最近大陸廠發生了監控疑雲
首先說明,就我目前所知(我4個月沒去了)
工廠內網路架構是中國移動光纖->Fortinet FG-100D->交換機或用戶端
伺服器單純的一台File Server、一台ERP Server 沒裝監控軟體

現在卻發生了全廠的信件被監控(其他例如skype、QQ部分還不知道有沒有)
包含有個主管是外派過去,用的信箱還不是該廠的網域信箱也被側錄下來
研判是整個廠內網路被監控,重點是~
會發現被側錄是因為,主管無意從一位陸幹的記憶卡裡看到被側錄的信件
(該名陸幹的頂頭上司是董事長特助…跟台幹有很多摩擦)

我卻完全狀況外~不知道他到底是從和管道監控,若有在公司內安裝監控設備,網管應會跟我說
因為網管今天也跟我說他不知情

目前在想會是有心人士從中國移動那邊做手嗎?因為移動公司應該不會主動側錄、提供
若在廠內自己裝監控軟體或在防火牆下裝側錄設備應該也沒辦法辦到吧!?(只有我有防火牆帳/密)
除非在防火牆上用通透
有沒 有經驗的大大能給予方向調查、查證,現在有幹部非常不滿,
其實對監控是沒意見,只是為何陸幹握有公司機密資料、若財務往來不就都讓陸幹知道了。
還丟在記憶卡裡不小心外流出來

我需查清楚為何廠內會被監控~
謝謝
Fortinet FG-100D->交換機或用戶端

在這之間安裝一台側錄設備就可以擷取封包內容轉為有意義的資料

通常是不需防火牆權限就能做到

如果網路設備沒人管控是很容易做到的
今天問了網管,說機房沒被加裝什麼設備
而我用戶端並非全部從交換機,有三~四台光纖轉換器接從防火牆後
(光纖轉換器連接到比較遠的車間及宿舍)
若要不被人知的安插監控設備,恐怕要裝好幾台才能監控到全部
所以我才懷疑是從中國移動那邊做的

被監控會有什麼特徵嗎?如何知道是否被監控
我只有用過軟體式的,大概知道軟體式可以查到有程序在執行
但用戶並沒有被裝agent,所以應該不是軟體式的監控
kmo_tw wrote:
Fortinet F...(恕刪)

被蟑螂綁架的豬 wrote:
最近大陸廠發生了監控...(恕刪)

基本上我認為你想太多了,你看到的只是單純的明碼資料,只須要在你的網路內的機器掛個側錄程式或側錄機器,就可以側錄了,最多在你的核心HUB或防火牆上做點手腳就可以了。
所以我認為你看到的是公司的內賊做的,不是外面做的。
不要只看機房裡的機器
那些都在眼皮子底下的 不太可能被動手腳

snooping packets不難 交換器可以mirroring 電腦有軟體就可以抄封包了
要這樣做有個要件
他要找到bottleneck那個埠
目標送出的封包都要經過的那個埠

也有可能廠裡有不止一台機器在抄封包
3C的世界裡,別滿腦子只想著"超值"。就像無線網路一樣,別人推薦的,只適用在他家的環境,到了你家又是另外一回事。小烏龜牽到北京也不會變成千里馬。

被蟑螂綁架的豬 wrote:
今天問了網管,說機房沒被加裝什麼設備
而我用戶端並非全部從交換機,有三~四台光纖轉換器接從防火牆後
(光纖轉換器連接到比較遠的車間及宿舍)
若要不被人知的安插監控設備,恐怕要裝好幾台才能監控到全部
所以我才懷疑是從中國移動那邊做的

被監控會有什麼特徵嗎?如何知道是否被監控
我只有用過軟體式的,大概知道軟體式可以查到有程序在執行
但用戶並沒有被裝agent,所以應該不是軟體式的監控



防火長城那塊就不多說,基本上他們搜到的資料,你想看都看不到...

有兩個最常見的方法,可以達到從內部測錄,但被害者完全不知道的情況。
1.做ARP Spoofing,把自己變成gateway
2.某些switch有弱點,攻擊switch塞爆他的arp表,接下來switch就會變成所有封包都以廣播模式運作

要補這個漏洞,其實難度不高。
最簡單就是clients端收發信件請全部SSL加密。
smtp、imap、pop3根本明碼運作,只要抓流過去的封包下來解析,內容全部一清二楚(包括帳號跟密碼)。
請務必改用smtps、imaps跟pop3s,接下來只要注意有沒有man-in-middle,導致SSL出現異常警訊就好。

尤其走WiFi,如果貪方便弄成開放網路,又沒有做上述SSL加密,資安方面根本找死...

2.ARP Spoofing的特徵:
(筆者某次去大陸一間30多人的台商裝機,當場就被我逮到有ARP Spoofing...)
您可以注意一下,如果各clients端arp table上,gateway那個ip的mac跟實際機器的mac不一樣,恭喜你中獎了...
解決方法:1.手動綁定ip-mac,請搜尋參考arp指令的說明 2.有的中高階switch有防堵ARP Spoofing的功能,相信您會需要。

攻擊switch的特徵:
會在client端看到非常多不該出現的TCP封包,比如說在192.168.1.3上,看到來自100.100.100.100,目的地是192.168.1.5的封包出現。

以上提供您參考。
核心交換機及防火牆都有設密碼,沒通過我一般不會知道。

所以這種設備可以不用透過設定交換機或防火牆做port mirroring就辦到嗎??
我只有一台低階的Dell PowerConnect 2824
(查過都沒設定port mirroring 或packet capture)
其他就一般無線AP或5/8 port switch hub而已

我們廠內並沒有高手,網管也只會修PC
所以才比較懷疑的是某主管請移動公司處理(跟移動業務交情很好
而該主管跟許多台幹處的不大好,因為流出文件的陸幹是他助理

樓上說的我再測測看
viccheng1925 wrote:
基本上我認為你想太多...(恕刪)

被蟑螂綁架的豬 wrote:
核心交換機及防火牆都...(恕刪)

你對自己的密碼設定太有自信了。

樓上有人說了,在你的網路內下毒,像ARP或後門。

你認為機房端搞鬼,為什麼不相信廠內有人認識高手?

要在機房端掛線,不是小工程,和業務主管交情好,不代表做的到吧。
我檢查過Switch 沒設port mirroring
Fortigate 沒設Packet Capture 所以才想不是以此方式側錄
而是從更上源或下游,會檢查ARP看看~

說廠內沒高手是因為那地方比較偏荒、網管都徵不到人,
若是陸幹有人認識高手而這樣做,就太大膽了~一定要稟報老闆
只是幾位主管都說先不要讓老闆知情,因為擔心是他的親信:該名主管主導下屬做
所以要我先想辦法找到證據是誰在操縱~~~

viccheng1925 wrote:
你對自己的密碼設定太...(恕刪)
如果只是信件,那在mail server設定同步發送就好了~也不需要什麼設備呀?
大多數的公司信箱都會有這個功能,寄進來跟寄出去的都會備份一份到管理者手上
你不是用公司的mail server但只要你寄到公司的,一樣會被備一份起來
他是特助,也許他有老總的信箱密碼,只是他把東西copy出來就奇怪了?
文章分享
評分
評分
複製連結

今日熱門文章 網友點擊推薦!