間人攻擊）經常使用的基本工具。因此，如果是可以由二層交換器來偵測及阻擋防禦最為恰當，一方面可以不需要支付昂貴的IPS入侵偵測器的成本，而且可從網路最底層從事非法ARP的偵測及阻擋防禦，根本解決ARP衍伸的負面攻擊。
NBAD switch是目前筆者了解市面上具備有ARP攻擊防衛較完整的解決方案。NBAD switch設計上是屬於二層的交換器，主要應用在區域網路底層的佈署，一方面提供正常網路封包的基本交換功能，另ㄧ方面也同時解決網路攻擊或流量異常的偵測，以即時反應邊際端的異常狀況，並減輕負荷、保護企業核心網路。NBAD switch基本上提供了ARP掃描偵測 (xarp scan detection)、ARP異常偵測 (xarp anomaly detection) 及ARP攻擊偵測 (xarp attack detection)三種防護裝置。. ARP掃描偵測- 主要目的是偵測LAN內部arp掃描行為，ARP異常偵測- 則是偵測LAN內部哪些用戶送一些不合法封包，ARP攻擊偵測- 主要目的是偵測出哪些用戶遭受攻擊，並找出攻擊來源。藉由利用這些偵測(detection), NBAD switch 可以檢測出PC開始攻擊前的異常行為，並送出通知讓PC了解可能是因為中毒正準備蓄意對外攻擊。如果該PC正式對外攻擊，NBAD switch會立即偵測到並通知管理者攻擊者、被攻擊者是誰，因此可以採取快速反應的動作。
NBAD sensor設計的目的、佈署的方式與NBAD switch不同，NBAD switch 主要佈署於新建或者是全面更新的區域網路上，而NBAD sensor則是佈署於暨有已存在的區域網路上側聽的偵測器，主要目的除了可以映射(mirror)方式側聽(sniffer)網路上是否有異常ARP 欺騙攻擊的封包之外，也可收集、偵測、防禦MAC/IP綁定的管理，有效解決區域網路內IP衝突與病毒攻擊問題。
七、 結語
ARP Spoofing Attack確實在區域網路（Local area network）中具有極大的威脅，而且ARP攻擊的手法也越來越精湛，由broadcast 轉向Unicast 使得一般的偵測器或防火牆無法做出有效而廣泛的偵測，而如果想要掃描整體網路ARP的攻擊顯然就必須要依賴交換器基礎的解決方案，在區域網路（Local area network）建立的時候，依賴交換器主動偵測是否又異常ARP訊息，經由內建晶片過濾一旦發現異常ARP封包便可自動封鎖並通知網路管理者，有效處理「欺騙位置解析協定攻擊（ARP Spoofing Attack）」癱瘓區域網路這一個棘手的問題。
更多內容......
2007年7月3日 星期二
NetCare V6.5 功能表
主要模組 即時觀察 本地報表 網路活動 外送資料 內網控管(ByAgentSetup用戶端程式) enhanced!! 編輯過濾規則 new!! 本機操作權限 增加IP黑名單new!! 警報選項/警報佇列/警報記錄new!! 傳送訊息 全螢幕顯示new!! 附屬工具 資料庫編輯 安裝服務/移除服務 埠掃描/IP封包分析工具 狀態 服務 IP流量 埠流量圖 監控分佈 全局定義規則 網路定義 IP黑名單new!! IP白名單 閒置IP 警報new!! 深層攔截過濾 監控項目 監控時間 雜項 授權/檔案 遠端查閱日誌授權 操作日誌 日誌檔案 電腦清單 電腦自動分類設定new!! 安裝 單一網段電腦監控 跨VLAN網段電腦監控(By MACSetup收集器enhanced!!) 跨NAT網段電腦監控(需搭配網管型Switch) new!! 旁路監控/非旁路監控 製表者 洪浩偉
更多內容......
2007年6月26日 星期二
網路安全管理大師6.5版與6.0版比較表(新出爐)
功能及模組名稱\項目名稱 6.5版 6.0版 主要差異 核心效能 優良 佳 臨界值警報(聲音或郵件或手機簡訊) V X 鎖定多張網卡(多網段監控) V 只有(跨VLAN) 鏡像端口配對設定(多重) V 單一設定 內網控管 V 較弱(遠端偵測) 主要操作畫面自訂排列 V X 全螢幕顯示 V X MAC偵測用戶端套件 V X 過濾群組的統一管理 V X 新發現電腦自動歸類 V X 即時觀察 今日堵截統計 V X 今日警報統計 V X 廣播訊息 V X 日誌報表 瀏覽網頁時間報表 V V 外送資料報表 V V 聊天訊息報表 V V 連接網站情況報表 V V 流量報表 V V 查閱網路活動日誌 連接網站 V V 收發信件 V V ICQ聊天 V V FTP命令 V V TELNET伺服器 V V MSN聊天 V V YAHOO聊天 V V 封鎖事件 V V 網路流量 V V 自定義項目 V V 紀錄總數/顯示記錄/目前記錄 V X 查閱外送資料日誌 發件匣SMTP V V 收件匣POP3 V V FTP上傳 V V 網頁複製 V V MSN傳檔 V V QQ傳檔 V V 內網控管 查閱桌面：單一畫面 V V 查閱桌面：多重畫面 V X 查閱桌面：歷史撥放畫面 V X 下達指令：關機 V V 下達指令：重新啟動 V V 下達指令：鎖定螢幕 V X 下達指令：解鎖 V X 下達指令：更新客戶端程式 V V 下達指令：移除客戶端程式 V V 下達指令：目標電腦群組套用 V X 查閱聊天：MSN、QQ、SKYPE V X 系統訊息：基本訊息 V V 系統訊息：執行中的程式 V V 系統訊息：執行中的程序 V V 系統訊息：背景服務 V V 系統訊息：桌面程式 V X 系統訊息：安裝軟體 V X 註冊表編輯 V V 磁碟機查閱 V V 控管電腦：上網限制 V X 控管電腦：軟體限制 V X 控管電腦：設備限制(軟碟、光碟、USB設備) V X 上網時間統計 V X 截取統計 V X 聊天日誌統計 V X 客戶端統計 V X WEB CAM支援 V X 主要 電腦清單：過濾規則統一套用至群組 V X 電腦清單：清除電腦列表 V X 電腦清單：電腦自動分類設定 V X 電腦清單：過濾規則編輯器 V X 電腦清單：電腦選取後更改狀態 V X 電腦清單：電腦選取後發送訊息 V X 電腦清單：電腦選取後加到IP黑名單 V X 監控設定：MAC採集點 V X 操作畫面 監控設定：單個IP通訊流量 V X 監控設定：IP黑名單 V X 監控設定：狀態/IP流量(上傳、下載) V X 監控設定：狀態/服務/儀表板項目(堵截) V X 監控設定：狀態/服務/CPU利用率 V多段式 X參數式 過濾規則 下載類型(副檔名控制) 10種 3種 網路軟體(如FOXY偵測、Google Talk) V X 節假日設定 V X 新電腦自動套用規則 V X 新電腦自動套用群組 V X 鎖定IP-MAC群組套用 V X 警報設定(可分3等級) 瀏覽敏感網站 V X 瀏覽敏感IP V X 使用敏感埠 V X IP-MAC鎖定更動 V X 單個IP總流量過大 V X 單個IP上傳流量過大 V X 單個IP下載流量過大 V X
表格整理：洪浩偉 更新時間：6/19/2007 11:57:10 PM
智識家資訊 技術服務處
更多內容......
2007年6月19日 星期二
如何得知遠端機器的MAC
舉例來說，假設閘道器的IP address是192.168.1.254，打開命令提示字元(cmd)，執行ping 192.168.1.254，只要ping得通就可以得到正確的閘道器MAC address。這時執行 arp -a 就可以查出192.168.1.254的對應MAC address(就是Physical Address)。
在乙太網路上僅僅知道某台主機的IP address，並不能立即將封包傳送過去，必須先查明該主機的實體位址(Physical address / MAC address)才能真正發送出去，而ARP協議的功用就是在於將IP address轉換成實體位址。 網路上每一台主機都有一個ARP table，此table中記錄了最近一段時間裡其它IP address及其MAC address的對應關係。如果本機想跟某一台主機通信，則會先在ARP table中查尋對應目的主機IP address的MAC address，如果該對應記錄存在，則直接將目的主機的MAC address填入Data Link層的封包表頭中，然後將封包發送出去；如果該對應記錄不存在，則會向本網段廣播一個ARP請求封包，當目的主機聽見該請求封包後，會將本身的MAC address填入封包並用廣播方式回送出去，本機收到此回應封包後，就會將相關訊息記錄在ARP table中，然後將目的主機的MAC address填入Data Link層的封包表頭裡。
更多內容......
2007年6月14日 星期四
北新國小NETCARE安裝案
今天上午至北新國小處理NETCARE在鏡像端口旁路監控下無法過濾網頁
已經接回一條控制線回普通端口 可以測路電腦流量 可以PING到各個CLIENT
但是對於各項控制條件都無法擋住 全楙工程師也在場
老師不讓我們接網橋模式 於是最後只好用虛擬網橋 就可以順利控制
如果24HR後內網還是正常WORK就OK
更多內容......
訂閱：
文章 (Atom)
