daneck
Goto Top

Fremdhardware im Netz alarmieren

Hallo zusammen,

ich suche nach einer Möglichkeit, dass wenn ein Notebook/PC etc. sich im Netz via. Port einklingt, das ich per Mail oder Sonstiges eine Benachrichtigung erhalte, wo die MAC-Adresse, Modell des Geräts und die jeweilige IP gesagt wird.

Ist das quasi Port-Monitoring ?


Bin da noch relativ neu im Thema. Ich danke schon mal im Voraus.


Gruß

Content-Key: 94245829971

Url: https://administrator.de/contentid/94245829971

Printed on: March 2, 2024 at 06:03 o'clock

Mitglied: 8585324113
8585324113 Sep 22, 2023 at 07:16:43 (UTC)
Goto Top
Für das Thema gibt es unzählige Interpretationen...
https://de.wikipedia.org/wiki/IEEE_802.1X

Wir lassen erst gar keinen Forward zu (shutdown) wenn die MACs uns unbekannt ist oder andere Kriterien passen, bzw. nicht passen.
Member: chiefteddy
chiefteddy Sep 22, 2023 at 07:22:45 (UTC)
Goto Top
Wenn du managebare Switche mit SNMP-Unterstützung hast und ein entsprechendes Monitoring-System (zB. Nagios) geht das natürlich.

Jürgen
Member: Daneck
Daneck Sep 22, 2023 updated at 07:33:35 (UTC)
Goto Top
@8585324113 Das Problem, dass ab und zu bei uns Techniker im Hause sind und sich erlauben, einfach blind in den Netzwerk einzustecken und sich eine "freie" IP nehmen. Deshalb bräuchten wir ein Monitoring, was dzgl. uns die Übersicht der Geräte vereinfacht und Regeln für solche Fälle einstellbar wären.
Member: Daneck
Daneck Sep 22, 2023 at 07:34:33 (UTC)
Goto Top
Zitat von @chiefteddy:

Wenn du managebare Switche mit SNMP-Unterstützung hast und ein entsprechendes Monitoring-System (zB. Nagios) geht das natürlich.

Jürgen

Kann die SNMP-Unterstützung auch Mac- und IP-Adressen des jeweiligen Geräts tracken und ggfl. vom Netz blockieren oder gar erst nicht zulassen ins Netz reinzukommen ?
Member: TwistedAir
TwistedAir Sep 22, 2023 updated at 07:37:29 (UTC)
Goto Top
Hallo,

Ein weiteres Stichwort zum oben erwähnten RADIUS ist NAC (Network Access Control).

Beispielsweise macmon

Gruß
TA
Member: elix2k
elix2k Sep 22, 2023 at 07:38:22 (UTC)
Goto Top
Wir lösen das mit ARP-Guard (Ist eine deutsche NAC Lösung). Sobald Jemand ein fremdes Gerät einsteckt, geht der Port per SNMP down und wir werden per Mail benachrichtigt. ARP-Guard setzt auch Fingerprinting Technologien ein um ein MAC-Address-Spoofing zu erkennen.
Mitglied: 8585324113
8585324113 Sep 22, 2023 at 07:45:59 (UTC)
Goto Top
Zitat von @Daneck:

@8585324113 Das Problem, dass ab und zu bei uns Techniker im Hause sind und sich erlauben, einfach blind in den Netzwerk einzustecken und sich eine "freie" IP nehmen. Deshalb bräuchten wir ein Monitoring, was dzgl. uns die Übersicht der Geräte vereinfacht und Regeln für solche Fälle einstellbar wären.

Das hört sich aber voranging nach einem TOM an. Wir haben über den Tag mindestens 5000 Techniker irgendwo auf der Welt irgendwas machen und alle werden automatisch über ihre Chefs belehrt und wenn Sie das Haus betreten werden Gäste Protokolle abgespult.

Anmeldung beim Empfang, Ausstellung Gästeausweis, Übergabe an Abteilung usw...
Jeder weiß auf welchen Flächen er gehen und stehen darf und das unsere Technik nicht der Straßenstrich ist, wo jeder sein Ding rein steckt.

Bevor du eine Software wie die Gewünschte anschaffst, was sicherlich nie schadet, ist euer Gesamtverantwortlicher erst mal dran. Je nach dem was ihr macht, geht es auch im Menschenleben.
Member: Freak-On-Silicon
Freak-On-Silicon Sep 22, 2023 at 08:31:26 (UTC)
Goto Top
Ich denke es würde schonmal helfen nur die Dosen zu patchen wo auch was dran hängt.

Ich denke nicht dass ein Techniker einfach wo was absteckt.
Member: aqui
aqui Sep 22, 2023 at 08:45:07 (UTC)
Goto Top
Port Security mit Radius und 802.1x oder Mac Authentisierung (MAB) ist das Zauberwort:
Freeradius Management mit WebGUI
Member: chiefteddy
chiefteddy Sep 22, 2023 at 09:19:12 (UTC)
Goto Top
Der Switch erfasst erstmal nur, was an seinen Ports passiert: Port wird aktiv, Gerät mit MAC-Adresse ist angeschlossen. Über SNMP generiert der Switch eine Nachricht (Trap) und schickt sie zu einem Netzwerk-Management-System. Dort muss du festlegen, was passieren soll. ZB. unbekannte MAC --> Port down und Mail.

Wenn der Switch Portsecurity über RADIUS unterstützt, kannst du das auch nutzen (wie @aqui schon schrieb). Die Frage ist, was kann dein Switch?

Möglichkeiten gibt es viele.

Jürgen
Member: Daneck
Daneck Sep 22, 2023 at 10:56:49 (UTC)
Goto Top
Zitat von @8585324113:

Zitat von @Daneck:

@8585324113 Das Problem, dass ab und zu bei uns Techniker im Hause sind und sich erlauben, einfach blind in den Netzwerk einzustecken und sich eine "freie" IP nehmen. Deshalb bräuchten wir ein Monitoring, was dzgl. uns die Übersicht der Geräte vereinfacht und Regeln für solche Fälle einstellbar wären.

Das hört sich aber voranging nach einem TOM an. Wir haben über den Tag mindestens 5000 Techniker irgendwo auf der Welt irgendwas machen und alle werden automatisch über ihre Chefs belehrt und wenn Sie das Haus betreten werden Gäste Protokolle abgespult.

Anmeldung beim Empfang, Ausstellung Gästeausweis, Übergabe an Abteilung usw...
Jeder weiß auf welchen Flächen er gehen und stehen darf und das unsere Technik nicht der Straßenstrich ist, wo jeder sein Ding rein steckt.

Bevor du eine Software wie die Gewünschte anschaffst, was sicherlich nie schadet, ist euer Gesamtverantwortlicher erst mal dran. Je nach dem was ihr macht, geht es auch im Menschenleben.

Sowas wird nicht einfach blind eingerichtet. Wir achten schon darauf, dass alles mit den Höheren abgesprochen wird und wie wir dort vorgehen.
Member: Daneck
Daneck Sep 22, 2023 at 10:57:54 (UTC)
Goto Top
Zitat von @Freak-On-Silicon:

Ich denke es würde schonmal helfen nur die Dosen zu patchen wo auch was dran hängt.

Ich denke nicht dass ein Techniker einfach wo was absteckt.

Es geht darum, dass der Techniker blind eine "freie" IP sich beschafft hat ohne zu überprüfen, ob diese tatsächlich an einer Maschine vergeben ist oder nicht. Sowas möchten wir AUCH verhindern.
Member: aqui
aqui Sep 22, 2023 updated at 11:03:58 (UTC)
Goto Top
Sowas möchten wir AUCH verhindern.
Na ja, dafür verwendet jeder kundige Netzwerk Admin DHCP Snooping bzw. Dynamic ARP Inspection auf der Infrastruktur.
Solche simplen Binsenweisheiten kennt aber auch schon der IT Azubi! face-wink
Member: Daneck
Daneck Sep 22, 2023 at 11:48:59 (UTC)
Goto Top
Zitat von @aqui:

Sowas möchten wir AUCH verhindern.
Na ja, dafür verwendet jeder kundige Netzwerk Admin DHCP Snooping bzw. Dynamic ARP Inspection auf der Infrastruktur.
Solche simplen Binsenweisheiten kennt aber auch schon der IT Azubi! face-wink

Schwieriges Thema. Meine Ausbildung war nicht so prickelnd, was das Know-How angeht XD ( Keine Ausrede ;^) )
Mitglied: 8585324113
8585324113 Sep 22, 2023 at 11:49:09 (UTC)
Goto Top
Zitat von @Daneck:

Zitat von @8585324113:

Zitat von @Daneck:

@8585324113 Das Problem, dass ab und zu bei uns Techniker im Hause sind und sich erlauben, einfach blind in den Netzwerk einzustecken und sich eine "freie" IP nehmen. Deshalb bräuchten wir ein Monitoring, was dzgl. uns die Übersicht der Geräte vereinfacht und Regeln für solche Fälle einstellbar wären.

Das hört sich aber voranging nach einem TOM an. Wir haben über den Tag mindestens 5000 Techniker irgendwo auf der Welt irgendwas machen und alle werden automatisch über ihre Chefs belehrt und wenn Sie das Haus betreten werden Gäste Protokolle abgespult.

Anmeldung beim Empfang, Ausstellung Gästeausweis, Übergabe an Abteilung usw...
Jeder weiß auf welchen Flächen er gehen und stehen darf und das unsere Technik nicht der Straßenstrich ist, wo jeder sein Ding rein steckt.

Bevor du eine Software wie die Gewünschte anschaffst, was sicherlich nie schadet, ist euer Gesamtverantwortlicher erst mal dran. Je nach dem was ihr macht, geht es auch im Menschenleben.

Sowas wird nicht einfach blind eingerichtet. Wir achten schon darauf, dass alles mit den Höheren abgesprochen wird und wie wir dort vorgehen.

Ich glaube ich habe mich missverständlich ausgedrückt.

Wenn in eure Niederlassung ein Auftragnehmer kommt und sich irgendwo ungefragt anpatched und sich dann noch eine IP nimmt nach eigenen Gutdünken, dann ist bei euch was mega faul.
Habt ihr keine Fremdfirmenrichtlinien? Unterweist ihr eure Lieferanten nicht?

Erstmal würde ich sicherstellen, dass jeder Auftragnehmer weiß was er nicht darf und das auch unterschreibt. Ihr habt doch eine Sifa?

Dann nennest Du uns mal deine Switches und welche Präferenz du für deine Software hast.

Bei uns können für bestimmte Bereiche und Netze die MACs über eine Sharepoint Seite von den Instandhaltern oder Leitern der Linien eingetragen werden und werden dann immer zu jeder vollen fünften Minuten eingelesen. Sonst gebe es dazu auch noch zusätzlich noch mehr Helpdesk-Tickets.
Mitglied: 8585324113
8585324113 Sep 22, 2023 at 11:54:23 (UTC)
Goto Top
Zitat von @Daneck:

Zitat von @aqui:

Sowas möchten wir AUCH verhindern.
Na ja, dafür verwendet jeder kundige Netzwerk Admin DHCP Snooping bzw. Dynamic ARP Inspection auf der Infrastruktur.
Solche simplen Binsenweisheiten kennt aber auch schon der IT Azubi! face-wink

Schwieriges Thema. Meine Ausbildung war nicht so prickelnd, was das Know-How angeht XD ( Keine Ausrede ;^) )

Solche Sachen werden dir aber in diversen Umgebungen nicht unbedingt helfen bzw zu unkalkulierbaren Risiken. Das kann man im Büro machen, aber nciht da wo fremde Techniker sich bewegen.
Eine SPS wertet jedes Byte auf dem Layer aus, ob nun von Belang oder nicht.
Member: maretz
maretz Sep 22, 2023 at 16:21:39 (UTC)
Goto Top
Nun - ich würde erstmal überlegen: Willst du das WIRKLICH? Dir sollte vorher nämlich klar sein das immer mehr Geräte dahin gehen die MAC dynamisch zu generieren (bei iPhone/Android schon standard).

Ich würde wenn gleich den richtigen Schritt machen - Anmeldung nur mittels Zertifikat am Netzwerk und über Radius/NAC das ganze abgefrühstückt. Schon hast du das Problem schon ziemlich gut umgangen - Zertifikat nicht vorhanden, kein Zugang...
Member: aqui
aqui Sep 22, 2023 updated at 17:25:35 (UTC)
Goto Top
Geräte dahin gehen die MAC dynamisch zu generieren
Das passiert aber immer nur pro SSID. Innerhalb der SSID bleibt auch die dynamische Mac Adresse bei iPhone und Androiden immer gleich. Deshalb ist damit auch eine Mac basierten Authentisierung problemlos möglich.
Man muss nur zur Ermittlung der SSID spezifischen Mac das Infos Symbol zur SSID klicken. face-wink

Der Aufwand mit einer Zertifikats Infrastruktur ist für Laien und Heimnutzer oft zu aufwändig.
Dann sollte man besser auf 802.1x (WPA Enterprise) mit Preshared Keys gehen.
Für Details siehe auch hier.
Member: maretz
maretz Sep 22, 2023 at 17:39:44 (UTC)
Goto Top
Es kommt halt drauf an welches Umfeld man hat. Wenns sich um ne handvoll Geräte handelt und/oder man Zugriff drauf hat - ja, dann geht das mit der MAC (und wenn man hofft das nicht das nächte Update auch da mal wieder was zerschiesst...). Wenn man aber eben Geräte hat die zwischen Standorten wechseln,... dann kommt man damit schnell an seine Grenzen ODER man muss halt alle möglichen MACs eintragen... Ich habe deshalb zB. als Vorgabe das diese Funktion abgeschaltet werden muss - wers nicht macht kommt ggf. halt nicht rein (und bevor jetzt die Diskussion losgeht - ja, es ist mir klar das es kein 100% schutz sind, für meine Anforderung reicht es jedoch).
Member: Daneck
Daneck Sep 28, 2023 at 07:32:56 (UTC)
Goto Top
Es ist bei uns nicht so, dass täglich vermehrt Techniker in unserem Haus rumlaufen und ihre Aufgaben tun.

Wir haben bestimmte Techniker für bestimmte Geräte und es kommt vor, dass es mal nicht der selbe Techniker von der Firma ist (Kein Techniker von unserer Firma) -Demnach die Frage bzgl. des "PAT", falls so ein Vorkommen wieder auftreten sollte.

Wie oft ist ein Techniker da ? - Unterschiedlich. Meist nur 1-2 mal alle 2 Monate (grob geschätzt)

Es kommt immer auf die Systeme an, wie "launisch" die sind.
Member: aqui
aqui Oct 24, 2023 at 14:11:37 (UTC)
Goto Top
Wenn es das war bitte nicht vergessen deinen Thread hier als erledigt zu markieren!
Member: Daneck
Daneck Oct 27, 2023 at 06:40:58 (UTC)
Goto Top
Vorerst gelöst!