ホーム » 「arpalert」タグがついた投稿
タグアーカイブ: arpalert
最近の投稿
「お代官様、こちら袖の下にございます」2024-04-20
おはよー2024-04-11- xz-utils のバックドア問題2024-04-07XZ形式の圧縮ファイル生成/解凍の xz-utils […]
足羽川の桜🌸2024-04-07
社会人1日目2024-04-01このコンテンツはアクセスが制限されています。閲覧するには以下にパスワードを入力してください。 […]
iphoneの検知難しい
大学でアパート住まいの子供が、帰っているのか確認するために、LINE beacon を置いて検知を試したけど、bluetooth を切って既読スルーなヤツなので、ほとんど検知することができない。
そこで、アパートでは無線LANルータを使ってるし Raspberry-Pi で、arpalert を使えば簡単に検知できるだろうと、実験中。でも iPhone はセキュリティ対策なのか、 arp の返答は必要最小限なので同じサブネットとはいえ、そのままでは通信の必要の無い raspberry-pi には、ARP 情報が送られてこない。また ping には返答しないようで、単純に ping で確認も困難。ということで単純な arpalert では検知が難しいなぁ。
定時処理で、”arping -c 1 -I wlan0 IPHONEのIPアドレス” を実行させて、強制的に ARP を送ってもらうか…
arpalertを使ってみる
Wi-Fi経由の勝手な接続などの検出ということで、arpwatchを使っていたけど、 携帯で3G経由で使った後だと、そのアドレスでWi-Fi接続を試すため、 いちいち警告メールが届くのが紛らわしい。 そこで、別のARP監視システムを探してみた。
arpalert は、監視して whitelist とか、発見時のスクリプトを指定できるので、 もう少しきめ細かな警告ができそう。
Debianのパッケージで入れて、警告時に起動するスクリプトに、付属のスクリプトを修正して登録してみた。動かすとサーバ自体の警告メッセージが送られてきた。 原因は、古いサーバとの互換性を考えて、1つのインタフェースに2つのIPアドレスを割り振っているためだった。チェックの度に、2つのアドレスで変わっているとみなされている。 しかたがないので、maclist.allow の最後に、ip_change フラグを付けて、 アドレス変化を無視させる。
(( インストール )) # aptitude install arpalert (( /etc/arpalert/arpalert.conf )) Debianのパッケージをそのまま。 (( /etc/arpalert/maclist.allow )) xx:xx:xx:xx:xx:xx 192.168.xx.xx eth0 xx:xx:xx:xx:xx:xx 192.168.xx.yy eth0 ip_change xx:xx:xx:xx:xx:xx 192.168.xx.zz eth0 ip_change (( /etc/default/arpalert )) ARGS="-e /etc/arpalert/send_alert.sh" (( メール送信のひな形をコピー )) # cp /usr/share/doc/arpalert/examples/scripts/contribs/send_alert.sh /etc/arpalert/ (( /etc/arpalert/send_alert.sh )) #!/bin/sh # Intruder MAC address intruder_MAC=$1 # Intruder IP address intruder_IP=$2 # Alert Type intruder_AlertType=$5 # Ethernet Vendor intruder_Vendor=$6 # Mail recipient mail_To="root" date=`LANG=C /bin/date` # Subject mail_Subject="[arpalert] IP/MAC alert" # Body and send mail cat << EOF | mail -s "$mail_Subject" $mail_To [arpalert] Intruder Detected Intrusion time stamp : $date Intruder IP Address : $intruder_IP Intruder MAC Address : $intruder_MAC Type of alert : $intruder_AlertType Ethernet Vendor: $intruder_Vendor EOF
Google 検索
