Dois Servidores DHCP Legítimos e Um Impostor: Lendo a Coluna do Gateway
O desafio
Usuários da VLAN do escritório começaram a reclamar que a intranet parecia um pouco errada, e a equipe de rede extraiu uma manhã de eventos DHCP e ARP do switch de acesso. Contar servidores DHCP não resolve: existem de fato dois nessa rede, um primário e um de contingência, e ambos deveriam estar ali. O que importa não é quantos servidores respondem, mas o que eles entregam. Um dos respondentes está dizendo aos clientes para rotear por um endereço que não é o roteador do site e, como também responde mais rápido que os servidores reais, os clientes que o escutam aceitam a oferta dele e a mantêm. Descubra qual gateway padrão é o impostor e envie o IP dele.
O que você vai aprender
- Diferenciar quantos servidores respondem do que esses servidores entregam
- Usar anúncios ARP para confirmar o gateway legítimo
- Interpretar o tempo de lease e a faixa de endereços como indicadores de um respondente malicioso
- Explicar por que o funcionamento do DHCP, em que a primeira oferta vence, transforma isso em uma corrida
- Relacionar um gateway malicioso às respostas de DNS que as vítimas recebem em seguida
Habilidades testadas
Pré-requisitos
- O que fazem os pacotes DHCP discover, offer e ack
- Leitura de um endereço IP e de um MAC
Como funciona
O instinto diante de uma questão de DHCP malicioso é contar servidores e apontar o excedente. Esse instinto erra com frequência suficiente para valer a pena desaprender, porque redes legitimamente rodam mais de um servidor DHCP. Aqui, 192.0.2.10 e 192.0.2.11 são um primário e um failover, e ambos pertencem à rede.
A pergunta que os separa é o que eles entregam. Filtre por event:dhcp_offer e leia a coluna gateway: os dois servidores reais concordam em 192.0.2.1, e as linhas arp_reply mostram o router-core anunciando exatamente esse endereço. O 192.0.2.87 entrega a si mesmo.
Mais duas pistas confirmam isso sem precisar de nada do que foi dito acima. O malicioso concede leases a partir de 192.0.2.140 para cima, enquanto os servidores reais usam a faixa .50, e ele define um lease de 600 segundos contra 86400. Um lease curto não é acidente: ele mantém os clientes renovando com o atacante e permite que o malicioso se restabeleça rapidamente.
O detalhe de dhcp_ack diz que o cliente aceitou a primeira oferta, que é simplesmente como o DHCP funciona e é o ataque inteiro. A velocidade decide. Isso também explica por que o conjunto de vítimas é irregular em vez de total: 04:d3:b0:96:12:38 ouviu as duas ofertas e acabou no servidor legítimo.
As linhas dns_query fecham o ciclo. Hosts vinculados ao malicioso resolvem intranet.northgate.example para 192.0.2.87; um host vinculado ao servidor real resolve o mesmo nome para 192.0.2.30. O malicioso está respondendo DNS além de rotear, que é o que os usuários descreviam ao dizer que a intranet parecia errada.
Erros comuns
- Apontar 192.0.2.11 como o malicioso. Ele é o failover, e o campo detail confirma isso. Dois servidores é o estado normal aqui.
- Responder com o MAC do malicioso ou o MAC de um cliente. A pergunta pede o IP do gateway que está sendo entregue.
- Ler server_ip em vez de gateway. Eles coincidem no caso do malicioso, o que é justamente a pista, mas a coluna que responde à pergunta é gateway.
- Supor que todo cliente foi comprometido. Pelo menos um host ouviu as duas ofertas e se vinculou ao servidor legítimo.
- Parar nas linhas de DHCP. São as respostas de DNS que confirmam o impacto.
Como se proteger
Um servidor DHCP malicioso não precisa de mais nada além de uma porta de rede e um notebook, então o controle tem que estar no switch.
- Ative o DHCP snooping e confie apenas nas portas de uplink onde ficam os servidores reais. Ofertas vindas de uma porta de acesso são descartadas.
- Adicione a inspeção dinâmica de ARP por cima, para que o malicioso não possa recorrer a ARP spoofing depois que o DHCP estiver travado.
- Use port security ou 802.1X para que um dispositivo desconhecido nem consiga alcançar a VLAN.
- Alerte em qualquer oferta DHCP cujo gateway não seja o endereço conhecido do roteador. É uma detecção de uma linha só, e ela teria disparado às 09:14.
- Trate um lease incomumente curto como um sinal no monitoramento: servidores legítimos raramente entregam 600 segundos em uma VLAN de escritório.