-------------------------------------------------------------------------------
  NATDet - README-polish
  (c) Marcin Ulikowski <elceef@itsec.pl>
-------------------------------------------------------------------------------


Okay, wic co to takiego?
-------------------------------------------------------------------------------
NATDet jest raczej maym, ale bardzo uytecznym (szczeglnie dla adminw)
narzdziem. Dziki niemu moesz wykry kolesi, ktrzy dziel cze internetowe
nielegalnie, bez Twojego pozwolenia i oczywicie bez zapaty.
Jak widzisz, dziki NATDet moesz zaoszczdzi troch pienidzy oraz czasu na
apanie pakietw i ich rczne badanie (grep, awk, itp). Jeli zaliczasz si do
b0fh, NATDet jest dla Ciebie ;-)


To zbyt pikne eby byo prawdziwe, nie sdzisz?
-------------------------------------------------------------------------------
Nie, nie sdz. Ja i wielu innych znajomych (dziki za testy) uywamy go w
naszych sieciach i NATDet spisuje si bardzo dobrze. Wykrywa take spryciarzy,
ktrzy kombinuj przy TTL (zwikszanie o 1, ustawianie staego, itp), Linux
jako router, ktry dzieli poczenie dla maszyny z Windows. Oczywicie to
dziaa z innymi kombinacjami, ale to najpopularniejszy przykad (take Windows
dzielcy dla Windows).


Poka mi!
-------------------------------------------------------------------------------
Nie ma sprawy. NATDet jest prosty w uyciu. Musisz wybra jakie urzdzenie na
ktrym bdzie nasuchiwa, lub moesz uywa pierwszego dostpnego, wykrytego
przez NATDet. Powiniene zapozna si z opcj verbose output (opcja -v), ktra
pokazuje troche uytecznych informacji o uytych czynnikach.
Tutaj masz krtki przykad:

[*] 20:22:57 19-08-2004: NAT at 192.168.0.69 for 3 system(s) [100%]
    Used factors: OSGENRE TSTAMP TTL   |         |             |
                     |       |    |    |         |             |
    Rnica OS ------'       |    |    |         |             |
    Rnica TCP timestamp ---'    |    |         |             |
    Rnica TTL ------------------'    |         |             |
    Adres (nielegalnego) routera ------'         |             |
    Liczba uywanych systemw za maskarad ------'             |
    Prawdopodobiestwo ----------------------------------------'

W wikszoci przypadkw prawdopodobiestwo wynosi 100%. Domylnie NATDet
informuje o maskaradzie tylko, jeeli prawdopodobiestwo jest wysze ni 50%,
wic moesz mie solidne podstawy do rozmowy z niektrymi uytkownikami.
Jeli potrzebujesz zapisa wyniki do pliku, opcja -l <file> jest dla Ciebie.
Jednak jeli nie lubisz czyta logw, uyj NATStat, ktry jest cakiem dobrym
parserem logw NATDet. Pojedycz komend moesz utworzy adne statystyki.


Jakie sugestie jak uywa tego efektywniej?
-------------------------------------------------------------------------------
Tak, ustawienie odpowiedniej reguy dla filtra BPF (te same co w tcpdump) jest
bardzo dobrym pomysem. Moesz powiedzie NATDet aby czyta pakiety tylko z
konkretnego hosta/sieci. Dla przykadu:

# natdet -v -i eth0 'src host 192.168.0.69'
# natdet -v 'src net 192.168.0.0 mask 255.255.255.0'

Moesz poczyta wicej o reguach filtrowania w man tcpdump.


To nie dziaa...
-------------------------------------------------------------------------------
Sorry. NATDet wymaga biblioteki pcap (wersja 0.6.x i pniejsze). Moesz j
pobra ze strony tcpdump - http://www.tcpdump.org/ lub zainstalowa odpowiedni
pakiet, jeli jest dostpny (musi by). Pobierz najnowsz dostpn wersj.
Wci nie dziaa? Skontaktuj si ze mn wraz z pen specyfikacj Twojej
platformy.


Pomoc
-------------------------------------------------------------------------------
Potrzebne s sygnatury systemw (po prostu wylij logi pakietw SYN). Przelij
take komentarze/sugestie lub informacje o problemach podczas kompilacji lub
uruchamiania. Informacje o bdach mile widziane. Skontaktuj si ze mn przez
e-mail razem ze szczegowymi informacjami na temat platformy na ktrej
pracujesz.


Uyteczne linki
-------------------------------------------------------------------------------
"Transmission Control Protocol"
http://www.faqs.org/rfcs/rfc793.html

"Internet Protocol"
http://www.faqs.org/rfcs/rfc791.html

"TCP Extensions for High Performance"
http://www.faqs.org/rfcs/rfc1323.html

"Passive OS FingerPrinting w teorii i praktyce"
http://elceef.itsec.pl/fp.html

"p0f - passive OS fingerprinting tool"
http://lcamtuf.coredump.cx/p0f/

"masqdet"
http://toxygen.net/misc/masqdet-a1.tar.gz

