arp 스푸핑한 서버 어떻게 찾나?
오늘 게이트웨이 맥을 변조하여 뿌린 윈도우 서버가 있었습니다.
사전에 발견하여 조치를 해야 하는데 좋은 방법이 있는지 찾아 보았는데, arpwatch를
알게 되었습니다.
ARP Spoofing and arpwatch
test os: centos5.5
1. arp 테이블 확인
[root@localhost ~]# arp -a
? (192.168.56.100) at 08:00:27:5C:30:F4 [ether] on eth0
? (192.168.56.1) at 0A:00:27:00:00:00 [ether] on eth0
2. arpwatch 설치
yum install arpwatch
/var/arpwatch/arp.dat
3. 설정
1) 환경 설정
[root@localhost ~]# vi /etc/sysconfig/arpwatch
# -u <username> : defines with what user id arpwatch should run
# -e <email> : the <email> where to send the reports
# -s <from> : the <from>-address
OPTIONS="-u pcap -e 'linuxmaster@xxx.com' -s 'test server (Arpwatch)' -n '192.168.56.0/24'"
2) 실행
[root@localhost ~]# /etc/init.d/arpwatch start
Starting arpwatch: [ OK ]
* 참고
맥 제조 회사 알수 있음.
/var/arpwatch/ethercodes.dat
0:0:0 XEROX CORPORATION
0:0:10 SYTEK INC.
0:0:11 NORMEREL SYSTEMES
0:0:12 INFORMATION TECHNOLOGY LIMITED
0:0:13 CAMEX
0:0:14 NETRONIX
0:0:15 DATAPOINT CORPORATION
0:0:16 DU PONT PIXEL SYSTEMS .
0:0:17 TEKELEC
...중략
맥 제조 회사 최신 정보로 갱신
mv oui.txt /var/arpwatch/ethercodes.dat
|
프로그램
태그 필터
1개 태그 선택됨
복수 태그 검색 (AND 조건)
여러 태그를 선택하면 모든 태그를 포함한 글만 표시됩니다.
예시:
"영카트5" + "그누보드5" 선택 시
→ 두 태그를 모두 포함한 글만 표시
"영카트5" + "그누보드5" 선택 시
→ 두 태그를 모두 포함한 글만 표시
댓글 작성
댓글을 작성하시려면 로그인이 필요합니다.
로그인하기