Promiscuous Mode

Promiscuous Mode -

• promiskuitive Modus oder Promiscuous-Modus
• bezeichnet einen bestimmten Empfangsmodus für netzwerktechnische Geräte

Beschreibung

Aus dem englischen ‚Vorlage:Lang‘ entlehnt, etwa für „freizügiger Modus“

In diesem Modus liest das Gerät den gesamten ankommenden Datenverkehr an die in diesen Modus geschaltete Netzwerkschnittstelle mit (anstatt nur den für das Gerät bestimmten Datenverkehr) und gibt die Daten zur Verarbeitung an das Betriebssystem weiter.

• Dies kann beispielsweise zum Betrieb virtueller Maschinen notwendig sein, die hierdurch eine eigene Netzwerkschnittstelle erhalten
• Geräte, die diesen Modus benutzen, können Kombinationen aus Switch und Router, Netzwerktester oder auch normale Computer mit Anschluss an ein Netzwerk sein

Bei Wireless LANs (WLANs) werden im promiscuous mode auch Pakete weitergeleitet, die nicht an einen selbst gerichtet sind

• aber es werden nur die Pakete des Netzwerks (Accesspoints) weitergeleitet, mit dem der Client gerade verbunden ist.
• Da das Herstellen einer Verbindung mit dem Netzwerk normalerweise mit einer Authentifizierung einhergeht, ist der promiscuous mode nicht geeignet, um Pakete eines Netzwerks aufzufangen, zu dem man keinen direkten Zugang hat
• Will man alle Pakete, aller erreichbaren WLAN Netze empfangen, ist dazu der Monitor Mode nötig

Non-Promiscuous Mode

In diesem Modus verarbeitet das Gerät nur die an sich selbst gerichteten Pakete, was zum Beispiel in Ethernetnetzen über das Auswerten der MAC-Adresse geschieht, zuzüglich Broadcast- und Multicast-Pakete

Netzwerkschnittstellen-Controller-Modus, der für andere bestimmte Nachrichten abhört

In Computernetzwerke ist der promiscuous mode ein Modus für einen kabelgebundenen Network Interface Controller (NIC) oder Wireless Network Interface Controller (WNIC), der den Controller dazu veranlasst, den gesamten empfangenen Datenverkehr an die Central Processing Unit (CPU) weiterzuleiten, anstatt nur die Frames weiterzuleiten, für die der Controller speziell programmiert wurde.

• Dieser Modus wird normalerweise für Packet Sniffing verwendet, das auf einem Router oder einem Computer stattfindet, der mit einem kabelgebundenen Netzwerk verbunden ist oder Teil eines Wireless LAN ist.
• Schnittstellen werden von Software-Bridges, die oft mit Hardware-Virtualisierung verwendet werden, in den Promiscuous Mode versetzt.

In IEEE 802-Netzwerken wie Ethernet oder IEEE 802.11 enthält jeder Frame eine Ziel-MAC-Adresse

• Im Non-Promiscuous-Modus verwirft eine NIC, wenn sie einen Frame empfängt, diesen, es sei denn, der Frame ist an die MAC-Adresse dieser NIC adressiert oder es handelt sich um einen Frame mit Broadcast- oder Multicast-Adresse.
• Im Promiscuous-Modus hingegen lässt die Netzwerkkarte alle Frames durch, so dass der Computer Frames lesen kann, die für andere Rechner oder Netzwerkgeräte bestimmt sind.

Der Promiscuous Mode wird häufig zur Diagnose von Netzwerkverbindungsproblemen verwendet

• Es gibt Programme, die diese Funktion nutzen, um dem Benutzer alle Daten zu zeigen, die über das Netz übertragen werden.
• Einige Protokolle wie FTP und Telnet übertragen Daten und Kennwörter unverschlüsselt im Klartext, und Netzwerkscanner können diese Daten sehen.
• Daher sollten Computerbenutzer unsichere Protokolle wie Telnet meiden und sicherere Protokolle wie SSH verwenden.

Geswitchte Netzwerke

• In Netzwerken, die durch Switches (im Gegensatz zu Hubs) gebildet werden, ist der Promiscuous-Modus zur Spionage nutzlos, da normalerweise an jedes Gerät nur die dafür bestimmten Pakete geleitet werden.
• VMs sind hiervon nicht betroffen, da diese aktiv mit ihrer Adresse im Netzwerk kommunizieren und daher vom Switch als eigenständiges Gerät erkannt werden.

Anwendungen

Viele Betriebssystemee erfordern Superuser-Rechte, um den Promiscuous Mode zu aktivieren

• Ein Nicht-Routing-Knoten im Promiscuous-Modus kann im Allgemeinen nur den Verkehr zu und von anderen Knoten innerhalb derselben Broadcast-Domäne (für Ethernet und IEEE 802.11) oder desselben Rings (für Token Ring) überwachen. Computer, die an denselben Ethernet-Hub angeschlossen sind, erfüllen diese Anforderung, weshalb Netzwerk-Switche zur Bekämpfung der böswilligen Nutzung des Promiscuous Mode eingesetzt werden.
• Ein Router kann den gesamten Verkehr überwachen, den er weiterleitet.

Packet Analyzer

• NetScout Sniffer
• Wireshark (formerly Ethereal)
• tcpdump
• OmniPeek
• Capsa
• ntop
• Firesheep

Virtual machine

• VMware's VMnet bridging
• VirtualBox bridging mode

Containers

• Docker with optional Macvlan driver on Linux

Cryptanalysis

• Aircrack-ng
• AirSnort
• Cain and Abel

Network monitoring

• KisMAC (used for WLAN)
• Kismet
• IPTraf
• Snort
• CommView

Konfiguration

Promiscuous Mode

für eine Netzwerkkarte

Der Promiscuous-Modus oder Promisc-Modus ist eine Funktion, bei der die Ethernet-Karte den gesamten empfangenen Datenverkehr an den Kernel weiterleitet

• Er wird normalerweise von einem Paketschnüffelprogramm wie Wireshark und tcpdump verwendet
• Wenn ein solches Programm absichtlich läuft oder das Netzwerk für die Hardware-Virtualisierung überbrückt wird, kann die Meldung "promiscuous mode" einfach ignoriert werden
• Andernfalls ist aufgrund eines Sicherheitsproblems eine gründliche Untersuchung des Systems erforderlich

Wenn sich eine Netzwerkkarte im Promiscuous-Modus befindet, kann sie den gesamten empfangenen Datenverkehr lesen und nicht nur die an sie adressierten Pakete

• Nehmen wir an, für eth1 wird der Promiscuous-Modus grundsätzlich dazu verwendet, den gesamten Verkehr, den 'eth1' empfängt, weiterzuleiten und nicht nur die an ihn adressierten Frames
• Eine Netzwerkkarte befindet sich normalerweise im promiscuous mode, wenn: # Wenn sie manuell mit dem Befehl ifconfig in diesem Modus konfiguriert wurde

1. Wenn ein Netzwerküberwachungsprogramm wie tcpdump usw. verwendet wird
2. In Bridge-Netzwerken muss die Netzwerkkarte meist im Promiscuous-Modus arbeiten

Promiscuous-Modus auf einer physischen Netzwerkkarte (NIC) aktivieren

In einem Netzwerk ermöglicht der Promiscuous-Modus einem Netzwerkgerät, jedes Netzwerkpaket, das ankommt, vollständig abzufangen und zu lesen.

• Diese Betriebsart wird manchmal einem Netzwerk-Snoop-Server zugewiesen, der alle Pakete abfängt und zur Analyse speichert (z. B.  bei der Überwachung der Netzwerknutzung).

Promiscuous-Modus aktivieren

Netzwerkkarte manuell in den Promiscuous-Modus versetzen

in CentOS/RHEL

Um eine Schnittstelle in den Promiscuous-Modus zu versetzen, können Sie einen dieser Befehle verwenden, wobei der 'ip'-Befehl die gängigste Methode ist.

# ifconfig [interface] promisc
# ip link set [interface] promisc on

To identify if the NIC has been set in Promiscuous Mode, use the ifconfig command.

# ifconfig eth1
eth1      Link encap:Ethernet  HWaddr 08:00:27:CD:20:16
          inet addr:192.168.200.56  Bcast:192.168.255.255  Mask:255.255.0.0
          inet6 addr: 2606:b400:c10:6044:a00:27ff:fecd:2016/64 Scope:Global
          inet6 addr: fe80::a00:27ff:fecd:2016/64 Scope:Link
          UP BROADCAST RUNNING PROMISC MULTICAST  MTU:1500  Metric:1
          RX packets:22685771 errors:0 dropped:83424 overruns:0 frame:0
          TX packets:13461 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:1604651517 (1.4 GiB)  TX bytes:1475694 (1.4 MiB)

Alternatively, use the “ip” command and grep for the promisc flag

# ip a show eth1 | grep -i promisc
3: eth1: [BROADCAST,MULTICAST,PROMISC,UP,LOWER_UP] mtu 1500 qdisc pfifo_fast state UP qlen 1000

Dauerhafte Einstellungen

So setzen Sie die Schnittstelle dauerhaft in den Promiscuous-Modus

1. Bearbeiten Sie die Datei ifcfg-ethX
2. Fügen Sie "PROMISC=yes" an das Ende der Optionen an

# vim /etc/sysconfig/network-scripts/ifcfg-eth1
PROMISC=yes   <== 

https://www.thegeekdiary.com/how-to-configure-interface-in-promiscuous-mode-in-centos-rhel/

Aktivieren

Führen Sie den Befehl ifconfig aus und beachten Sie das Ergebnis

# ifconfig eth0 promisc

Führen Sie den Befehl ifconfig aus und beachten Sie das Ergebnis

eth0 Link encap:Ethernet HWaddr 00:1D:09:08:94:8A
inet6 addr: fe80::21d:9ff:fe08:948a/64 Scope:Link
UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1
RX packets:23724 errors:0 dropped:0 overruns:0 frame:0
TX packets:7517 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:2169478 (2.0 MiB) TX bytes:5423377 (5.1 MiB)
Interrupt:17

Deaktivieren

Um den Promiscuous-Modus auf der physischen NIC zu deaktivieren, führen Sie den folgenden Befehl in der Textkonsole aus

# ifconfig eth0 –promisc

Führen Sie den Befehl ifconfig erneut aus und stellen Sie fest, dass der Promiscuous-Modus nun deaktiviert ist.

Promiscuous-Modus konfigurieren

für die Netzwerkschnittstelle

# ip link set eth1 promisc on

The flag will be updated to BMPRU

Flag details are as follows

B flag is for broadcast
M flag is for multicast
P flag is for promisc mode
R is for running
U is for up

configuration

• VMware always enables promiscuous mode for virtual interface

It is not enough to enable promiscuous mode in the interface file

• add this line

ifconfig eth1 up
ifconfig eth1 promisc

in the /etc/rc.local file because when i restart the network service, eth1 is set down

• So adding this lines would tell the os to not shutdown eth1

Sicherheit

Erkennung

Promiscuous Mode kann in böswilliger Weise verwendet werden

• private Daten während der Übertragung in einem Netzwerk abzufangen

Computersicherheits-Experten möglicherweise daran interessiert, Netzwerkgeräte zu erkennen

• die sich im Promiscuous Mode befinden

Im Promiscuous Mode kann manche Software Antworten auf Frames senden, obwohl sie an einen anderen Rechner adressiert waren

• Erfahrene Sniffer können dies jedoch verhindern (z. B.  durch sorgfältig ausgelegte Firewall-Einstellungen)
• Ein Beispiel ist das Senden eines Pings (ICMP Echo Request) mit der falschen MAC-Adresse, aber der richtigen IP-Adresse
• Wenn ein Adapter im normalen Modus arbeitet, verwirft er diesen Frame, und der IP-Stack sieht ihn nicht und antwortet nicht darauf
• Befindet sich der Adapter im Promiscuous-Modus, wird der Frame weitergeleitet, und der IP-Stack auf dem Rechner (für den eine MAC-Adresse keine Bedeutung hat) reagiert wie auf jeden anderen Ping
• Der Sniffer kann dies verhindern, indem er eine Firewall so konfiguriert, dass sie den ICMP-Verkehr blockiert

Siehe auch

• Monitor Mode
• Sniffer
• Packet analyzer
• MAC spoofing
• Monitor mode

Links

Weblinks

• https://de.wikipedia.org/wiki/Promiskuitiver_Modus
• https://en.wikipedia.org/wiki/Promiscuous_mode
• SearchSecurity.com definition of promiscuous mode