В первом сезоне «Мистера Робота» проникновение в тщательно охраняемый дата-центр сводится к одному маленькому предмету: Raspberry Pi — компьютеру размером с банковскую карту, который тайком проносят внутрь и подключают к сети здания. Оттуда к нему можно обратиться снаружи и использовать его против окружающих систем. Сцена запоминается, потому что она очень правдоподобна. Raspberry Pi стоит недорого, работает на Linux, потребляет мало энергии и, оказавшись в сети, становится просто одним устройством из многих.
Чтобы это вас касалось, не нужно управлять дата-центром. Домашней сетью или сетью небольшого офиса обычно пользуются десятки устройств — телефоны, ноутбуки, телевизоры, колонки, розетки, камеры, принтер, — и почти никто не знает полного списка. Когда подключается новое устройство, нигде не срабатывает никакая тревога. Именно на этот пробел рассчитывают подброшенное устройство, сосед в вашем Wi-Fi или гаджет, который тихо ведёт себя не так, как должен.
Почему устройство в вашей сети — проблема, даже если оно вас никогда не «взломает»
- Оно может искать службы, которые другие устройства предлагают в локальной сети: общие папки, общий экран, удалённый вход, принтеры.
- Оно может следить, какие устройства и когда находятся рядом, — удивительно красноречивая картина того, кто дома.
- Оно может ждать. Многим атакам в локальной сети нужна не скорость, а только присутствие.
- Это может быть обычный гаджет со слабой защитой, которым управляет кто-то другой, — для вашей сети это одно и то же.
Откуда ваш Mac уже знает, кто рядом
Устройства одной локальной сети находят друг друга с помощью механизма под названием ARP. Прежде чем что-то отправить другому устройству в Wi-Fi — включая роутер, — Mac узнаёт его аппаратный адрес, так называемый MAC-адрес, и хранит короткий список недавно встреченных. Этот список — честная запись того, с какими устройствами ваш Mac действительно контактировал в локальной сети.
Первая половина любого MAC-адреса — это код производителя, который присваивает IEEE и публикует в открытом реестре. Платы Raspberry Pi, например, соответствуют записям вроде «Raspberry Pi Trading Ltd». У Apple, Samsung, Sonos, TP-Link и тысяч других компаний есть свои. Так что по одному этому списку Mac может сказать не просто «по этому адресу есть устройство», а «здесь есть устройство, выпущенное этой компанией».
Необработанную версию можно увидеть самостоятельно в Терминале:
arp -an
? (192.168.1.1) at a4:2b:b0:12:34:56 on en0 ifscope [ethernet]
? (192.168.1.23) at dc:a6:32:ab:cd:ef on en0 ifscope [ethernet]Полезно, но читать неудобно. Никто не запоминает коды производителей.
Понятная версия: Who’s online в FireAI
Who’s online превращает этот список в то, чем действительно можно пользоваться. Он читает ARP-таблицу вашего Mac раз в минуту — без сканирования сети, без опроса других устройств, без отправки им пакетов — и находит производителя каждого устройства в открытом реестре IEEE, встроенном в FireAI, так что ни один запрос никогда не покидает ваш Mac.
- Каждое устройство показано с производителем, текущим адресом, именем, которое оно само себе даёт, если включить поиск имён (по умолчанию выключен: это единственная часть, которая что-то спрашивает у вашего DNS-сервера), и значком того, чем оно, вероятно, является, — Mac, телефон, телевизор, колонка, ваш роутер. Если догадка неверна, выберите правильный вариант.
- Дайте устройствам свои имена: «Колонка на кухне», «MacBook Давида», «Телевизор в гостиной». Устройства с именем — те, что вы узнали; безымянные — те, к которым стоит присмотреться.
- Включите наблюдение за устройством, и FireAI сообщит, когда оно подключится к сети или покинет её. Это полезно и для безопасности — незнакомая коробка, которая всё время возвращается, — и для бытовых вопросов, например дома ли ноутбук кого-то из родных.
- Устройства без наблюдения отслеживаются молча. FireAI никогда не засыпает вас уведомлениями всякий раз, когда просыпается телефон.
Коробка, которая отображается как «Raspberry Pi Trading Ltd» или как производитель, у которого вы никогда ничего не покупали, — современная версия кабеля, который никто не может объяснить. Возможно, она безобидна: многие специально держат Raspberry Pi дома. Главное, что теперь вы будете знать, что она там, и сможете спросить.
Честные ограничения
Нам важнее, чтобы вы доверяли списку ровно настолько, насколько он того заслуживает:
- Частные адреса. Большинство современных телефонов, планшетов и ноутбуков используют в каждой сети случайный частный адрес Wi-Fi. Такие устройства отображаются в FireAI как «Частный адрес»: мы не угадываем для них производителя, потому что любая догадка была бы выдумкой. Один раз дать им имя всё равно можно.
- То, что видел ваш Mac. В списке ARP есть только устройства, с которыми ваш Mac недавно обменивался трафиком в локальной сети. Активные устройства появляются быстро; молчащее устройство или устройство в отдельной гостевой сети может не появиться.
- Полная картина — у роутера. На странице администрирования роутера перечислены все устройства, которым он выдал адрес. Who’s online — быстрый взгляд с вашего Mac; роутер — источник истины и место, где устройство можно полностью заблокировать.
Нашли что-то незнакомое? Что делать
- Сначала дайте имена всему, что узнаёте. Список неизвестных быстро сокращается.
- Включите наблюдение за незнакомым устройством, чтобы понять, когда оно появляется, — этот ритм часто его выдаёт («только когда приходит уборщица», «каждую ночь в 2 часа»).
- Найдите тот же аппаратный адрес в списке клиентов роутера и посмотрите, какое имя он показывает.
- Если всё ещё не понятно, что это, смените пароль Wi-Fi — всем устройствам придётся подключиться заново, и получится это только у тех, кого вы пустите.
- В сетях, которые вы не контролируете, переключите FireAI в режим Coffee shop: входящие подключения отклоняются, а общий доступ к файлам и экрану вашего Mac для других локальных устройств блокируется, так что коробке незнакомца не с кем разговаривать.
Raspberry Pi из «Мистера Робота» сработал, потому что никто не смотрел на сеть. В вашем собственном Wi-Fi смотреть теперь — привычка в один клик. Об остальных приёмах сериала и о том, что их останавливает, читайте в статье Взломы из «Мистера Робота»: разбор.
Какое место здесь занимают FireAI и HisnLabs
Чужая коробка в вашей сети работает, только пока её никто не замечает. Who’s online в FireAI показывает каждое устройство, которое видит ваш Mac, с именем производителя — и сообщает, когда важные для вас устройства появляются и исчезают.
FireAI — это собственный продукт HisnLabs: ИИ-файрвол, работающий прямо на вашем Mac. Он показывает простым языком каждое соединение, которое устанавливают ваши приложения, и позволяет вам решать, что покидает ваш Mac, — его ИИ работает локально, поэтому ваш трафик никогда не отправляется ни нам, ни кому-либо ещё. Команда исследователей безопасности HisnLabs — это те, кто поддерживает точность этих решений: они каталогизируют, какие домены являются обычной телеметрией, а какие — реальным сервисом, отслеживают страну и сеть, стоящие за соединением, и обучают локальную модель (функцию Autopilot) на реальных шаблонах трафика — и ничего из этого не покидает ваш Mac.
Вы можете прочитать о технических решениях, лежащих в его основе, или попробовать FireAI в течение 17 дней на странице FireAI от HisnLabs.