Você conhece os vizinhos de sua rede?

Como administrador de sistema para um sistema VOS, você normalmente poderia se importar menos com o que outros anfitriões estão na sub-rede local. Você se preocupa com os gateways que estão configurados e, é claro, com qualquer host local que se comunica com seu sistema, mas os outros hosts estão abaixo de seu radar. Existem, no entanto, duas boas razões para saber quem são os vizinhos de sua rede. Primeiro, no caso de um problema de comunicação, você pode usar esses outros hosts para testar sua conexão de rede. Em segundo lugar, estes são os hosts que mais provavelmente serão as fontes de qualquer tipo de ataque baseado na rede.

Não é uma má idéia escanear a sub-rede local de vez em quando (digamos, todas as quartas-feiras de manhã) apenas para ver quem está por aí. O VOS não tem um scanner embutido - mas tem o comando ping, que quando rodeado por algumas linhas de uma macro de comando pode ser transformado em um scanner.

Há 3 problemas com o uso do ping para procurar por anfitriões. Primeiro, ele não é muito eficiente. O tempo padrão é de 15 segundos e o comando tentará 4 vezes, então levará um minuto para procurar um host que não está lá ou não responde aos pings. Por sorte, o número de tentativas pode ser reduzido a 1 e o tempo de espera reduzido a 1 segundo. Isto ainda não é eficiente do ponto de vista de uma ferramenta de escaneamento dedicada, mas eu penso que é bom o suficiente para nossas necessidades.

A segunda questão é que nem todos os anfitriões responderão aos pings. No entanto, isso não é um problema significativo, porque com apenas mais uma linha nossa macro de comando informará qual anfitrião enviou uma resposta da ARP. Os ARPs são usados para mapear um endereço IP em um endereço MAC Ethernet e o VOS deve saber o endereço MAC Ethernet antes de poder enviar o ping. Portanto, ele envia uma solicitação ARP para o host alvo e coloca os dados da resposta no cache ARP. Todos os hosts responderão à solicitação ARP com uma resposta ARP mesmo que não respondam à solicitação ping subseqüente. O comando arp exibirá a entrada solicitada, se houver.

A macro de comando acima tem os pedidos e respostas de ping misturados com os dados do ARP, não é muito legível. A macro a seguir produz uma bela tabela de vizinhos em um arquivo chamado arp_scan.(data).out. Ela assume uma rede de classe C, ou seja, os primeiros 3 octetos são fixos e varredura para hosts de 1 a 254. Sugiro que seja executado como um processo iniciado.

O tempo limite do cache ARP é de 10 minutos, Se houver uma entrada com tempo inferior a 10 minutos você saberá que o módulo já estava se comunicando com aquele host antes de a varredura ser feita.

A terceira questão é a reclamação que você pode receber de seu administrador de rede por escanear ativamente a rede. Se eles se opuserem a esta atividade, você pode escaneá-la passivamente usando o comando do monitor de pacotes para capturar os pacotes transmitidos.

O uso desta técnica depende dos outros hosts da rede que comunicam e enviam transmissões ativamente enquanto o monitor de pacotes está rodando. Se você usar esta técnica, terá que deixar o packet_monitor funcionar por um bom tempo, quanto tempo dependerá de sua rede. Sugiro que você coloque o comando acima em uma macro de comando (packet_monitor_scan.cm) e o execute como um processo iniciado. Não se esqueça de rodar o processo como privilegiado.

Uma vez que você tenha uma pista, você precisará convertê-la em uma tabela de endereços utilizável. A macro a seguir fará isso (assume que o packet_monitor_scan foi um processo iniciado gerando um arquivo process_packet_monitor_scan.out).

que produzirá a seguinte tabela.