Podsłuch w sieci firmowej: jak wykryć nieautoryzowane urządzenia krok po kroku

Dlaczego podsłuch w sieci firmowej to realny problem małych firm

Podsłuch w sieci firmowej nie musi oznaczać hollywoodzkich scen z tajniakami i walizkami pełnymi elektroniki. W praktyce chodzi często o niepozorne, niedrogie urządzenie wpięte gdzieś w gniazdko sieciowe: mini-router, mały access point, tani switch pod biurkiem albo niewielki komputer typu Raspberry Pi ukryty za szafką. Taki sprzęt potrafi przechwytywać ruch, otwierać zdalny dostęp albo służyć jako punkt wyjścia do dalszych ataków.

Podsłuch można podzielić na dwie podstawowe kategorie. Podsłuch pasywny tylko zbiera dane – zrzuty ruchu sieciowego, loginy, niezaszyfrowane maile – i wysyła je dalej lub magazynuje lokalnie. Podsłuch aktywny dodatkowo ingeruje w ruch: wykonuje ataki typu man-in-the-middle, podmienia strony, wstrzykuje złośliwy kod lub przekierowuje użytkowników na fałszywe usługi. W obu przypadkach problemem jest nieautoryzowane urządzenie wpięte w infrastrukturę LAN lub Wi-Fi, o którym nikt oficjalnie nie wie.

To istotne, aby odróżnić malware na stacjach roboczych od fizycznych czy logicznych urządzeń podsłuchowych w sieci. Wirus czy trojan na komputerze użytkownika działa na jednym hoście, zwykle w warstwie systemu operacyjnego. Dodatkowy router, mały komputer czy nieautoryzowany access point to zupełnie inna liga – takie elementy siedzą w sercu infrastruktury, mogą widzieć i filtrować ruch wielu urządzeń równocześnie, a czasami pozostają niewidoczne dla typowych antywirusów.

Powody, dla których ktoś podpina taki sprzęt, są różne. Zdarza się szpiegostwo gospodarcze – konkurencja, były wspólnik, niezadowolony partner biznesowy. Czasem to pracownik „sprytniejszy” niż regulamin, który chce mieć lepsze Wi-Fi i przynosi z domu własny router lub extender, nie rozumiejąc konsekwencji. Inny scenariusz to zewnętrzny wykonawca (np. informatyk z firmy zewnętrznej), który „na chwilę” zostawia sobie dostęp awaryjny, a potem nikt tego nie usuwa ani nie dokumentuje.

Typowy przykład z praktyki: mała firma usługowa, kilka pomieszczeń, jedna szafa RACK. Podwykonawca od wideokonferencji na czas wdrożenia wpiął własny access point Wi-Fi do gniazdka w sali konferencyjnej, żeby szybciej przeprowadzić testy. Projekt się skończył, ludzie zapomnieli, sprzęt został. Po kilku miesiącach w sieci zaczęły się dziać dziwne rzeczy: wolny internet, konflikty adresów IP, problemy z drukarkami. Nikt nie łączył faktów z małym pudełkiem przy projektorze, które migało diodką i „po prostu było”.

Jak nieautoryzowane urządzenia trafiają do sieci firmowej

Świadome podpięcie: mały krok od wygody do podsłuchu

W wielu firmach pojawia się na biurkach dodatkowy switch, bo „brakuje gniazdek”. Ktoś podłącza tani 5-portowy model z marketu, do którego wpięte są: komputer, telefon IP, prywatny laptop i może jeszcze kamera IP z Allegro. Z punktu widzenia użytkownika wszystko działa, a problem bezpieczeństwa jest kompletnie niewidoczny. Tymczasem taki switch bywa pierwszym krokiem do dalszych manipulacji ruchem, szczególnie jeśli ma funkcje zarządzania, Wi-Fi albo zdalnej administracji.

Podobnie z routerami domowymi. Pracownik przynosi swój sprzęt, bo sygnał firmowego Wi-Fi jest słaby. Wpina router w gniazdko LAN, ustawia własną sieć bez hasła lub z prostym „12345678” i nie widzi w tym nic złego. Taki router może pełnić rolę nieautoryzowanego access pointa, a do tego bywa otwartą bramką administracyjną do całej sieci wewnętrznej. Jeśli ktoś zdobędzie dostęp do panelu takiego urządzenia, podsłuchanie ruchu staje się banalne.

Świadome podpięcie urządzenia podsłuchowego to również scenariusz z udziałem osoby działającej w złej wierze. Niewielki komputer typu Raspberry Pi, Intel NUC lub podobne mini-PC można schować za biurkiem, do listwy zasilającej i gniazdka RJ45. Po zainstalowaniu odpowiedniego oprogramowania takie urządzenie może przeprowadzać ataki ARP spoofing, sniffować ruch lub zestawiać zewnętrzne tunele VPN, których nikt nie kontroluje.

Nieświadome zagrożenie: ukryte funkcje sprzętu biurowego

Spora część sprzętu biurowego posiada funkcje sieciowe znacznie bogatsze, niż wynika to z ich podstawowego przeznaczenia. Nowoczesne drukarki, skanery, projektory, systemy wideokonferencyjne, a nawet telewizory w salach konferencyjnych często mają wbudowane moduły Wi-Fi, hotspoty, Bluetooth czy własne serwery HTTP. Wystarczy, że ktoś niechcący uruchomi funkcję „Access Point Mode” albo „Wi-Fi Direct”, a urządzenie zaczyna emitować niezabezpieczoną sieć.

Takie „urządzenie podsłuchowe” powstaje z kombinacji: nieświadomie włączony hotspot, domyślne hasło administratora i brak monitoringu sieci. Atakujący, który znajdzie się w zasięgu, może połączyć się z drukarką lub projektorem, wejść do ich panelu zarządzania i wykorzystać je jako punkt wejścia do sieci LAN. Sprzęt biurowy rzadko bywa aktualizowany i zabezpieczany, więc jest wdzięcznym celem.

Inny scenariusz to kontrolery IoT i systemy automatyki – klimatyzacja, oświetlenie, rejestracja czasu pracy czy system alarmowy. Dostawcy często konfigurują je w trybie „żeby działało” i pozostawiają otwarte interfejsy, czasem nawet z dostępem z internetu. Dla działu IT to nierzadko „czarna skrzynka”, o której dowiaduje się dopiero wtedy, gdy coś zaczyna szwankować albo analiza sieci odkrywa nowy, nieznany adres IP.

Gniazdka sieciowe, sale konferencyjne i inne słabe punkty

Najczęściej wykorzystywane miejsca do podpinania nieautoryzowanego sprzętu to lokalizacje, gdzie fizyczna kontrola jest najsłabsza. Sale konferencyjne, pomieszczenia dla gości, gniazda w korytarzach, gniazda za szafami w magazynie. Gniazdko RJ45 w ścianie, do którego „nikt nic nie podpina”, jest idealnym miejscem na wpięcie dyskretnego urządzenia podsłuchowego.

Słabym punktem bywają również pomieszczenia techniczne, które teoretycznie są zamykane, ale praktycznie drzwi stoją otwarte, bo „ktoś zaraz wraca”. Szafa RACK w otwartym korytarzu, patchpane­le bez zaślepek, dostępne porty na przełączniku – to wszystko ułatwia zarówno legalne, jak i nielegalne wpięcie dodatkowego sprzętu. Jeśli do tego nikt nie prowadzi listy, co gdzie jest podłączone, odnalezienie potem takiego urządzenia wymaga wielu godzin pracy.

Nie można też pomijać urządzeń z modemem LTE. Mały router z kartą SIM potrafi działać jako most między siecią firmową a internetem komórkowym. Czasem to celowe działanie (np. awaryjny internet dla kasy fiskalnej), a czasem prywatna inicjatywa pracownika. Z punktu widzenia podsłuchu takie urządzenie może po prostu omijać kontrolę firewalli i logowanie ruchu, co znacząco utrudnia dochodzenie po incydencie.

Brak procedur – źródło „sierot sprzętowych”

Nieautoryzowane urządzenia często są efektem chaosu organizacyjnego. Brak procedur onboarding/offboarding pracowników oznacza, że nikt oficjalnie nie zleca odłączenia sprzętu, który był kiedyś potrzebny. Zewnętrzny konsultant wpiął laptopa, router lub przełącznik na czas projektu i miał go „zabrać po wszystkim”, ale projekt się ciągnął, ludzie się zmienili, a sprzęt pozostał.

Bez jasnej inwentaryzacji i odpowiedzialności za infrastrukturę pojawiają się „sieroty sprzętowe”: access pointy bez właściciela, stare drukarki, przełączniki niefigurujące w żadnym wykazie, routery po poprzednim dostawcy internetu. Im więcej takich elementów, tym trudniej odróżnić urządzenie podsłuchowe od po prostu zapomnianego, ale wciąż działającego komponentu.

Do tego dochodzi brak prostych reguł typu: kto może cokolwiek wpiąć do gniazda w ścianie, kto odpowiada za porty w przełącznikach, jak zgłasza się potrzebę dodatkowego gniazdka. Bez takich zasad pracownicy rozwiązują problemy „po swojemu”, a dział IT dowiaduje się o wszystkim z opóźnieniem albo dopiero przy incydencie bezpieczeństwa.

Podstawy sieci potrzebne do wykrywania podsłuchu

Najważniejsze pojęcia: IP, MAC, DHCP, ARP, VLAN

Do skutecznego wykrywania nieautoryzowanych urządzeń podsłuchowych nie trzeba doktoratu z sieci. Wystarczy zrozumieć kilka kluczowych pojęć, które pozwalają logicznie prześledzić, co jest w sieci i skąd się bierze.

Adres IP to logiczny numer urządzenia w sieci – coś jak adres mieszkania. Urządzenia w jednej podsieci komunikują się po IP bez potrzeby przechodzenia przez router. Adres MAC to fizyczny identyfikator karty sieciowej nadawany na poziomie warstwy 2 – coś jak numer seryjny. MAC zwykle zdradza producenta urządzenia, co bywa bardzo pomocne przy identyfikacji.

DHCP to usługa, która automatycznie przydziela adresy IP urządzeniom. Dla osoby szukającej podsłuchu serwer DHCP jest jednym z głównych źródeł informacji: rejestruje kto, kiedy i z jakim MAC-em poprosił o adres. ARP (Address Resolution Protocol) to mechanizm, który mapuje adresy IP na MAC w lokalnej sieci. Analiza tabel ARP na routerach i hostach pomaga znaleźć urządzenia nieujęte w oficjalnych spisach.

VLAN (wirtualna sieć lokalna) pozwala logicznie podzielić jedną fizyczną infrastrukturę na kilka odseparowanych sieci. Dzięki temu można odciąć np. gości, IoT, systemy alarmowe od sieci biurowej. Z punktu widzenia wykrywania podsłuchu VLAN-y są istotne, bo podsłuchowe urządzenie może być wpięte fizycznie do tego samego przełącznika, ale logicznie w innej sieci niż komputery użytkowników.

Warstwa 2 kontra warstwa 3 – gdzie łatwiej zauważyć podsłuch

Sieć można rozpatrywać warstwowo. Na warstwie 2 (łącza danych) pracują przełączniki, adresy MAC, VLAN-y i ramki Ethernet. Na warstwie 3 (sieci) działają routery, adresy IP i trasy. Podsłuchowe urządzenie może być zauważone na obu poziomach, ale w praktyce częściej zdradza się na warstwie 2.

Przełącznik buduje tablicę MAC, czyli mapę: „ten adres MAC widzę na tym porcie”. Jeśli do jednego portu wpięte są nagle dziesiątki różnych MAC-ów, może to oznaczać, że ktoś podłączył własny switch lub router. Jeśli pojawia się nowy MAC o podejrzanym producencie, którego nie ma w inwentaryzacji, to również sygnał ostrzegawczy.

Na warstwie 3 widoczne są adresy IP, tablice routingu i logi firewalli. Tu kolejny raz pojawiają się informacje o nowych hostach, dziwnych połączeniach, nietypowym ruchu do zewnętrznych adresów. Jednak wiele podsłuchowych urządzeń stara się być „ciche” na poziomie IP – korzystają minimalnie z sieci lub tunelują ruch nietypowymi metodami. Dlatego analiza warstwy 2 często daje lepszy obraz tego, co fizycznie jest wpięte.

Źródła prawdy o urządzeniach w sieci

Aby odróżnić znane i legalne urządzenia od nieautoryzowanych, trzeba zidentyfikować „źródła prawdy”, czyli systemy, które mają możliwie pełną i wiarygodną listę podłączonych hostów. W typowej małej/średniej firmie będą to:

• Serwer DHCP – lista dzierżaw (lease’ów) z adresami IP, MAC, czasem nazwą hosta.
• Kontroler Wi-Fi – spis urządzeń podłączonych do poszczególnych sieci bezprzewodowych.
• Przełączniki zarządzalne – tablice MAC pokazujące, który port widzi jaki adres MAC.
• Router brzegowy / firewall – logi połączeń wychodzących i przychodzących, NAT, sesje.

Im bardziej spójne są te dane, tym łatwiej wykryć anomalię. Jeśli na przykład w DHCP nie ma wpisu o danym adresie IP, a router widzi z niego ruch, to znaczy, że ktoś statycznie skonfigurował adres lub urządzenie działa poza standardowym schematem. Z kolei MAC pojawiający się w tablicy przełącznika, a niewidoczny ani w DHCP, ani w kontrolerze Wi-Fi, może świadczyć o sprzęcie działającym jako transparentny most lub switch.

W praktyce największym utrudnieniem jest brak aktualnej dokumentacji. Bez choćby prostego spisu „co jest nasze i gdzie mniej więcej stoi” każde nowe urządzenie wygląda podejrzanie, ale sprawdzenie, czy jest legalne, zajmuje mnóstwo czasu. Dlatego nawet minimalistyczna inwentaryzacja, prowadzona w prostym arkuszu, potrafi radykalnie skrócić czas wykrywania podsłuchu.

Przygotowanie do polowania na nieautoryzowane urządzenia

Porządkowanie informacji zamiast kupowania gadżetów

Naturalnym odruchem przy podejrzeniu podsłuchu jest szukanie „magicznych” narzędzi: drogich systemów NAC, zaawansowanych sond sieciowych czy usług zewnętrznych ekspertów. Tymczasem w ogromnej części przypadków dużo większy efekt daje uporządkowanie tego, co już jest, zamiast dokładania nowych zabawek.

Spis z natury: co faktycznie jest podłączone

Zanim pojawi się jakiekolwiek skanowanie, trzeba wiedzieć, co teoretycznie powinno istnieć. Nie chodzi o idealną CMDB, tylko o minimalny, roboczy obraz rzeczywistości.

Praktyczny, tani schemat:

• Jedna tabela (arkusz w Excelu/LibreOffice, prosty plik w Google Sheets) z kolumnami: lokalizacja, typ urządzenia, adres IP (jeśli ma), MAC, numer portu na przełączniku (jeśli znany), właściciel / zespół, krótki opis.
• Podział na obszary: biuro A, biuro B, magazyn, serwerownia, sale konferencyjne. Bez lokalizacji każde śledztwo zamienia się w błądzenie po budynku.
• Właściciel urządzenia: dział, osoba, zespół – ktokolwiek, kto „przyzna się”, że tego używa. Chodzi o punkt kontaktu, nie o formalną odpowiedzialność.

Nawet tak prymitywna lista, uzupełniona w 2–3 iteracjach (pierwszy obchód, korekta, doprecyzowanie portów), pozwala później bardzo szybko oznaczyć w logach, co jest „swoje”, a co wygląda jak intruz. Bez tego każde obce IP lub MAC kończy się mailem: „Kto ma urządzenie XYZ?”.

Mapa logiczna zamiast idealnego schematu

Profesjonalne diagramy sieciowe są drogie w utrzymaniu. W małej/średniej firmie często wystarczy prosta mapa logiczna, która pokazuje zależności, a nie każdy kabel. Najważniejsze jest, żeby było wiadomo:

• jaki jest router brzegowy i do jakiego przełącznika jest podłączony,
• jakie są główne przełączniki (szkielet) i gdzie stoją,
• które przełączniki to „listki” w pokojach, na piętrach, w magazynach,
• które porty prowadzą do szkiele­tu, a które do gniazd w ścianie lub AP.

Taka mapa może być narysowana nawet w darmowym narzędziu typu draw.io czy ręcznie na kartce i przeniesiona do PDF-a. Kluczowe, żeby była:

• wystarczająco dokładna do orientacji (co z czym jest połączone),
• aktualizowana przy większych zmianach (wymiana przełącznika, dołożenie szafy).

Bez mapy logiki połączeń wykrycie podsłuchu zwykle oznacza fizyczny spacer z testerem kabli i zgadywanie, którędy idzie dany tor. Z mapą można od razu zawęzić poszukiwania do konkretnej szafy i kilku gniazdek.

Polityka „co wolno wpiąć do gniazdka”

Podsłuch często wchodzi do sieci nie tyle technicznie, co organizacyjnie – bo „nikt nie powiedział, że nie wolno”. Dlatego obok porządkowania informacji przydaje się lekka, ale jasna polityka podpinania sprzętu.

W praktyce wystarczą trzy krótkie zasady, zakomunikowane ludziom wprost (np. mail + kartka na tablicy):

• Do gniazdek sieciowych wolno podpinać tylko urządzenia firmowe lub zaakceptowane przez IT.
• Własne routery, switche, access pointy, repeatery Wi‑Fi są zabronione bez pisemnej zgody IT.
• Jeśli ktoś ma potrzebę dodatkowego gniazda / Wi‑Fi, zgłasza to na konkretny adres lub system ticketowy.

To nie zablokuje każdego ataku, ale znacząco ograniczy „domowe” podsłuchy, mosty Wi‑Fi i prywatne routery LTE, które powstają „bo ktoś chciał mieć lepszy internet w pokoju”.

Proste standardy etykietowania

Bez jasnych opisów kabli i portów każdy przegląd szafy RACK trwa kilka razy dłużej. Zamiast kupować inteligentne systemy zarządzania szafą, lepiej zainwestować czas w podstawowe etykietowanie:

• Każde gniazdko w ścianie dostaje czytelną etykietę (np. A1-15, B2-07), zgodną z opisem na patchpanelu.
• Na patchpanelu te same oznaczenia – nawet ręcznie opisaną taśmą, jeśli nic innego nie ma.
• Przy przełączniku krótka legenda: które porty to „uplinki”, które do jakich obszarów (sala A, open space, magazyn, monitoring).

Nawet jeśli nie wszystkie kable będą idealnie opisane, 60–70% poprawnych oznaczeń skraca później lokalizowanie podejrzanego portu z godzin do kilkunastu minut.

Skanowanie sieci krok po kroku – tanie narzędzia i rozsądna kolejność

Najpierw dane z serwerów i przełączników, potem aktywne skanowanie

Wielu administratorów zaczyna od nmapa na „/24” i listy otwartych portów. Efekt: ogrom danych, z których trudno wyciągnąć sensowne wnioski, a do tego obudzenie urządzeń, które do tej pory były mało widoczne. Dużo efektywniej jest zacząć od pasywnego przeglądu tego, co już wiadomo:

1. Eksport listy dzierżaw DHCP – IP, MAC, nazwa hosta, czas ostatniego odnowienia.
2. Eksport tablic MAC z przełączników – port → MAC, VLAN.
3. Lista klientów z kontrolera Wi‑Fi – SSID, MAC, IP, czas podłączenia.
4. Wyciąg z logów firewalla / routera – aktywne sesje lub lista ostatnich źródeł (IP/MAC, jeśli dostępne).

Te cztery źródła można zrzucić do jednego arkusza i najpierw zaznaczyć wszystko, co jest „znane” (zgodne z inwentaryzacją). Dopiero to, co zostanie, warto atakować aktywnymi skanami.

Jak czytać listę dzierżaw DHCP pod kątem podsłuchu

Serwer DHCP to często najprostsze i najtańsze źródło wstępnej informacji. Przy podejrzeniu podsłuchu dobrze sprawdzić:

• Nowe adresy MAC, które pojawiły się niedawno i nie pasują do żadnej kategorii sprzętu (laptopy, AP, drukarki itp.).
• Nazwy hostów typu „DESKTOP-XYZ”, „ANDROID-12345”, „TP-LINK_…”, „MERCUSYS_…”, które nie kojarzą się z oficjalnymi nazewnictwami w firmie.
• Dziwne pory aktywności – hosty, które „żyją” głównie w nocy lub weekendy, gdy nikt nie pracuje.

Przy ograniczonym czasie można zastosować szybki filtr: pokaż tylko rekordy, które:

• nie są w inwentaryzacji,
• a ich MAC ma producenta spoza standardowej listy (laptopy firmowe, drukarki, AP, kamery itp.).

Identyfikację producenta MAC można robić darmowo – lokalną bazą OUI (np. z IEEE, wgrana do nmapa) lub prostym skryptem, który sprawdza pierwsze 3 bajty adresu.

Wykorzystanie tabel MAC na przełącznikach

Tablice MAC są bardziej „szczere” niż DHCP, bo pokazują każde urządzenie widziane na porcie, w tym przeźroczyste mosty, switche SOHO czy podsłuchowe „kostki” wpięte między komputer a gniazdko.

Praktyczny sposób pracy z tablicą MAC:

1. Eksport (show mac address-table / show mac-address-table) do pliku dla każdego przełącznika.
2. Połączenie wszystkich eksportów w jeden arkusz z kolumnami: przełącznik, port, VLAN, MAC, producent (jeśli zmapowany).
3. Grupowanie po porcie:
   • porty z jednym, stałym MAC – zwykle pojedynczy host (PC, drukarka),
   • porty z wieloma MAC-ami – mogą oznaczać wpięty przełącznik, router lub AP w trybie bridge.

Ten drugi przypadek jest szczególnie interesujący. Jeśli port ma opis „gniazdko w pokoju 203”, a na nim widać 10 MAC-ów, to ktoś do tego gniazda podpiął kolejny element sieci. To może być oficjalny mini-switch pod biurkami lub prywatny router pracownika – różnicę da się ustalić dopiero po fizycznym sprawdzeniu.

Prosty, ostrożny skan nmapem

Kiedy wytypowane zostaną podejrzane IP/MAC, przydaje się lekki skan nmapem. Chodzi nie o „przewalenie” całej sieci, ale o szybkie rozpoznanie, czym mogą być konkretne hosty.

Kilka praktycznych wskazówek:

• Zacząć od ping scan i skanu najpopularniejszych portów, np.:

  nmap -sn 192.168.10.0/24
  nmap -sS -Pn --top-ports 50 192.168.10.123

• Nie skanować od razu całego zakresu /16; lepiej podzielić na podsieci i priorytetowo traktować te krytyczne (biurowe, serwerowe).
• W godzinach pracy użyć ostrożnych parametrów (brak agresywnych timingów, brak skanów wersji, jeśli nie są konieczne), żeby nie zabić słabszych urządzeń IoT.

Celem nie jest pełny audyt bezpieczeństwa, tylko ogólna klasyfikacja: kamera, drukarka, router, AP, system wbudowany, system operacyjny typu Linux/Windows itp. To już często wystarcza, by stwierdzić, że „na dziale księgowości stoi prywatny router Wi‑Fi z adminem na 192.168.0.1”.

Wykrywanie „cichych” hostów

Część urządzeń podsłuchowych stara się nie wyróżniać: nie bierze adresu z DHCP, nie odpowiada na ping, ma wyłączony serwer HTTP. Wtedy pomocne jest porównanie:

• tablic MAC przełączników (co fizycznie wisi na portach),
• z listą adresów z DHCP i aktywnych IP z nmapa.

Adres MAC, który:

• jest widoczny na porcie przełącznika,
• nie ma przypisanego IP w DHCP,
• nie odpowiada na ping,

może oznaczać urządzenie pracujące jako most/przedłużka (np. sprzęt podsłuchowy wpięty między PC a gniazdko). Wtedy dalszy krok to sprawdzenie portu fizycznie – zwykle kończy się to odnalezieniem małego pudełka za biurkiem lub w korytku kablowym.

Analiza ARP, MAC i logów przełączników – podsłuch zdradza się na warstwie 2

ARP jako lupka do lokalnej podsieci

Tablice ARP na routerach i hostach pokazują, które adresy IP są powiązane z jakimi MAC-ami w danej podsieci. Przydaje się to zwłaszcza tam, gdzie:

• część urządzeń ma statyczne IP,
• DHCP obsługuje tylko fragment hostów,
• nie ma centralnego zarządzania adresacją.

Prosty schemat użycia ARP:

1. Na routerze brzegowym lub głównym routerze VLAN-u zrzucić tablicę ARP (show arp / ip neigh).
2. Na kilku reprezentatywnych stacjach roboczych (np. w różnych działach) wykonać:

   arp -a

   i zapisać wyniki.

3. Zebrać całość do jednego pliku i porównać z:
   • listą z DHCP,
   • tablicami MAC przełączników.

Adresy IP, które pojawiają się w ARP, ale nie istnieją w DHCP, a ich MAC-y są nieznane, to kandydaci do dalszej analizy. Jeśli dodatkowo ich producent MAC pasuje do routerów SOHO czy sprzętu IoT, łatwo trafić na nielegalny most lub „inteligentną” wtyczkę robiącą podsłuch.

Port security i limity MAC jako tani detektor

Wiele nawet niedrogich przełączników zarządzalnych ma funkcję port security lub limitu liczby MAC na port. To prosty sposób, by wykrywać sytuacje, w których ktoś podłącza własny switch lub sprzęt podsłuchowy.

Przykładowa konfiguracja (logika, nie konkretne komendy):

• na portach „do biurek” ustawić limit 1–2 MAC,
• włączyć logowanie przekroczeń (syslog, SNMP trap),
• jako akcję ustawić np. restrict (blokuj nadmiarowe MAC, loguj zdarzenie), nie od razu shutdown, żeby nie wycinać całych pokoi przy drobnych zmianach.

Jeżeli nagle port, który zwykle widzi jednego MAC-a (komputer), zaczyna widzieć pięć różnych MAC-ów, przełącznik wygeneruje alarm. To sygnał, że ktoś:

• wpiął kolejny przełącznik,
• podmienił urządzenie,
• zainstalował podsłuch dedykowany do przełączania ruchu wielu hostów.

Port security to funkcja „za darmo”, jeśli przełącznik ją posiada. Wymaga tylko odrobiny pracy konfiguracyjnej i monitoringu logów, ale w zamian działa jak prosty system NAC na poziomie portu.

Logi przełączników – czego w nich szukać

Logi przełączników – czego w nich konkretnie szukać

Logi przełączników są często traktowane jak tło szumu, a to tam pojawiają się pierwsze ślady kombinacji na warstwie 2. Bez osobnego SIEM-a da się z nich wycisnąć całkiem sporo, o ile wiadomo, czego szukać.

Najbardziej przydatne kategorie zdarzeń:

• Zmiany stanu portu (link up/down) – seria krótkich przerw na tym samym porcie często towarzyszy podpinaniu „czegoś po drodze” między komputer a gniazdko.
• Przekroczenia limitu MAC / zdarzenia port security – każdy komunikat o zablokowaniu nowego MAC-a, naruszeniu limitu czy wejściu portu w err-disable to sygnał, że topologia na końcu kabla się zmieniła.
• Zmiany VLAN na porcie (dynamiczne przypisanie, błędne tagowanie) – niektóre podsłuchy potrafią bawić się tagami VLAN, szczególnie jeśli celują w podsłuch między dwoma segmentami.
• BPDU / STP – nagłe pojawienie się ramek BPDU z nieznanego urządzenia może oznaczać, że ktoś podłączył własny switch, który próbuje dogadać się w ramach Spanning Tree.

Przy ograniczonych zasobach nie ma sensu budować od razu pełnej analizy korelacyjnej. Na start wystarczy:

1. Skonfigurować wysyłanie logów na prosty serwer syslog (może być nawet mały Linux/FreeBSD na VM). Najtańszy wariant: rsyslog/syslog-ng + rotacja plików.
2. Ustawić w przełącznikach poziom logowania tak, żeby złapać:
   • port security,
   • link up/down,
   • STP/BPDU,
   • zmiany w konfiguracji portów.
3. Napisać prosty skrypt z grepem lub użyć gotowych filtrów w syslogu, które codziennie rano wyślą na maila listę „podejrzanych” komunikatów, np.:

   grep -Ei 'port-security|errdisable|MAC|STP|BPDU' /var/log/switches.log

Kiedy pojawi się powtarzający się wzór – np. port w księgowości trzy razy dziennie przechodzi przez link down/up, a jednocześnie rośnie liczba MAC-ów – to moment, żeby ten port oznaczyć jako wymagający oględzin w terenie.

ARP spoofing i inne anomalie na sąsiedztwie warstwy 2

Sprzęt podsłuchowy nie zawsze tylko „siedzi w kablu”. Część urządzeń aktywnie manipuluje tablicami ARP (ARP spoofing/poisoning), żeby przekierować ruch przez siebie. To często widać, nawet bez specjalistycznych narzędzi.

Najprostsza metoda wykrycia anomalii ARP:

1. Z poziomu kilku hostów w tej samej podsieci uruchomić krótkie monitorowanie ARP, np.:

   arp -a > arp_baseline.txt
   # po kilku dniach:
   arp -a > arp_current.txt
   diff arp_baseline.txt arp_current.txt

2. Zwracać uwagę na sytuacje, gdy:
   • jeden adres IP zmienia MAC na inny producenta (np. brama nagle ma MAC TP-LINK zamiast Cisco),
   • adres bramy ma inny MAC na różnych hostach w tym samym VLAN-ie.

Na routerach i przełącznikach L3 część producentów oferuje funkcje w stylu Dynamic ARP Inspection czy IP Source Guard. W wersji „budżetowej” nie trzeba ich od razu masowo wdrażać – wystarczy włączyć je testowo na newralgicznych VLAN-ach (np. w dziale finansowym) i obserwować raporty o odrzuconych pakietach ARP. To często pierwszy konkretny ślad, że ktoś próbuje wpiąć się aktywnie w ruch.

Nie mylić podsłuchu z chaosem – jak odsiać „szum tła”

Nie każde dziwne zdarzenie na warstwie 2 oznacza od razu podsłuch. W wielu firmach „nieautoryzowane” MAC-y pochodzą z:

• tymczasowych switchy montażystów lub ekip serwisowych,
• prywatnych access pointów pracowników („żeby Wi‑Fi lepiej łapało”),
• drukarek przewijanych między pokojami bez zgłoszenia do IT,
• telewizorów, dekoderów czy odtwarzaczy w salach konferencyjnych.

Dobrze jest zbudować sobie prosty podział anomalii na kategorie:

• Chaotyczne, ale nieszkodliwe – ruchome drukarki, TV, małe switche pod biurkami zgłoszone przez dział utrzymania.
• Potencjalnie niebezpieczne – prywatne routery Wi‑Fi, access pointy w trybie routera, urządzenia z NAT-em.
• Wysoce podejrzane – transparentne mosty bez DHCP, brak odpowiedzi na ping, nieznany producent MAC, obecność tylko jako „przejściówka” w tabeli MAC.

Z praktyki: prywatny router Wi‑Fi, który robi NAT i własną podsieć 192.168.x.x, to już poważne ryzyko. Z kolei tani switch 5-portowy pod biurkiem – wkurzający z punktu widzenia porządku, ale niekoniecznie podsłuch. Reakcja powinna być inna w obu przypadkach: od edukacji i przeniesienia sprzętu po formalne zgłoszenie incydentu.

Od wykrycia do namierzenia fizycznego – praca „w terenie”

Mapowanie portu do rzeczywistego miejsca w budynku

Sam wpis w logach czy tablicy MAC nikogo jeszcze nie odnajdzie. Trzeba przełożyć go na konkretne biurko, szafę rackową albo salę konferencyjną. Im gorsza dokumentacja okablowania, tym więcej biegania po korytarzach.

Podstawowy schemat, który zwykle wystarcza:

1. Na przełączniku odnaleźć port z podejrzanym MAC-em (show mac address-table | include <MAC>).
2. Sprawdzić opis portu w konfiguracji (description) – jeśli był rzetelnie prowadzony, często tam już jest numer gniazdka lub pokój.
3. Jeśli opisów brak, wykonać szybki test:
   • poprosić użytkownika o odłączenie kabla od komputera,
   • patrzeć w logi przełącznika, który port zgłasza link down.
4. Gdy kilka gniazdek jest w jednym pomieszczeniu, a brak oznaczeń – najprościej:
   • oznaczyć taśmą i numerkiem każdy port,
   • sprawdzić po kolei, który port na przełączniku reaguje na podłączanie/odłączanie.

W wielu biurach takie „dochodzenie” wychodzi przy okazji braków w dokumentacji i kończy się mini-projektem: porządkowanie opisów portów i gniazd. To jednorazowy wysiłek, który później skraca każdą następną akcję poszukiwawczą o godziny.

Proste metody lokalizacji urządzenia na kablu

Gdy wiadomo już, który port na przełączniku jest problematyczny, zostaje odpowiedź na pytanie: co dokładnie wisi na końcu. Nawet bez drogiego miernika da się to zrobić względnie szybko.

Kilka kroków, które zwykle wystarczają:

• Podgląd diod na porcie – dużo krótkich mignięć, nawet gdy użytkownik nie pracuje aktywnie, może oznaczać urządzenie przełączające ruch (switch, router, podsłuch z funkcją mostu).
• Odłączenie kabla w szafie i sprawdzenie, co przestało działać:
  • jeżeli pada tylko komputer – najpewniej bezpośrednie połączenie,
  • jeżeli przestaje działać kilka stanowisk lub dodatkowe urządzenia – na końcu jest kolejny element sieci.
• Szybki „ping flood” testowy (np. ping -t / ping -f w granicach rozsądku) i obserwacja aktywności diod – jeśli przy intensywnym ruchu dioda na porcie świeci dużo mocniej niż zwykle, można podejrzewać, że „po drodze” coś przełącza ruch dalej.

Jeżeli firma może sobie pozwolić na jeden niedrogi tester okablowania z funkcją tonera, praca w terenie jest jeszcze szybsza. Najpierw namierza się kabel w korytku lub patchpanelu, potem po prostu patrzy, co fizycznie wisi na jego końcu. Jeden taki zestaw na całą firmę jest zwykle tańszy niż godziny pracy poświęcone na zgadywanie.

Jak rozpoznać, że „klocek” wpięty w kabel to podsłuch, a nie zwykły switch

Na pierwszy rzut oka małe urządzenia między komputerem a gniazdkiem potrafią wyglądać podobnie: mała czarna skrzynka, dwa porty RJ-45, brak oznaczeń albo logo egzotycznego producenta. Kilka praktycznych wskazówek różnicujących:

• Liczba portów i zachowanie LED:
  • typowy switch ma przynajmniej 5 portów, z niezależnymi diodami,
  • „kostki” podsłuchowe często mają tylko 2–3 porty, czasem schowane, a diody świecą w sposób trudny do zinterpretowania (np. jedna wspólna dioda dla wszystkiego).
• Zasilanie:
  • podsłuch może być zasilany z PoE lub mieć bardzo mały, nietypowy zasilacz,
  • część urządzeń bierze minimalny prąd z linii danych – brak klasycznego gniazda zasilania.
• Obecność radia:
  • jeśli w okolicy pojawia się dodatkowa sieć Wi‑Fi o dziwnej nazwie, może to być podsłuch z radiem,
  • w warunkach polowych można użyć zwykłego smartfona z aplikacją do skanowania Wi‑Fi i sprawdzić, czy w pobliżu „podejrzanego klocka” sygnał nie rośnie gwałtownie.
• Opis w systemie:
  • po sprawdzeniu MAC-a w bazie OUI można trafić na producenta, który nie kojarzy się z klasycznym sprzętem sieciowym, a z „urządzeniami do monitoringu”,
  • czasem nazwa producenta lub modelu po szybkim wyszukaniu ujawnia, że to sprzęt do testów penetracyjnych czy wręcz gotowy zestaw do podsłuchu.

W razie wątpliwości nie ma sensu rozkręcanie urządzenia na biurku użytkownika. Bezpieczniej jest odłączyć „klocek”, podłączyć komputer bezpośrednio do gniazdka (przywrócić łączność), a samo urządzenie zabezpieczyć jako potencjalny dowód i przekazać dalej – do osoby odpowiedzialnej za bezpieczeństwo lub właściciela firmy.

Polowanie cykliczne, nie jednorazowa akcja – jak zautomatyzować minimum

Prosty cykl kontroli – harmonogram zamiast „akcji specjalnej”

Jednorazowe przeczesanie sieci wyłapie bieżące problemy, ale nic nie da, jeśli miesiąc później ktoś wpiął nowy router z marketu. Skuteczniejsze jest wpisanie podstawowych kroków w stały rytm pracy.

Minimalny cykl, który da się utrzymać nawet w małej firmie:

• Raz w tygodniu:
  • zrzut listy DHCP i szybkie porównanie z inwentaryzacją (np. prostym skryptem diff),
  • przejrzenie skróconego raportu z sysloga przełączników pod kątem port security i nietypowych link up/down.
• Raz w miesiącu:
  • eksport tablic MAC z głównych przełączników i porównanie z archiwalną wersją,
  • krótkie skanowanie priorytetowych VLAN-ów nmapem z naciskiem na nowe IP.
• Raz na pół roku:
  • przegląd opisów portów i aktualizacja dokumentacji okablowania,
  • testowe włączenie bardziej restrykcyjnych ustawień port security na wybranych segmentach.

Takie „małe, ale regularne” kroki nie wymagają dodatkowego etatu. Część zadań da się zautomatyzować na poziomie prostych skryptów bash/PowerShell, które rano wysyłają maila z różnicą względem poprzedniego tygodnia.

Automatyzacja dla oszczędnych – skrypty zamiast drogich systemów NAC

Pełny system NAC z integracją AD, portalem gościnnym i politykami jest poza zasięgiem wielu małych firm. Do wykrywania nieautoryzowanych urządzeń często wystarczy kilka skryptów i darmowe narzędzia.

Przykładowe elementy takiej „składanki”:

• Skrypt do zbierania DHCP/MAC/ARP:
  • na serwerze Linux zbierającym logi:

    ssh admin@switch "show mac address-table" > mac_switch1.txt
    ssh admin@router "show arp" > arp_router.txt
    scp dhcp:/var/lib/dhcp/dhcpd.leases ./dhcp_leases.txt

  • następnie prosty parser łączący dane po MAC/IP i dodający informacje o producencie OUI.
• Nowe MAC-y na maila:
  • skrypt porównuje bieżącą listę MAC z listą „znanych dobrych” i wysyła raport tylko z różnicami,
  • raport może od razu oznaczać MAC-y producentów typu TP-LINK, Tenda, Mercusys, Xiaomi jako „wysoki priorytet do sprawdzenia”.
• Prosty interfejs webowy (opcjonalnie):
  • nawet najprostszy panel w PHP/Flask, który prezentuje aktualną mapę: MAC → switch/port/VLAN/ostatnia aktywność,
  • przy umiarkowanej liczbie hostów można to utrzymywać ręcznie, bez bazy danych klasy enterprise.

Najważniejsze wnioski

• Podsłuch w małej firmie to najczęściej tanie, niepozorne urządzenie wpięte w zwykłe gniazdko (mini-router, access point, Raspberry Pi), a nie zaawansowany „sprzęt szpiegowski”.
• Nieautoryzowany sprzęt w sieci jest groźniejszy niż zwykłe malware na jednym komputerze, bo widzi i może filtrować ruch wielu urządzeń naraz, pozostając często poza radarami antywirusa.
• Najwięcej problemów robią „udogodnienia” wprowadzane przez ludzi: prywatne routery i switche z marketu, wpinane „żeby było więcej portów” albo „lepsze Wi‑Fi”, które otwierają drogę do podsłuchu całej sieci.
• Sprzęt biurowy i IoT (drukarki, projektory, systemy wideokonferencyjne, klimatyzacja, alarmy) potrafi stać się tylnymi drzwiami do sieci przez włączone przypadkiem hotspoty, domyślne hasła i brak aktualizacji.
• Słabo kontrolowane miejsca – sale konferencyjne, gniazdka dla gości, porty w korytarzach i magazynach – są naturalnymi punktami podpięcia ukrytych urządzeń, bo nikt ich na co dzień nie pilnuje.
• Atak może wynikać zarówno ze złej woli (szpiegostwo, były wspólnik), jak i ze zwykłej nieświadomości pracownika czy podwykonawcy, który „na chwilę coś podłączył”, a później wszyscy o tym zapomnieli.
• Już proste działania organizacyjne (zakaz prywatnych routerów, ewidencja sprzętu, okresowy przegląd gniazdek i sal konferencyjnych) znacząco ograniczają ryzyko podsłuchu przy niewielkim koszcie.

Źródła informacji

• NIST Special Publication 800-115: Technical Guide to Information Security Testing and Assessment. National Institute of Standards and Technology (2008) – Metody testów bezpieczeństwa sieci, sniffing, MITM, analiza ruchu
• NIST Special Publication 800-153: Guidelines for Securing Wireless Local Area Networks (WLANs). National Institute of Standards and Technology (2012) – Zalecenia dot. zabezpieczania Wi‑Fi, AP, sieci gościnnych i punktów dostępowych
• ISO/IEC 27033-1: Network security – Part 1: Overview and concepts. International Organization for Standardization (2015) – Koncepcje bezpieczeństwa sieci, zagrożenia w LAN, nieautoryzowane urządzenia