Comment exploiter votre réseau et voir tout ce qui s'y passe

Votre réseau domestique, et tout ce qui y est connecté, est comme un coffre-fort. Derrière votre connexion se cachent des tonnes d'informations précieuses, des fichiers non cryptés contenant des données personnelles aux appareils qui peuvent être piratés et utilisés à n'importe quelle fin. Dans cet article, nous vous montrerons comment cartographier votre réseau, jeter un coup d'œil sous les couvertures pour voir qui parle à quoi, et comment découvrir les appareils ou les processus qui peuvent aspirer la bande passante (ou sont des invités inattendus sur votre réseau) .

En bref : vous serez en mesure de reconnaître les signes que quelque chose sur votre réseau est compromis. Nous supposerons que vous connaissez certaines bases de la mise en réseau, comme la façon de trouver la liste des appareils de votre routeur et ce qu'est une adresse MAC. Sinon, rendez-vous sur notre École du soir Connaissez votre réseau brosser d'abord.

Avant d'aller plus loin, cependant, nous devrions émettre un avertissement : utilisez ces pouvoirs pour de bon et n'exécutez ces outils et commandes que sur le matériel ou les réseaux que vous possédez ou gérez. Votre sympathique service informatique de quartier n'aimerait pas que vous scanniez les ports ou renifliez les paquets sur le réseau de l'entreprise, et tous les gens de votre café local non plus.

Première étape : créer une carte du réseau

Avant même de vous connecter à votre ordinateur, notez ce que vous pensez savoir sur votre réseau. Commencez avec une feuille de papier et notez tous vos appareils connectés. Cela inclut des choses comme les téléviseurs intelligents, les haut-parleurs intelligents, les ordinateurs portables et les ordinateurs, les tablettes et les téléphones, ou tout autre appareil qui pourrait être connecté à votre réseau. Si cela peut vous aider, dessinez une carte pièce par pièce de votre maison. Notez ensuite chaque appareil et son emplacement. Vous pourriez être surpris par le nombre exact d'appareils que vous avez connectés à Internet en même temps.

Les administrateurs réseau et les ingénieurs reconnaîtront cette étape - c'est la première étape dans l'exploration de tout réseau avec lequel vous n'êtes pas familier. Faites un inventaire des appareils qui s'y trouvent, identifiez-les, puis voyez si la réalité correspond à ce que vous attendez. Si (ou quand) ce n'est pas le cas, vous serez en mesure de séparer rapidement ce que vous savez de ce que vous ne savez pas.

Vous pourriez être tenté de vous connecter simplement à votre routeur et de consulter sa page d'état pour voir ce qui est connecté, mais ne le faites pas encore. À moins que vous ne puissiez tout identifier sur votre réseau par son adresse IP et MAC, vous n'obtiendrez qu'une longue liste de choses, une qui inclut tous les intrus ou les profiteurs. Faites d'abord un inventaire physique, puis passez à l'inventaire numérique.

Deuxième étape : sonder votre réseau pour voir qui s'y trouve

Une fois que vous avez une carte physique de votre réseau et une liste de tous vos appareils de confiance, il est temps de creuser. Connectez-vous à votre routeur et consultez sa liste d'appareils connectés. Cela vous donnera une liste de base de noms, d'adresses IP et d'adresses MAC. N'oubliez pas que la liste des périphériques de votre routeur peut ou non vous montrer tout. Cela devrait, mais certains routeurs ne vous montrent que les appareils qui utilisent le routeur pour son adresse IP. Quoi qu'il en soit, gardez cette liste de côté - c'est bien, mais nous voulons plus d'informations.

Téléchargez et installez Nmap

Ensuite, nous allons nous tourner vers notre vieil ami NmapName . Pour ceux qui ne sont pas familiers, Nmap est un outil d'analyse de réseau open source multiplateforme qui peut trouver des appareils sur votre réseau, ainsi qu'une tonne de détails sur ces appareils. Vous pouvez voir le système d'exploitation qu'ils utilisent, les adresses IP et MAC, et même les ports et services ouverts. Télécharger Nmap ici , vérifier ces guides d'installation pour le mettre en place, et suivez ces instructions pour découvrir les hôtes sur votre réseau domestique.

Une option est d'installer et d'exécuter Nmap à partir de la ligne de commande (si vous voulez une interface graphique, Zenmap vient généralement avec le programme d'installation). Analysez la plage IP que vous utilisez pour votre réseau domestique. Cela a permis de découvrir la plupart des appareils actifs sur mon réseau domestique, à l'exception de quelques-uns sur lesquels j'ai une sécurité renforcée (bien que ceux-ci soient également détectables avec certaines des commandes de Nmap, que vous pouvez trouver dans le lien ci-dessus).

Comparez la liste de Nmap avec la liste de votre routeur

Vous devriez voir les mêmes choses sur les deux listes à moins que quelque chose que vous avez écrit plus tôt ne soit éteint maintenant. Si vous voyez quelque chose sur votre routeur que Nmap n'a pas trouvé, essayez d'utiliser Nmap directement avec cette adresse IP.

Ensuite, regardez les informations que Nmap trouve sur l'appareil. S'il prétend être une Apple TV, il ne devrait probablement pas avoir de services comme http en cours d'exécution, par exemple. Si cela semble étrange, sondez-le spécifiquement pour plus d'informations.

Nmap est un outil extrêmement puissant, mais ce n'est pas le plus facile à utiliser. Si vous êtes un peu timide, vous avez d'autres options. Scanner IP en colère est un autre utilitaire multiplateforme doté d'une interface attrayante et facile à utiliser qui vous donnera une grande partie des mêmes informations. Observateur de réseau sans fil est un utilitaire Windows qui analyse les réseaux sans fil auxquels vous êtes connecté. Fil de verre est une autre excellente option qui vous avertira lorsque des appareils se connecteront ou se déconnecteront de votre réseau.

Étape 3 : renifler et voir à qui tout le monde parle

À présent, vous devriez avoir une liste des appareils que vous connaissez et auxquels vous faites confiance, ainsi qu'une liste des appareils que vous avez trouvés connectés à votre réseau. Avec de la chance, vous avez terminé ici, et tout correspond ou s'explique de lui-même (comme un téléviseur actuellement éteint, par exemple).

Cependant, si vous voyez des acteurs que vous ne reconnaissez pas, des services en cours d'exécution qui ne correspondent pas à l'appareil (Pourquoi mon Roku exécute-t-il postgresql ?), Ou quelque chose d'autre ne va pas, il est temps de faire un petit reniflement. Le reniflage de paquets, c'est-à-dire.

Lorsque deux ordinateurs communiquent, soit sur votre réseau, soit sur Internet, ils s'envoient des informations appelées « paquets ». Ensemble, ces paquets créent des flux de données complexes qui composent les vidéos que nous regardons ou les documents que nous téléchargeons. Le reniflage de paquets est le processus de capture et d'examen de ces informations pour voir où elles vont et ce qu'elles contiennent.

Installer Wireshark

Pour ce faire, nous aurons besoin Wireshark . C'est un outil de surveillance de réseau multiplateforme que nous avons utilisé pour faire un petit reniflage de paquets dans notre guide pour détecter les mots de passe et les cookies . Dans ce cas, nous l'utiliserons de la même manière, mais notre objectif n'est pas de capturer quoi que ce soit de spécifique, juste de surveiller les types de trafic qui circulent sur le réseau.

Pour ce faire, vous devrez exécuter Wireshark sur wifi dans ' mode de promiscuité .” Cela signifie qu'il ne s'agit pas seulement de rechercher des paquets à destination ou en provenance de votre ordinateur, il s'agit de collecter tous les paquets qu'il peut voir sur votre réseau.

Suivez ces étapes pour configurer :

• Téléchargez et installez Wireshark
• Sélectionnez votre adaptateur Wi-Fi.
• Cliquez sur Capturer> Options—et comme vous pouvez le voir dans la vidéo ci-dessus (avec la permission des gens de chez Hak5 ), vous pouvez sélectionner 'Tout capturer en mode promiscuité' pour cet adaptateur.

Vous pouvez maintenant commencer à capturer des paquets. Lorsque vous démarrez la capture, vous allez obtenir beaucoup d'informations. Heureusement, Wireshark anticipe cela et facilite le filtrage.

Étant donné que nous cherchons simplement à voir ce que font les acteurs suspects de votre réseau, assurez-vous que le système en question est en ligne. Allez-y et capturez quelques minutes de trafic. Ensuite, vous pouvez filtrer ce trafic en fonction de l'adresse IP de cet appareil à l'aide des filtres intégrés de Wireshark.

Cela vous donne un aperçu rapide de la personne à qui cette adresse IP parle et des informations qu'elle envoie dans les deux sens. Vous pouvez cliquer avec le bouton droit sur l'un de ces paquets pour l'inspecter, suivre la conversation entre les deux extrémités et filtrer l'ensemble de la capture par IP ou par conversation. Pour en savoir plus, consultez Wireshark instructions de filtrage détaillées .

Vous ne savez peut-être pas (encore) ce que vous regardez, mais c'est là qu'intervient un peu de recherche.

Analyser une activité fragmentaire

Si vous voyez cet ordinateur suspect parler à une adresse IP étrange, utilisez le nslookup (dans l'invite de commande sous Windows ou dans un terminal sous OS X ou Linux) pour obtenir son nom d'hôte. Cela peut vous en dire beaucoup sur l'emplacement ou le type de réseau auquel votre ordinateur se connecte. Wireshark vous indique également les ports utilisés, donc Google le numéro de port et voyez quelles applications l'utilisent.

Si, par exemple, vous avez un ordinateur qui se connecte à un nom d'hôte étrange via des ports souvent utilisés pour l'IRC ou le transfert de fichiers, vous pouvez avoir un intrus. Bien sûr, si vous trouvez que l'appareil se connecte à des services réputés sur des ports couramment utilisés pour des choses comme le courrier électronique ou HTTP/HTTPS, vous venez peut-être de tomber sur une tablette que votre colocataire ne vous a jamais dit qu'il possédait, ou quelqu'un d'à côté vole votre wifi. Dans tous les cas, vous aurez les données nécessaires pour le découvrir par vous-même.

Quatrième étape : Jouez au jeu long et enregistrez vos captures

Bien sûr, tous les mauvais acteurs de votre réseau ne seront pas en ligne et ne s'enfuiront pas pendant que vous les chercherez. Jusqu'à présent, nous vous avons appris à vérifier les appareils connectés, à les scanner pour identifier qui ils sont vraiment, puis à renifler un peu de leur trafic pour vous assurer que tout est correct. Cependant, que faites-vous si l'ordinateur suspect fait son sale boulot la nuit pendant que vous dormez, ou si quelqu'un pompe votre wifi alors que vous êtes au travail toute la journée et que vous n'êtes pas là pour vérifier ?

Utiliser un logiciel de surveillance du réseau

Il existe plusieurs façons de résoudre ce problème. Une option consiste à utiliser un programme comme Fil de verre , dont nous avons parlé précédemment. Ce logiciel vous avertira lorsque quelqu'un se connectera à votre réseau. Lorsque vous vous réveillez le matin ou que vous rentrez du travail, vous pouvez voir ce qui s'est passé pendant que vous ne regardiez pas.

Vérifiez le journal de votre routeur

Votre prochaine option consiste à utiliser les capacités de journalisation de votre routeur. Enfoui profondément dans les options de dépannage ou de sécurité de votre routeur se trouve généralement un onglet dédié à la journalisation. La quantité que vous pouvez enregistrer et le type d'informations varient selon le routeur, mais les options peuvent inclure l'adresse IP entrante, le numéro de port de destination, l'adresse IP ou l'URL sortante filtrée par l'appareil sur votre réseau, l'adresse IP interne et leur adresse MAC, et quels appareils sur votre réseau se sont enregistrés auprès du routeur via DHCP pour leur adresse IP (et, par proxy, qui ne l'ont pas fait.) C'est assez robuste, et plus vous laissez les journaux en cours d'exécution, plus vous pouvez capturer d'informations.

Firmware personnalisé comme DD-WRT et Tomato (tous deux nous vous avons montré comment installer ) vous permettent de surveiller et de consigner la bande passante et les appareils connectés aussi longtemps que vous le souhaitez, et peuvent même transférer ces informations dans un fichier texte que vous pourrez parcourir plus tard. Selon la configuration de votre routeur, il peut même vous envoyer régulièrement ce fichier par e-mail ou le déposer sur un disque dur externe ou un NAS.

Quoi qu'il en soit, l'utilisation de la fonction de journalisation souvent ignorée de votre routeur est un excellent moyen de voir si, par exemple, après minuit et que tout le monde est allé se coucher, votre PC de jeu commence soudainement à craquer et à transmettre beaucoup de données sortantes, ou si vous avez une sangsue régulière. qui aime sauter sur votre wifi et commencer à télécharger des torrents à des heures impaires.

Gardez Wireshark en cours d'exécution

Votre dernière option, et en quelque sorte l'option nucléaire, consiste simplement à laisser Wireshark capturer pendant des heures, voire des jours. Ce n'est pas rare, et de nombreux administrateurs réseau le font lorsqu'ils analysent vraiment un comportement réseau étrange. C'est un excellent moyen d'identifier les mauvais acteurs ou les appareils bavards. Cependant, cela nécessite de laisser un ordinateur allumé pendant des lustres, de renifler constamment les paquets sur votre réseau, de capturer tout ce qui le traverse, et ces journaux peuvent prendre beaucoup de place. Vous pouvez réduire les choses en filtrant les captures par IP ou par type de trafic, mais si vous n'êtes pas sûr de ce que vous recherchez, vous aurez beaucoup de données à parcourir lorsque vous regarderez une capture même quelques heures. Pourtant, il vous dira certainement tout ce que vous devez savoir.

Dans tous ces cas, une fois que vous avez suffisamment de données enregistrées, vous pourrez savoir qui utilise votre réseau, quand et si leur appareil correspond à la carte du réseau que vous avez créée précédemment.

Cinquième étape : verrouillez votre réseau

Si vous avez suivi jusqu'ici, vous avez identifié les appareils qui devraient pouvoir se connecter à votre réseau domestique, ceux qui se connectent réellement, identifié les différences et, espérons-le, découvert s'il y a des acteurs malveillants, des appareils inattendus, ou des sangsues qui traînent. Maintenant, tout ce que vous avez à faire est de les gérer, et étonnamment, c'est la partie la plus facile.

Les sangsues Wifi obtiendront le démarrage dès que vous verrouillez votre routeur . Avant de faire quoi que ce soit d'autre, modifiez le mot de passe de votre routeur et désactivez le WPS s'il est activé. Si quelqu'un a réussi à se connecter directement à votre routeur, vous ne voulez pas changer d'autres choses uniquement pour qu'il se connecte et retrouve l'accès. Assurez-vous d'utiliser un bon mot de passe fort, difficile à forcer brutalement.

Ensuite, vérifiez les mises à jour du micrologiciel. Si votre sangsue a utilisé un exploit ou une vulnérabilité dans le micrologiciel de votre routeur, cela les empêchera d'entrer, en supposant que cet exploit ait été corrigé, bien sûr. Enfin, assurez-vous que votre mode de sécurité sans fil est défini sur WPA2 (car WPA et WEP sont très facile à casser ) et remplacez votre mot de passe Wi-Fi par un autre bon mot de passe long qui ne peut pas être forcé brutalement. Ensuite, les seuls appareils qui devraient pouvoir se reconnecter sont ceux auxquels vous donnez le nouveau mot de passe.

Cela devrait prendre soin de quiconque s'empare de votre wifi et effectue tous ses téléchargements sur votre réseau au lieu du leur. Cela aidera également avec la sécurité filaire. Si vous le pouvez, vous devriez également prendre quelques étapes de sécurité sans fil supplémentaires , comme la désactivation de l'administration à distance ou la désactivation de l'UPnP.

Pour les mauvais acteurs sur vos ordinateurs filaires, vous avez une chasse à faire. S'il s'agit en fait d'un appareil physique, il doit avoir une connexion directe à votre routeur. Commencez à tracer les câbles et parlez à vos colocataires ou à votre famille pour voir ce qui se passe. Dans le pire des cas, vous pouvez toujours vous reconnecter à votre routeur et bloquer entièrement cette adresse IP suspecte. Le propriétaire de ce décodeur ou de cet ordinateur discrètement branché se mettra en marche assez rapidement lorsqu'il cessera de fonctionner.

Le plus gros souci ici, cependant, ce sont les ordinateurs compromis. Un ordinateur de bureau qui a été piraté et joint à un botnet pour l'extraction de Bitcoin pendant la nuit, par exemple, ou une machine infectée par un logiciel malveillant qui appelle à la maison et envoie vos informations personnelles à qui sait où, peut être mauvais.

Une fois que vous avez limité votre recherche à des ordinateurs spécifiques, il est temps de déterminer où se situe le problème sur chaque machine. Si vous êtes vraiment inquiet, adoptez l'approche de l'ingénieur en sécurité face au problème : une fois que vos machines sont possédées, elles ne sont plus dignes de confiance. Supprimez-les, réinstallez et restaurez à partir de vos sauvegardes. ( Vous avez des sauvegardes de vos données, n'est-ce pas ?) Assurez-vous simplement de garder un œil sur votre PC - vous ne voulez pas restaurer à partir d'une sauvegarde infectée et recommencer le processus.

Si vous êtes prêt à retrousser vos manches, vous pouvez vous procurer un utilitaire antivirus solide et un scanner anti-malware à la demande ( oui, vous aurez besoin des deux ), et essayez de nettoyer l'ordinateur en question. Si vous avez vu du trafic pour un type d'application spécifique, vérifiez s'il ne s'agit pas d'un logiciel malveillant ou simplement d'un élément installé par quelqu'un qui se comporte mal. Continuez à scanner jusqu'à ce que tout soit propre et continuez à vérifier le trafic de cet ordinateur pour vous assurer que tout va bien.

Nous n'avons fait qu'effleurer la surface ici en ce qui concerne la surveillance et la sécurité du réseau. Il existe des tonnes d'outils et de méthodes spécifiques que les experts utilisent pour sécuriser leurs réseaux, mais ces étapes fonctionneront pour vous si vous êtes l'administrateur réseau de votre maison et de votre famille.

L'éradication des appareils suspects ou des sangsues sur votre réseau peut être un long processus, qui nécessite des recherches et de la vigilance. Pourtant, nous n'essayons pas d'attiser la paranoïa. Il y a de fortes chances que vous ne trouviez rien d'extraordinaire, et ces téléchargements lents ou ces vitesses wifi merdiques sont tout à fait autre chose. Même ainsi, il est bon de savoir comment sonder un réseau et quoi faire si vous trouvez quelque chose d'inconnu. N'oubliez pas d'utiliser vos pouvoirs pour le bien.

Cette histoire a été initialement publiée en octobre 2014 et a été mise à jour en octobre 2019 avec des informations et des ressources actuelles. Mis à jour le 03/03/22 avec de nouveaux détails.