Как обнаружить активный сниффер в сети

[devchaos 1]

Здравствуйте.

Столкнулся с такой проблемой. Пользователь ложил всю сеть ARP spoofing'ом (

Обнаружил кто почти случайно.

На шлюзе статические записи ARP, ОС FreeBSD. Железо частично управляемое но в большинстве своем обычные 8 портовые мыльницы.

Вопрос такой. Как проще всего обнаружить активный сниффер у себя в сети и локализировать того кто его использует? Смена оборудывание на L2 идет но не успеваю везде ставить новые свичи да и дорого сразу все железо поменять.

Заранее спасибо.

[Queeq 0]

http://local.com.ua/forum/index.php?showtopic=6896

Покатит?

[devchaos 1]

Эт читал даже пост там оставлял ) Нашли конечно похожим методом отключил от центрального свича несколько домов флуд прекратился но так как дома находятся на приличном растоянии друг от друга бегать откровенно ломает (. Возможно есть метод с помощью анализа пакетов тем же сниффером.

[Queeq 0]

Вряд ли... Активный снифер просто зафлуживает свич левыми мак-адресами. Проснифаешь - увидишь кучу АРПов... Это ничего не даст.

Разве что методом исключения выслеживать кто висит в данный момент в сети, а кто нет. Хотя это неэффективно и может дать ложные результаты. Так что лучше побегай - не стоит в данном случае лениться.

[devchaos 1]

В принципе да ) Подключил ноут к проблемному сегменту, включил сниффер - бегает кучу пакетов ARP. Отключил свич если не помогло тогда другой. Потом добрался до свича где хацкер и отключаешь порты по очереди.. Мрак ) Если учесть что свич может быть на чердаке от которого не всегда есть ключ на руках а траблу нужно решить как можно скорее. Хотя что жаловатся, нужно нормальные свичи просто ставить..

[karimovru 1]

Я вот половил уродов так и в итоге купил 3com'ы

[XoRe 0]

2karimovru:

Управляемые?

[Queeq 0]

В принципе да ) Подключил ноут к проблемному сегменту, включил сниффер - бегает кучу пакетов ARP. Отключил свич если не помогло тогда другой. Потом добрался до свича где хацкер и отключаешь порты по очереди.. Мрак ) Если учесть что свич может быть на чердаке от которого не всегда есть ключ на руках а траблу нужно решить как можно скорее. Хотя что жаловатся, нужно нормальные свичи просто ставить..

Ой как я Вас понимаю! Не представляете себе Денег нет на умные свичи, ключей от чердаков нет.

 

А зачем бегать с ноутом? Можно просто смотреть на мигание лампочек на свичах.