La Red de Conocimientos Pedagógicos - Conocimientos universitarios - * * *¿Cuál es la diferencia entre el monitoreo de red en redes compartidas y conmutadas? Escuchas en una * * * LAN compartida La llamada * * * LAN compartida se refiere a la estructura de Ethernet tradicional que utilizaba HUB como dispositivo de conexión de red en los primeros días. En esta estructura, todas las máquinas comparten la misma línea de transmisión. El hub no tiene concepto de puerto y su método de transmisión de datos es "broadcast". Cuando el concentrador recibe los datos correspondientes, simplemente envía los datos a cada cable del dispositivo al que está conectado. Por ejemplo, si una máquina envía un mensaje "Quiero hablar con Xiao Jin", todos los dispositivos conectados al concentrador recibirán el mensaje, pero sólo la computadora llamada Xiao Jin recibirá y procesará el mensaje, y nada más. La computadora descartará "silenciosamente" el mensaje. Por lo tanto, los datos en la estructura Ethernet * * * no son realmente privados. Es solo que la tarjeta de red será más "caballero" e ignorará los "chismes" que no tienen nada que ver con eso. Desafortunadamente, la tarjeta de red está diseñada. con una opción de "modo de trabajo", lo que provoca que sucedan pesadillas. Cada tarjeta de red tiene básicamente los siguientes modos de funcionamiento: unicast, broadcast, multicast e híbrido. Normalmente, el sistema operativo configurará la tarjeta de red en modo de transmisión. En el modo de transmisión, la tarjeta de red puede recibir todas las tramas de datos de mensajes de transmisión, como el direccionamiento ARP. Además, ignorará los paquetes cuya dirección de destino no sea su propia dirección MAC, es decir, solo recibirá paquetes de datos, paquetes de difusión y multidifusión que se envíen a sí mismo. Si la tarjeta de red está configurada en modo unidifusión o multidifusión, puede causar anomalías en la LAN porque estos dos modos limitan los tipos de mensajes que recibe. El modo promiscuo es la raíz del mal. En modo promiscuo, la tarjeta de red recibe todas las direcciones MAC de destino en el paquete sin realizar ninguna verificación, lo que resulta en una situación en la que, sin importar qué datos pasen, serán recibidos por la tarjeta de red. Aquí es donde comienza el seguimiento. Generalmente, el modo de funcionamiento de la tarjeta de red lo establece el sistema operativo y no hay un modo público para que los usuarios elijan, lo que limita la implementación del monitoreo por parte de los usuarios comunes. Pero desde que la familia de los sniffer se ha desarrollado hasta cierto punto, ha comenzado a tener el poder de configurar el modo de funcionamiento de la tarjeta de red, señalando con el dedo la promiscuidad. Cualquier usuario simplemente necesita marcar la opción apropiada. Su máquina se convirtió en un oído que podía registrar datos transmitidos por cualquier máquina en la red de área local. Debido a las características de la LAN exclusiva, todos pueden recibir datos, lo que resulta en una fuga de información irresistible. Sin embargo, al final este método de seguimiento fue básicamente eliminado. ¿Qué métodos utilizó la gente? Es muy simple. La estructura de la LAN se ha actualizado a una "LAN conmutada". 2. Escuchas en una LAN conmutada Como "LAN conmutada" en lugar de "* * *", su equipo de conexión de red ha sido reemplazado por conmutadores. Lo inteligente de un switch es que cada computadora a la que se conecta es independiente. El conmutador introduce el concepto de "puerto", que generará una tabla de direcciones para almacenar la dirección MAC de cada computadora conectada a él. A partir de entonces, cada interfaz de red existe como un puerto independiente. Excepto por los mensajes declarados como transmisión o multidifusión, el conmutador no permitirá que otros mensajes se envíen como transmisiones como * * * LAN, por lo que incluso si su tarjeta de red está configurada en modo promiscuo, no recibirá datos enviados a otras computadoras porque La dirección de destino de los datos será identificada en el switch y luego enviada al puerto correspondiente a la dirección de la tabla, nunca yendo a casa de otra persona. Esta mejora acabó rápidamente con el método tradicional de monitoreo de LAN, pero la historia a menudo demuestra que las personas son difíciles de conquistar... (1) Ataque a conmutadores: no sé quién descubrió por primera vez este método de ataque en MAC Flood, tal vez debido a la aparición de El interruptor destruyó el trabajo del rastreador, así que me enojé mucho. Otro enfoque es la experimentación por parte de técnicos expertos, imaginando lo que sucede cuando el procesador de un conmutador excede la cantidad de información que puede manejar. No importa desde qué ángulo se mire, al menos este modo de ataque se ha convertido en una realidad: el llamado ataque de inundación MAC consiste en enviar una gran cantidad de paquetes IP que contienen direcciones MAC y direcciones IP falsas al conmutador, haciendo que el conmutador incapaz de procesar tanta información, lo que hace que el dispositivo no funcione correctamente. Este es el llamado modo "fallo". En este modo, el procesador del conmutador ya no puede analizar adecuadamente datagramas ni construir tablas de direcciones de búsqueda. Luego, el conmutador se convierte en un centro normal y envía datos a todos los puertos de forma indiscriminada. Este comportamiento se denomina "inundación" y permite al atacante detectar los datos deseados. Sin embargo, el uso de este método traerá una gran cantidad de paquetes de datos basura a la red, lo que no es bueno para el oyente.