SX541 Logging

[Hogl]

Hoi,

Ich hab 2 PC's an diesem Router mit wlan hängen.kann man mit diesem Router, oder irgendeinem zusätzlichen programm sehen, welche datanpakete an welche IP geschcikt werden? oder auch quasi so was wie ne history, welche seite wurde von wem aufgerufen?

Hogl

 

[CREPIDULA]

Hey,

ne...das wird wohl kaum funktionieren. Da ein solches Logging auch wg. der notwendigen Einstellung der Granularität der zu loggenden Pakete und die entsprechende Datenaufbereitung ein zu geringes Kosten/Nutzen-Verhältnis für Router dieser Preisklasse hat, ist sowas mit Sicherheit nicht möglich.

Das einzige, was du eben machen kannst, um solch einen Effekt zu simulieren, ist auf beiden Rechnern ein Programm wie z.B. Ethereal installieren und den (externen) Traffic pro PC mitloggen und dann nachher die Logfiles zusammenführen. Aber unterschätze die Menge an anfallenden Daten nicht. Die werden je nach Zeitraum schnell sehr groß.

Viele Grüße!
CREPIDULA

 

[PANGOOL]

Ich kann meinem Vorredner nur Recht geben, willst Du umfassende Kontrollmöglichkeiten, mußt Du einen Server aufsetzen. Die Frage stellt sich allerdings, wozu. Du hast ja Kontrolle über beide Rechner und kannst dort direkt mitloggen. Im SX hast Du unter Erweiterte Einstellungen->Firewall/NAT für einen Router eh recht umfangreiche Filtermöglichkeiten ins WAN, die für den Hausgebrauch ausreichen sollten. Ethereal ist ansonsten DAS Tool der Wahl, wenn Du damit umgehen kannst. Auch SIP-Mitschnitte sind dort möglich. Besuchte Seiten als Tree sowieso. Unterstützt massig Protokolle. Bei SSL wirds dann schon komplexer... weiters empfehle ich LAN-Guard als Evaluierungsversion für Sicherheitscheckup. Beim WLAN empfiehlt sich z.B. Airodump, läuft auch unter XP, kein Linux-ärger. Mit Aircrack ist dann auch WEP in nullkommanix geknackt, also immer schön WPA/PSK (+VPN) minimum nutzen, wenn Du nicht willst, dass Dein Nachbar snifft und im Extremfall Dein ganzes Netz übernimmt. Ich spreche da aus Erfahrung...

 

[Hogl]

Hoi,

der nachbar ist eben mit im netzwerk von meinem Router. Es dreht sich nur darum, das ich nicht die polente da stehen haben will, wenn der sich llegales zeugs ausm inet runterladet, so hätte ich es mit ner log datei beweisen können, das es nicht ich war. aber da kann ich ja die ports zumachen.
danke für eure hilfe

Hogl

 

[PANGOOL]

Jo, Ports dicht machen, evtl URLs sperren. Keinen Zugang zum Router geben. Ist aber keine Garantie, dass er nicht trotzdem was illegales treibt. Prinzipiell bist Du als Inhaber der IP erstmal haftbar. Wenn man bei Dir zu Hause und am Rechner aber nichts findet und der Virt. Server auf seine LAN-IP geschleift ist dürftest Du außer Ärger nichts zu befürchten haben. Die Beweispflicht dürfte dann aber bei Dir liegen. Hab ich mir schon fast gedacht, dass Ihr Geld sparen wollt und Dein Nachbar dran hängt. Ob der das wohl lustig findet, wenn Du seinen Traffic loggst??? Trotzdem: möglich ist es. Du hast dann ja seinen WEP oder WPA/PSK. Wenn Du verschlüsselst und nicht einen Open Node betreibst. Dann ist es ganz easy, wenn auch Datenintensiv. Rechner mit Wlan-Hardware nehmen und Wildpacketstreiber installieren (auf verw. Chipset achten, werden nicht alle unterstützt),weiters libpcap DLLs und Airodump installieren. (Korek/Devine paket) , Ethereal installieren. Mit Airodump (oder Ethereal) gecapturte Pakete mit 802ether oder Ethereal evtl entschlüsseln (WEP-key mit Aircrack eventuell vorher errechnen) und mit Ethereal unter Zuhilfenahme von Filterregeln analysieren(IP, MAC-adresse, Protokoll...). (Probier mal Statistics -> HTTP-> Request Tree) Et Voila! Und nicht vergessen: Dein Nachbar muss seine Zustimmung geben und wissen, was Du treibst, sonst hast nämlich Du Dich strafbar gemacht. ;-)

 

[Hogl]

lol....nich schlecht, bei den vielen fachbegriffen usw. wird mir jetzt schon schlecht. gibt es da irgendwo ne ausführliche und detaillierte anleitung?

 

[PANGOOL]

Na, ein bisschen Googeln tut schon Not, Stichwörter habe ich wohl genug geliefert. Die oben gelieferte Lösung hat den Vorteil völlig passiv und auf so gut wie jeden AP anwendbar zu sein. Bei WPA beisst Du Dir allerdings in Unkenntnis des (komplexen) Keys die Zähne aus. Cowpatty soll brauchbar sein, läuft aber nur unter Linux und dauert bei komplexem PW eeeewig.

Beim SX war ich allerdings positiv überrascht, auch bei WEP-verschlüsselung liefert es sehr wenig brauchbare "weak IV s")
Aber ich schweife ab, für Dich uninteressant.

Eine weitere Möglichkeit besteht darin, auf Deinem Rechner einen "Rouge AP" aufzusetzen und Deinen Nachbarn über Deinen Rechner ins WAN zu schicken. Dann ist das Mitloggen auch kein Problem. Vorteil: Weniger Hardware nötig und Du kannst parallel ins Netz. Nachteil: Deine Kiste muss immer laufen und dann über Kabel ins SX (oder 2. WLAN-Karte). (auch bei Lösung 1)

Womit wir dann fast schon wieder beim Server wären...

Noch einige Tipps zur Sicherheit:

-Netstumbler o.ä. benutzen, um Deine direkte Nachbarschaft auf WIFI-Aktivität zu überprüfen. Hilfreich, um z.B. offene AP s anzuzeigen, Informationen über SSID, Verschlüsselung, MAC-adressen zu erhalten. Auch bei Kanalwahl zu empfehlen, um Interferenzen zu vermeiden. (die meisten senden auf Kanal 6, da meist default setting.) Bei mir sind 10(!) Netze in der Nachbarschaft!
Je mehr Aktivität, desto mehr Leute, die sich für Dein Netz interessieren können und auch die Zeit und Hardware haben, Dich zu hacken. Wardriver sind recht auffällig und haben meist nicht die Muße und Interesse, ein halbwegs gesichertes Netz zu hacken. Die fahren 100 Meter weiter zum nächsten ungesicherten...
-Keine Default- Passwörter, kurze Passwörter, einfache Passwörter benutzen (Dictionary-attack) und ab und an ändern. Sonderzeichen verwenden.
-SSID-übertragung im Router deaktivieren (umgehbar, aber hilft bei Dummies)
-DHCP wenn nicht nötig deaktivieren (allerdings umgehbar)
-IP-Range eingrenzen
-MAC-adressenfilter verwenden (umgehbar mit MAC-Cloning)
-Zeitregeln definieren und WLAN am besten deaktivieren, wenn länger nicht gebraucht (im Router-menü)
-Router Vorzugsweise nur über LAN aufrufen
-Im Router ab und an unter Status Log kontrollieren
-Auf Warchalker-zeichen auf Deiner Hauswand achten )(
-Für Profis: "Honeypot" aufsetzen
-Und NOCHMAL: WPA, WPA,WPA !!!

Ach, am besten trittst Du WLAN in die Tonne und ziehst ne Strippe, das ist sicherer, schneller, billiger, einfacher, gesünder (mikrowellen) und energiesparender. :wink:

Gruß, PANGOOL

 

[Holger_p]

[...]

-Netstumbler o.ä. benutzen, um Deine direkte Nachbarschaft auf WIFI-Aktivität zu überprüfen. Hilfreich, um z.B. offene AP s anzuzeigen, Informationen über SSID, Verschlüsselung, MAC-adressen zu erhalten.

-DHCP wenn nicht nötig deaktivieren (allerdings umgehbar)

-Auf Warchalker-zeichen auf Deiner Hauswand achten )(

Dazu wüßte ich gerne mal, was für Alternativen es zu Netstumbler gibt? Habe hier zwei WLAN-Karten, die beide nicht mit Netstumbler funktionieren. U.a. eine dlink DWL G520+

Was soll das Deaktivieren von DHCP bringen?

Und was bitte sind Warchalker-Zeichen? Ich kenne da nur die Kritzelei der "heiligen drei Könige"...


Gruß Holger

 

[LuckyMan26]

Und was bitte sind Warchalker-Zeichen?
Gruß Holger

Das würde mich jetzt auch mal interessieren. Ich hoffe, das war ein Scherz!
Gruß, Lucky

 

[karpe]

Der SX hat schon recht umfangreiches Logging, einiges weniges ist über ten Telnet Port zu erreichen, mit dem Befehl Monitor lassen sich folgende Stati abfragen:

>> route Monitor routing table
netbios_pool Monitor NetBIOS name database
adsl Monitor ADSL router running status or statistics
interface Monitor interface status or statistics
user Monitor login user information
access-list Monitor access control rules pool
inspect Monitor inspection run-time pool
syslog Monitor firewall alert or system log
dhcp_client Monitor DHCP client request address pool
socket Monitor socket run-time information
dns Monitor DNS cache table

Mit der internen seriellen Schnittstelle lässt sich auch ein Online Logging/debugging realisieren. Darüber gibt es hie im Forum schon einiges, ich glaube die Artikel waren von Jockeyw.

Klaus

 

[PANGOOL]

Ich glaube, ich sollte mich doch etwas näher mit Telnet beschäftigen, dhcp_client Monitor DHCP client request address pool klingt interessant...

@holger p und Luckyman26: Warchalking war kein Scherz! Warchalking wird von Wardrivern betrieben und bedeutet nichts anderes, als dass offene APs mit einem Zeichen an der Wand für andere Interessierte kenntlich gemacht werden. Das Zeichen sieht so-> )( aus. Heißt: Schmeiss Deinen Laptop oder PDA an, hier kannst Du "gratis" surfen. In der Nähe öffentlicher Plätze gerne gesehen. (Bahnhof, Bushaltestellen, Marktplätze mit Cafes...)

Zum Thema DHCP deaktivieren: Tust Du dies nicht und verschlüsselst Du nicht oder unzureichend, vergibt Dein SX automatisch eine IP und Du bist mit einem fremden Rechner sofort im Netzwerk und auch im WAN. Doppelclick auf Internet Explorer genügt, der sucht sich dann selbstständig die Proxyeinstellungen und Du surfst auf fremde Kosten. Ist DHCP deaktiviert, musst Du immerhin erst eine gültige IP zuweisen (meist, je nach Router, 192.168.2.1-254) Die herauszufinden ist mittels z.B. LANGuard zwar auch kein grosses Problem, überfordert aber Laien und dauert ein paar Minuten.

Thema Netstumbler: Gefällt mir am besten, wenn er bei Dir nicht läuft:
1. Verwendetes Chipset Deiner WLAN-karte herausfinden z.B.HIER!
2. Referenztreiber vom (Chip)Hersteller installieren, läuft eigentlich immer
3. Eventuell Wildpacketstreiber installieren (Chipset beachten!)

Ansonsten anderes Programm verwenden. Du hast die Wahl zwischen Linux(Knoppix)-basiert, Windows und auch MAC. Lightversionen für PDAs auch verfügbar.Z.B. http://www.forinsect.de/wlan/wlan-tools.html

Wo finden? Google mal " Wardriving " oder " WLAN security tools " oder "WLAN / WIFI Sniffer " Im Downloadbereich der diversen Foren wirst Du bestens bedient, dort bekommst Du auch die besten Tipps zur Unterstützung Deiner jeweiligen Hardware oder Modifikationsmöglichkeiten wie z.B. nachträglich ext. Antennen/Pigtails zur Reichweitenverbesserung einbauen.

MFG, PANGOOL