Você conhece seus vizinhos de rede?

Como administrador de um sistema VOS, normalmente você não se importa com quais outros hosts estão na sub-rede local. Você se preocupa com os gateways configurados e, é claro, com quaisquer hosts locais que se comuniquem com o seu sistema, mas os demais hosts ficam fora do seu radar. Existem, no entanto, duas razões muito boas para saber quem são seus vizinhos de rede. Primeiro, em caso de um problema de comunicação, você pode usar esses outros hosts para testar sua conexão de rede. Segundo, esses são os hosts que têm maior probabilidade de serem as fontes de qualquer tipo de ataque baseado na rede.

Não é má ideia fazer uma varredura na sub-rede local de vez em quando (digamos, todas as quartas-feiras de manhã) apenas para ver quem está conectado. O VOS não possui um scanner integrado – mas dispõe do comando ping, que, quando envolto por algumas linhas de uma macro de comando, pode ser transformado em um scanner.

Existem três problemas ao usar o ping para escanear hosts. Primeiro, não é muito eficiente. O tempo limite padrão é de 15 segundos e o comando tentará quatro vezes, portanto, levará um minuto para escanear um host que não exista ou que não responda aos pings. Felizmente, o número de tentativas pode ser reduzido para 1 e o tempo limite reduzido para 1 segundo. Isso ainda não é eficiente do ponto de vista de uma ferramenta de varredura dedicada, mas acho que é bom o suficiente para nossas necessidades.

A segunda questão é que nem todos os hosts respondem aos pings. No entanto, isso não representa um problema significativo, pois, com apenas mais uma linha, nossa macro de comando informará quais hosts enviaram uma resposta ARP. Os ARPs são usados para mapear um endereço IP para um endereço MAC Ethernet, e o VOS precisa conhecer o endereço MAC Ethernet antes de poder enviar o ping. Por isso, ele envia uma solicitação ARP ao host de destino e coloca os dados da resposta no cache ARP. Todos os hosts responderão à solicitação ARP com uma resposta ARP, mesmo que não respondam à solicitação de ping subsequente. O comando arp exibirá a entrada solicitada, caso exista.

A macro de comando acima apresenta as solicitações e respostas de ping misturadas com dados ARP, o que a torna pouco legível. A macro a seguir gera uma tabela organizada dos vizinhos em um arquivo chamado arp_scan.(data).out. Ela pressupõe uma rede de classe C, ou seja, os três primeiros octetos são fixos, e verifica os hosts de 1 a 254. Sugiro que você a execute como um processo em segundo plano.

O tempo de expiração do cache ARP é de 10 minutos. Se houver uma entrada com tempo inferior a 10 minutos, você saberá que o módulo já estava se comunicando com aquele host antes da varredura ser realizada.

A terceira questão é a reclamação que você pode receber do administrador de rede por estar fazendo uma varredura ativa na rede. Se ele se opuser a essa atividade, você pode fazer uma varredura passiva usando o comando de monitoramento de pacotes para capturar pacotes de difusão.

O uso dessa técnica depende de que os outros hosts da rede estejam se comunicando ativamente e enviando transmissões enquanto o `packet_monitor` estiver em execução. Se você utilizar essa técnica, será necessário deixar o `packet_monitor` em execução por um bom tempo; a duração dependerá da sua rede. Sugiro que você coloque o comando acima em uma macro de comando (packet_monitor_scan.cm) e a execute como um processo iniciado. Não se esqueça de executar o processo com privilégios.

Depois de obter um rastreamento, você precisará convertê-lo em uma tabela de endereços utilizável. A macro a seguir fará isso (ela pressupõe que o processo `packet_monitor_scan` foi iniciado e gerou um arquivo `process_packet_monitor_scan.out`).

o que resultará na tabela a seguir.