Détection d’attaques LLMNR : le guide complet
Réécrire un Pot de Miel pour Détecter une Attaque LLMNR sur Votre Réseau
Dans cet article, nous allons apprendre à mettre en place un pot de miel (honeypot) afin de piéger un attaquant sur notre réseau et détecter une attaque LLMNR poisoning.
Protocole LLMNR et Attaque LLMNR Poisoning
Le protocole LLMNR (Local Link Multicast Name Resolution) est un protocole de résolution de nom activé par défaut sous Windows et utilisant le multicast. L’attaque LLMNR poisoning consiste pour l’attaquant à abuser de l’utilisation de ce protocole en répondant systématiquement aux voisins en émettant une requête “oui je connais la correspondance”, puis en donnant son adresse IP en réponse.
Il est essentiel de détecter une tentative d’exploitation du protocole LLMNR sur un réseau. Les requêtes LLMNR et les réponses obtenues ne sont pas journalisées dans l’observateur d’évènements, donc il est difficile de les détecter de cette manière. Pour y remédier, il est possible de mettre en place un honeypot pour piéger l’attaquant.
Détecter une Tentative d’Exploitation du Protocole LLMNR
Pour détecter une tentative d’exploitation du protocole LLMNR sur un réseau, il est possible de créer un script PowerShell qui émet des requêtes LLMNR à une fréquence aléatoire sur le réseau. Si une réponse est obtenue à ces requêtes, l’adresse IP de l’attaquant peut alors être journalisée et l’attaquant détecté.
Il est important de noter que la plupart des outils d’attaque répondent par défaut à toutes les requêtes LLMNR. Par conséquent, la mise en place d’un honeypot pour détecter une tentative d’exploitation est une solution simple mais efficace.
Script PowerShell de Détection LLMNR
Un script PowerShell basé sur la CmdLet “Resolve-DnsName” peut être utilisé pour détecter des attaques LLMNR sur un réseau. Ce script émet des requêtes LLMNR à intervalles aléatoires et journalise les réponses obtenues pour identifier l’adresse IP de l’attaquant. Le script peut être adapté avec différents paramètres selon les besoins.
Visualisation dans les Logs
Une fois le script en place, il est possible de détecter des attaques LLMNR dans l’observateur d’évènements de Windows. Chaque requête et réponse est journalisée, ce qui permet de suivre l’activité du script en temps réel et de détecter toute tentative d’exploitation du protocole LLMNR.
Il est également recommandé de centraliser les évènements dans un SIEM (Security Information and Event Management) comme Splunk ou ELK pour une meilleure gestion des alertes et des menaces.
Conclusion
En conclusion, la mise en place d’un honeypot pour détecter des attaques LLMNR sur un réseau est une stratégie efficace et simple à mettre en œuvre. Il est important de prendre des mesures pour sécuriser son réseau et désactiver les protocoles LLMNR et NBNS pour éviter les attaques potentielles.
Source : www.it-connect.fr
