Come dovrei rispondere a un cliente non riconosciuto nei miei registri DHCP?

4

Ho trovato uno strano hostname nel mio file dhcpd.leases e mi chiedo quali passi dovrei prendere in risposta.

Ho una semplice rete domestica: il mio modem è collegato a un router con OpenBSD 6.0 e un laptop e un vecchio router Netgear in modalità WAP sono collegati al router. (Il router ha anche una scheda di rete wireless che è stata in modalità host con un set di chiavi WPA e nessuna antenna fisica collegata, quindi avrebbe dovuto essere sia sicura che efficacemente invisibile.)

Nelle ultime 24 ore ho notato che il mio WAP si comportava in modo strano. Sta trasmettendo sulle bande 2,4 GHz e 5 GHz (entrambe protette da password) e mentre potevo accedere come al solito usando il SSID a 2,4 GHz, il SSID a 5 GHz rigettava costantemente la mia password immessa correttamente. Ho fisicamente spento il mio WAP e lo ho riacceso, e tutto ha ripreso a funzionare normalmente. Ho iniziato a dare un'occhiata al mio router, e ho scoperto qualcosa di strano in /var/db/dhcpd.leases. C'era un leasing elencato per un hostname non familiare, concesso un paio di giorni fa. Il nome host era leggibile e non googleable: qualcosa come "DESKTOP-F00BAR." L'indirizzo MAC indica che si tratta di una macchina Asus, e non ho alcun dispositivo Asus in esecuzione a casa mia.

Per i miei occhi ingenui, sembra che abbia sofferto un'intrusione nella rete wireless, anche se apparentemente benigna, ma non ho idea di come possa essere successo o cosa fare dopo. Ho cercato i miei registri ma non ho trovato nulla di rilevante. Qual è il modo corretto di agire in questa situazione? È possibile che il mio dispositivo Netgear sia acceso e in qualche modo abbia lasciato la rete aperta per un certo periodo di tempo? C'è qualche altra evidente vulnerabilità potenziale che sto trascurando? Mi scuso per la vaghezza di questa domanda, ma sembra che dovrei fare qualcosa , ma non so davvero come procedere.

    
posta Ben 12.04.2017 - 05:12
fonte

3 risposte

0

Si è scoperto che si trattava di un falso allarme. L'indirizzo MAC in realtà proveniva da un vecchio desktop che avevo brevemente collegato e dimenticato.

    
risposta data 13.04.2017 - 03:25
fonte
3

Puoi sfruttare arpwatch per notificarti la seconda volta che trasmette di nuovo sulla tua rete e utilizzare anche un strumento come Wireshark per catturare il traffico e vedere a cosa sta comunicando il dispositivo (a volte funziona anche la registrazione delle query DNS) . A volte dispositivi IoT come termostati, giocattoli, apparecchiature o persino determinati sistemi operativi chiamano a casa regolarmente per cercare aggiornamenti. Questo può aiutarti a capire che tipo di dispositivo è questo e renderlo più facile da trovare.

In alternativa, potresti ottenere un'antenna direzionale e uno strumento come Kismet la prossima volta che il dispositivo è in linea e prova a individuarlo tramite l'intensità del segnale.

    
risposta data 12.04.2017 - 05:30
fonte
2

Suggerirei di cambiare la password per la pagina di amministrazione del router insieme alle password wireless. Potrebbe essere un po 'un problema dal momento che è necessario ricollegare tutti i dispositivi wireless, ma a seconda della complessità della password wireless originale qualcuno potrebbe essere stato in grado di catturare l'handshake WPA e crackare la password. Se hai WPS abilitato sul router, ti consiglio anche di disabilitarlo.

    
risposta data 12.04.2017 - 13:57
fonte

Leggi altre domande sui tag