Promiscuous Mode

Promiscuous Mode -

• promiskuitive Modus oder Promiscuous-Modus bezeichnet einen bestimmten Empfangsmodus für netzwerktechnische Geräte

Beschreibung

Aus dem englischen ‚Vorlage:Lang‘ entlehnt, etwa für „freizügiger Modus“

In diesem Modus liest das Gerät den gesamten ankommenden Datenverkehr an die in diesen Modus geschaltete Netzwerkschnittstelle mit (anstatt nur den für das Gerät bestimmten Datenverkehr) und gibt die Daten zur Verarbeitung an das Betriebssystem weiter.

• Dies kann beispielsweise zum Betrieb virtueller Maschinen notwendig sein, die hierdurch eine eigene Netzwerkschnittstelle erhalten
• Geräte, die diesen Modus benutzen, können Kombinationen aus Switch und Router, Netzwerktester oder auch normale Computer mit Anschluss an ein Netzwerk sein

Bei Wireless LANs (WLANs) werden im promiscuous mode auch Pakete weitergeleitet, die nicht an einen selbst gerichtet sind

• aber es werden nur die Pakete des Netzwerks (Accesspoints) weitergeleitet, mit dem der Client gerade verbunden ist.
• Da das Herstellen einer Verbindung mit dem Netzwerk normalerweise mit einer Authentifizierung einhergeht, ist der promiscuous mode nicht geeignet, um Pakete eines Netzwerks aufzufangen, zu dem man keinen direkten Zugang hat
• Will man alle Pakete, aller erreichbaren WLAN Netze empfangen, ist dazu der Monitor Mode nötig

Non-Promiscuous Mode

In diesem Modus verarbeitet das Gerät nur die an sich selbst gerichteten Pakete, was zum Beispiel in Ethernetnetzen über das Auswerten der MAC-Adresse geschieht, zuzüglich Broadcast- und Multicast-Pakete

Netzwerkschnittstellen-Controller-Modus, der für andere bestimmte Nachrichten abhört

In Computernetzwerke ist der promiscuous mode ein Modus für einen kabelgebundenen Network Interface Controller (NIC) oder Wireless Network Interface Controller (WNIC), der den Controller dazu veranlasst, den gesamten empfangenen Datenverkehr an die Central Processing Unit (CPU) weiterzuleiten, anstatt nur die Frames weiterzuleiten, für die der Controller speziell programmiert wurde.

• Dieser Modus wird normalerweise für Packet Sniffing verwendet, das auf einem Router oder einem Computer stattfindet, der mit einem kabelgebundenen Netzwerk verbunden ist oder Teil eines Wireless LAN ist.
• Schnittstellen werden von Software-Bridges, die oft mit Hardware-Virtualisierung verwendet werden, in den Promiscuous Mode versetzt.

In IEEE 802-Netzwerken wie Ethernet oder IEEE 802.11 enthält jeder Frame eine Ziel-MAC-Adresse

• Im Non-Promiscuous-Modus verwirft eine NIC, wenn sie einen Frame empfängt, diesen, es sei denn, der Frame ist an die MAC-Adresse dieser NIC adressiert oder es handelt sich um einen Frame mit Broadcast- oder Multicast-Adresse.
• Im Promiscuous-Modus hingegen lässt die Netzwerkkarte alle Frames durch, so dass der Computer Frames lesen kann, die für andere Rechner oder Netzwerkgeräte bestimmt sind.

Der Promiscuous Mode wird häufig zur Diagnose von Netzwerkverbindungsproblemen verwendet

• Es gibt Programme, die diese Funktion nutzen, um dem Benutzer alle Daten zu zeigen, die über das Netz übertragen werden.
• Einige Protokolle wie FTP und Telnet übertragen Daten und Kennwörter unverschlüsselt im Klartext, und Netzwerkscanner können diese Daten sehen.
• Daher sollten Computerbenutzer unsichere Protokolle wie Telnet meiden und sicherere Protokolle wie SSH verwenden.

Geswitchte Netzwerke

• In Netzwerken, die durch Switches (im Gegensatz zu Hubs) gebildet werden, ist der Promiscuous-Modus zur Spionage nutzlos, da normalerweise an jedes Gerät nur die dafür bestimmten Pakete geleitet werden.
• VMs sind hiervon nicht betroffen, da diese aktiv mit ihrer Adresse im Netzwerk kommunizieren und daher vom Switch als eigenständiges Gerät erkannt werden.

Anwendungen

Viele Betriebssystemee erfordern Superuser-Rechte, um den Promiscuous Mode zu aktivieren

• Ein Nicht-Routing-Knoten im Promiscuous-Modus kann im Allgemeinen nur den Verkehr zu und von anderen Knoten innerhalb derselben Broadcast-Domäne (für Ethernet und IEEE 802.11) oder desselben Rings (für Token Ring) überwachen. Computer, die an denselben Ethernet-Hub angeschlossen sind, erfüllen diese Anforderung, weshalb Netzwerk-Switche zur Bekämpfung der böswilligen Nutzung des Promiscuous Mode eingesetzt werden.
• Ein Router kann den gesamten Verkehr überwachen, den er weiterleitet.

Packet Analyzer

• NetScout Sniffer
• Wireshark (formerly Ethereal)
• tcpdump
• OmniPeek
• Capsa
• ntop
• Firesheep

Virtual machine

• VMware's VMnet bridging
• VirtualBox bridging mode

Containers

• Docker with optional Macvlan driver on Linux

Cryptanalysis

• Aircrack-ng
• AirSnort
• Cain and Abel

Network monitoring

• KisMAC (used for WLAN)
• Kismet
• IPTraf
• Snort
• CommView

Konfiguration

Promiscuous Mode

für eine Netzwerkkarte

Der Promiscuous-Modus oder Promisc-Modus ist eine Funktion, bei der die Ethernet-Karte den gesamten empfangenen Datenverkehr an den Kernel weiterleitet

• Er wird normalerweise von einem Paketschnüffelprogramm wie Wireshark und tcpdump verwendet
• Wenn ein solches Programm absichtlich läuft oder das Netzwerk für die Hardware-Virtualisierung überbrückt wird, kann die Meldung "promiscuous mode" einfach ignoriert werden
• Andernfalls ist aufgrund eines Sicherheitsproblems eine gründliche Untersuchung des Systems erforderlich

Wenn sich eine Netzwerkkarte im Promiscuous-Modus befindet, kann sie den gesamten empfangenen Datenverkehr lesen und nicht nur die an sie adressierten Pakete

• Nehmen wir an, für eth1 wird der Promiscuous-Modus grundsätzlich dazu verwendet, den gesamten Verkehr, den 'eth1' empfängt, weiterzuleiten und nicht nur die an ihn adressierten Frames
• Eine Netzwerkkarte befindet sich normalerweise im promiscuous mode, wenn: # Wenn sie manuell mit dem Befehl ifconfig in diesem Modus konfiguriert wurde

1. Wenn ein Netzwerküberwachungsprogramm wie tcpdump usw. verwendet wird
2. In Bridge-Netzwerken muss die Netzwerkkarte meist im Promiscuous-Modus arbeiten

Promiscuous-Modus auf einer physischen Netzwerkkarte (NIC) aktivieren

In einem Netzwerk ermöglicht der Promiscuous-Modus einem Netzwerkgerät, jedes Netzwerkpaket, das ankommt, vollständig abzufangen und zu lesen.

• Diese Betriebsart wird manchmal einem Netzwerk-Snoop-Server zugewiesen, der alle Pakete abfängt und zur Analyse speichert (z. B. bei der Überwachung der Netzwerknutzung).

Promiscuous-Modus aktivieren

Netzwerkkarte manuell in den Promiscuous-Modus versetzen in CentOS/RHEL

Um eine Schnittstelle in den Promiscuous-Modus zu versetzen, können Sie einen dieser Befehle verwenden, wobei der 'ip'-Befehl die gängigste Methode ist.

# ifconfig [interface] promisc
# ip link set [interface] promisc on

To identify if the NIC has been set in Promiscuous Mode, use the ifconfig command.

# ifconfig eth1
eth1      Link encap:Ethernet  HWaddr 08:00:27:CD:20:16
          inet addr:192.168.200.56  Bcast:192.168.255.255  Mask:255.255.0.0
          inet6 addr: 2606:b400:c10:6044:a00:27ff:fecd:2016/64 Scope:Global
          inet6 addr: fe80::a00:27ff:fecd:2016/64 Scope:Link
          UP BROADCAST RUNNING PROMISC MULTICAST  MTU:1500  Metric:1
          RX packets:22685771 errors:0 dropped:83424 overruns:0 frame:0
          TX packets:13461 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:1604651517 (1.4 GiB)  TX bytes:1475694 (1.4 MiB)

Alternatively, use the “ip” command and grep for the promisc flag

# ip a show eth1 | grep -i promisc
3: eth1: [BROADCAST,MULTICAST,PROMISC,UP,LOWER_UP] mtu 1500 qdisc pfifo_fast state UP qlen 1000

Dauerhafte Einstellungen

So setzen Sie die Schnittstelle dauerhaft in den Promiscuous-Modus

1. Bearbeiten Sie die Datei ifcfg-ethX
2. Fügen Sie "PROMISC=yes" an das Ende der Optionen an

# vim /etc/sysconfig/network-scripts/ifcfg-eth1
PROMISC=yes   <== 

https://www.thegeekdiary.com/how-to-configure-interface-in-promiscuous-mode-in-centos-rhel/

Aktivieren

Führen Sie den Befehl ifconfig aus und beachten Sie das Ergebnis

# ifconfig eth0 promisc

Führen Sie den Befehl ifconfig aus und beachten Sie das Ergebnis

eth0 Link encap:Ethernet HWaddr 00:1D:09:08:94:8A
inet6 addr: fe80::21d:9ff:fe08:948a/64 Scope:Link
UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1
RX packets:23724 errors:0 dropped:0 overruns:0 frame:0
TX packets:7517 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:2169478 (2.0 MiB) TX bytes:5423377 (5.1 MiB)
Interrupt:17

Deaktivieren

Um den Promiscuous-Modus auf der physischen NIC zu deaktivieren, führen Sie den folgenden Befehl in der Textkonsole aus

# ifconfig eth0 –promisc

Führen Sie den Befehl ifconfig erneut aus und stellen Sie fest, dass der Promiscuous-Modus nun deaktiviert ist.

Sicherheit

Erkennung

Da der Promiscuous Mode in böswilliger Weise dazu verwendet werden kann, private Daten während der Übertragung in einem Netzwerk abzufangen, sind Computersicherheits-Experten möglicherweise daran interessiert, Netzwerkgeräte zu erkennen, die sich im Promiscuous Mode befinden.

• Im Promiscuous Mode kann manche Software Antworten auf Frames senden, obwohl sie an einen anderen Rechner adressiert waren.
• Erfahrene Sniffer können dies jedoch verhindern (z. B. durch sorgfältig ausgelegte Firewall-Einstellungen).
• Ein Beispiel ist das Senden eines Pings (ICMP Echo Request) mit der falschen MAC-Adresse, aber der richtigen IP-Adresse.
• Wenn ein Adapter im normalen Modus arbeitet, verwirft er diesen Frame, und der IP-Stack sieht ihn nicht und antwortet nicht darauf.
• Befindet sich der Adapter im Promiscuous-Modus, wird der Frame weitergeleitet, und der IP-Stack auf dem Rechner (für den eine MAC-Adresse keine Bedeutung hat) reagiert wie auf jeden anderen Ping.
• Der Sniffer kann dies verhindern, indem er eine Firewall so konfiguriert, dass sie den ICMP-Verkehr blockiert.

Siehe auch

• Monitor Mode
• Sniffer
• Packet analyzer
• MAC spoofing
• Monitor mode

Links

Weblinks

• https://de.wikipedia.org/wiki/Promiskuitiver_Modus
• https://en.wikipedia.org/wiki/Promiscuous_mode
• SearchSecurity.com definition of promiscuous mode

Testfragen

Testfrage 1

Antwort1

Testfrage 2

Antwort2

Testfrage 3

Antwort3

Testfrage 4

Antwort4

Testfrage 5

Antwort5