-------------------------------------------------------------------------------
  NATDet - README-polish
  (c) Marcin Ulikowski <r3b00t@itsec.pl>
-------------------------------------------------------------------------------


Okay, wic co to takiego?
-------------------------------------------------------------------------------
NATDet jest raczej maym, ale bardzo uytecznym (szczeglnie dla adminw)
narzdziem. Dziki niemu moesz wykry kolesi, ktrzy dziel cze internetowe
nielegalnie, bez Twojego pozwolenia i oczywicie bez zapaty.
Jak widzisz, dziki NATDet moesz zaoszczdzi troch pienidzy oraz czasu na
apanie pakietw i ich rczne badanie (grep, awk, itp). Jeli zaliczasz si do
b0fh, NATDet jest dla Ciebie ;-)


To zbyt pikne eby byo prawdziwe, nie sdzisz?
-------------------------------------------------------------------------------
Nie, nie sdz. Ja i wielu innych znajomych (dziki za testy) uywamy go w
naszych sieciach i NATDet spisuje si bardzo dobrze. Wykrywa take spryciarzy,
ktrzy kombinuj przy TTL (zwikszanie o 1, ustawianie staego, itp), Linux
jako router, ktry dzieli poczenie dla maszyny z Windows. Oczywicie to
dziaa z innymi kombinacjami, ale to najpopularniejszy przykad (take Windows
dzielcy dla Windows).


Poka mi!
-------------------------------------------------------------------------------
Nie ma sprawy. NATDet jest prosty w uyciu. Musisz wybra jakie urzdzenie na
ktrym bdzie nasuchiwa, lub moesz uywa pierwszego dostpnego, wykrytego
przez NATDet. Powiniene zapozna si z opcj verbose output (opcja -v), ktra
pokazuje troche uytecznych informacji, takich jak prawdopodobiestwo w
procentach i uyte czynniki. Tutaj masz krtki przykad:

Sat Jun 19 20:22:57 2004: NAT at 192.168.0.1 (3/3 factors, 100% probability)

W wikszoci przypadkw prawdopodobiestwo wynosi 100%. NATDet informuje o
maskaradzie tylko, jeeli prawdopodobiestwo jest wysze ni 50%, wic moesz
mie solidne podstawy do rozmowy z niektrymi uytkownikami.
Jeli potrzebujesz zapisa wyniki do pliku, opcja -l <file> jest dla Ciebie.
Nie zapomnij postawi & na kocu komendy ;)


Jakie sugestie jak uywa tego efektywniej?
-------------------------------------------------------------------------------
Tak, ustawienie odpowiedniej reguy dla filtra BPF (te same co w tcpdump) jest
bardzo dobrym pomysem. Moesz powiedzie NATDet aby czyta pakiety tylko z
konkretnego hosta/sieci. Dla przykadu:

# natdet -v -i eth0 'src host 192.168.0.69'
# natdet -v 'src net 192.168.0.0 mask 255.255.255.0'

Moesz poczyta wicej o reguach filtrowania w man tcpdump.


To nie dziaa...
-------------------------------------------------------------------------------
Sorry. NATDet wymaga biblioteki pcap. Moesz j pobra ze strony tcpdump -
http://www.tcpdump.org/ lub zainstalowa odpowiedni pakiet, jeli jest dostpny
(musi by). Wci nie dziaa? Skontaktuj si ze mn wraz z pen specyfikacj
Twojej platformy.


Pomoc
-------------------------------------------------------------------------------
Potrzebne s sygnatury systemw (po prostu wylij logi pakietw SYN). Przelij
take komentarze/sugestie lub informacje o problemach podczas kompilacji lub
uruchamiania. Informacje o bdach mile widziane. Skontaktuj si ze mn przez
e-mail razem ze szczegowymi informacjami na temat platformy na ktrej
pracujesz.


Uyteczne linki
-------------------------------------------------------------------------------
"Transmission Control Protocol"
http://www.faqs.org/rfcs/rfc793.html

"Internet Protocol"
http://www.faqs.org/rfcs/rfc791.html

"TCP Extensions for High Performance"
http://www.faqs.org/rfcs/rfc1323.html

