Cum să creezi un script pentru filtrare MAC-uri și logare pe UDP pe un anume port

Navigarea prin complexitatea securității cibernetice poate fi o provocare, mai ales când vine vorba de protejarea infrastructurii de rețea. Unul dintre primele rânduri de apărare, adesea subestimat, este controlul accesului la nivel hardware. Filtrarea adreselor MAC, deși nu este o soluție absolută, reprezintă un pas fundamental în consolidarea securității rețelei tale. Atunci când este combinată cu un mecanism de logare și alertare în timp real, precum transmiterea de mesaje pe UDP către un port specific, devine un instrument puternic în arsenalul oricărui administrator de sistem sau pasionat de tehnologie.

Acest articol te va ghida pas cu pas prin procesul de dezvoltare a unui script Bash ingenios. Vei învăța cum să detectezi și să identifici dispozitivele neautorizate care încearcă să se conecteze la rețeaua ta și cum să trimiți notificări instantanee către un server de logare extern. Ne vom concentra pe implementarea practică, oferind exemple clare și explicații detaliate pentru fiecare componentă. Pregătește-te să transformi cunoștințele tale despre Linux și securitate într-un sistem de monitorizare proactiv și eficient!

De Ce Avem Nevoie de Filtrare MAC și Logare UDP? 🛡️

Înainte de a ne scufunda în cod, să înțelegem motivația din spatele acestei abordări.

Filtrarea Adreselor MAC: Un Prim Rând de Apărare

Adresa MAC (Media Access Control) este un identificator unic atribuit fiecărei plăci de rețea. La nivel fundamental, filtrarea MAC presupune permiterea accesului la rețea doar pentru echipamentele ale căror adrese MAC sunt predefinite și aprobate. Gândește-te la ea ca la o listă albă de invitați la o petrecere: doar cei incluși pe listă au voie să intre.

• Controlul Accesului: Restricționează accesul la resursele rețelei pentru echipamentele necunoscute sau nedorite. Este utilă în medii de birou mici, acasă, sau în rețele IoT unde numărul de dispozitive este finit și cunoscut.
• Reducerea Suprafeței de Atac: Prin limitarea numărului de dispozitive care se pot conecta, scade probabilitatea ca un atacator să își conecteze propriul echipament pentru a începe o incursiune.
• Simplitate: Este o metodă relativ ușor de configurat, mai ales pentru rețele cu cerințe de securitate moderate.

Este important de menționat că filtrarea MAC nu este o măsură de securitate infailibilă. Adresele MAC pot fi „spoof-uite” (falsificate) de către atacatori experimentați. Cu toate acestea, ea rămâne o barieră inițială eficientă împotriva intrușilor ocazionali sau a utilizatorilor neautorizați care nu dețin cunoștințe tehnice avansate.

Logarea UDP: Alertare în Timp Real și Agregare

Logarea este esențială pentru orice strategie de securitate. Atunci când ceva neobișnuit se întâmplă, vrei să știi imediat. Logarea UDP oferă un mecanism ușor și rapid pentru a trimite mesaje de alertă către un server centralizat.

• Viteză și Eficiență: UDP (User Datagram Protocol) este un protocol fără conexiune, ceea ce îl face extrem de rapid și cu o latență redusă. Nu există handshake-uri, ceea ce reduce overhead-ul.
• Notificări Imediate: Orice detectare a unui dispozitiv neautorizat poate declanșa o alertă UDP, care poate fi ulterior procesată de un sistem de gestionare a evenimentelor și informațiilor de securitate (SIEM) sau de un simplu script de monitorizare.
• Centralizare: Permite agregarea logurilor de la multiple puncte ale rețelei într-o singură locație, facilitând analiza și răspunsul rapid.

Combinând filtrarea MAC cu logarea UDP, obții nu doar o barieră de acces, ci și un sistem proactiv care te anunță când acea barieră este testată sau depășită. Este o abordare inteligentă pentru o monitorizare eficientă a rețelei.

Instrumentele Noastre de Lucru 🛠️

Pentru a construi acest sistem, vom utiliza o serie de unelte standard disponibile pe majoritatea distribuțiilor Linux:

• Bash: Limbajul nostru de scripting. Puternic, flexibil și ideal pentru automatizări în medii Linux.
• Iptables: Firewall-ul din Linux, care ne permite să gestionăm regulile de filtrare la nivel de pachet, inclusiv pe baza adreselor MAC. Deși vom folosi o abordare alternativă pentru a detecta MAC-urile active și a trimite loguri, iptables este esențial pentru blocarea efectivă a traficului dacă se dorește o implementare rigidă.
• Netcat (nc) sau Socat: Aceste utilitare sunt „cuțitul elvețian” pentru lucrul cu rețele. Le vom folosi pentru a trimite pachete UDP către serverul de logare.
• ip neighbor show (sau arp -a): Comenzi esențiale pentru a vizualiza tabelul ARP (Address Resolution Protocol), care mapează adresele IP la adresele MAC. Astfel putem descoperi ce dispozitive sunt active în rețea.
• grep, awk, sed: Utilitare clasice Unix pentru filtrarea, prelucrarea și manipularea textului. Indispensabile pentru a extrage informațiile dorite din output-ul comenzilor.
• Cron: Serviciul de planificare a sarcinilor în Linux. Ne va permite să rulăm scriptul nostru automat la intervale regulate.
• logger: O comandă utilă pentru a trimite mesaje către jurnalul de sistem (syslog), asigurând o înregistrare locală a evenimentelor.

Pașii pentru Crearea Scriptului 📜

Să trecem la partea practică. Vom construi scriptul pas cu pas, explicând fiecare componentă.

Pasul 1: Identificarea MAC-urilor Permise

Primul lucru este să știm ce echipamente au voie să se conecteze. Creează un fișier simplu, de exemplu /etc/allowed_macs.txt, și adaugă în el fiecare adresă MAC permisă, pe o linie separată. Asigură-te că formatul este consistent (ex: XX:XX:XX:XX:XX:XX).

# Exemplu: /etc/allowed_macs.txt
AA:BB:CC:DD:EE:F1
12:34:56:78:90:AB
DE:AD:BE:EF:00:00

Acest fișier va servi drept referință pentru scriptul nostru.

Pasul 2: Definirea Parametrilor de Logare UDP

Avem nevoie să știm unde să trimitem mesajele UDP și pe ce port. Alege o adresă IP de destinație (serverul de logare) și un port UDP specific, care nu este în uz de către alte servicii importante (ex: 5140, 5514, etc., evitați portul 514, standard pentru syslog, dacă nu vrei să se confunde cu traficul obișnuit syslog).

DEST_IP="192.168.1.100"    # Adresa IP a serverului de logare
UDP_PORT="5140"            # Portul UDP pe care va asculta serverul
LOG_TAG="MAC_Security_Alert" # Un identificator pentru mesajele noastre

Pasul 3: Logica Principală a Scriptului (Detectare și Logare)

Acum construim inima scriptului. Acesta va parcurge următoarele etape:

1. Va colecta adresele MAC ale echipamentelor active din rețea.
2. Va compara aceste adrese cu lista celor permise.
3. Dacă detectează o adresă MAC nepermisă, va înregistra evenimentul local (syslog) și va trimite o alertă UDP.
4. Va păstra o listă temporară a MAC-urilor deja alertate pentru a evita repetarea inutilă a mesajelor.

Creează un fișier nou, de exemplu /usr/local/bin/mac_monitor.sh, și adaugă următorul conținut:

#!/bin/bash

# Fișierul cu adresele MAC permise
ALLOWED_MACS_FILE="/etc/allowed_macs.txt"

# Parametrii pentru serverul de logare UDP
DEST_IP="192.168.1.100"
UDP_PORT="5140"
LOG_TAG="MAC_Security_Alert"

# Fișier temporar pentru MAC-urile neautorizate deja logate (pentru a evita repetițiile)
TEMP_LOGGED_MACS_FILE="/tmp/logged_unauthorized_macs.txt"
# Se inițializează fișierul temporar dacă nu există
[ ! -f "${TEMP_LOGGED_MACS_FILE}" ] && touch "${TEMP_LOGGED_MACS_FILE}"

# Funcție pentru trimiterea mesajelor UDP
send_udp_log() {
    local message="$1"
    # Folosim netcat, timeout de 1 secundă
    echo "${LOG_TAG}: ${message}" | nc -u -w 1 "${DEST_IP}" "${UDP_PORT}" &> /dev/null
    # Alternativ, pentru socat:
    # echo "${LOG_TAG}: ${message}" | socat - UDP:${DEST_IP}:${UDP_PORT} &> /dev/null
}

# Obținem adresele MAC ale echipamentelor active din tabelul ARP (ip neighbor este preferabil)
# Filtrăm stările relevante (REACHABLE, STALE, DELAY) și extragem adresa MAC
ACTIVE_MACS=$(ip neighbor show | awk '/(REACHABLE|STALE|DELAY)/ {print $5}')

# Iterăm prin fiecare adresă MAC activă
for mac in ${ACTIVE_MACS}; do
    # Ignorăm adresele MAC multicast, broadcast sau invalide
    if [[ "$mac" == "ff:ff:ff:ff:ff:ff" || "$mac" == "00:00:00:00:00:00" || -z "$mac" ]]; then
        continue
    fi

    # Verificăm dacă adresa MAC este în lista celor permise
    if ! grep -q -i "${mac}" "${ALLOWED_MACS_FILE}"; then
        # Adresa MAC nu este permisă. Verificăm dacă am logat-o deja recent
        if ! grep -q -i "${mac}" "${TEMP_LOGGED_MACS_FILE}"; then
            # Determinăm interfața pe care a fost detectat MAC-ul (opțional, pentru mai multe detalii)
            INTERFACE=$(ip link show | grep -B 1 "${mac}" | head -n 1 | awk '{print $2}' | sed 's/:$//')
            
            MESSAGE="Adresă MAC neautorizată detectată: ${mac}. Pe interfața: ${INTERFACE:-Necunoscută}"
            
            logger -t "${LOG_TAG}" "${MESSAGE}" # Logare locală în syslog
            send_udp_log "${MESSAGE}"          # Trimitere alertă UDP

            # Adăugăm MAC-ul la lista temporară pentru a evita logarea repetată
            echo "${mac}" >> "${TEMP_LOGGED_MACS_FILE}"
        fi
    fi
done

# Curățăm fișierul temporar (ex: ștergem intrările mai vechi de N ore/zile)
# O metodă simplă este să ștergem fișierul și să-l recreăm la un interval mai mare (ex: zilnic printr-un cron separat)
# sau să implementăm o logică mai complexă cu timestamp-uri.
# Pentru acest exemplu, îl lăsăm așa și ne bazăm pe un cronjob separat pentru o curățare ocazională dacă e necesar.

# Alternativ, pentru o curățare simplă la fiecare rulare (dacă vrei alerte continue):
# > "${TEMP_LOGGED_MACS_FILE}"

Acordă drepturi de execuție scriptului: chmod +x /usr/local/bin/mac_monitor.sh.

Pasul 4: Programarea Scriptului cu Cron ⏰

Pentru ca scriptul să ruleze automat la intervale regulate, vom folosi cron. Editează tabelul cron al utilizatorului root (sau al unui utilizator cu permisiuni suficiente):

sudo crontab -e

Adaugă următoarea linie la sfârșitul fișierului pentru a rula scriptul în fiecare minut (pentru testare) sau la un interval mai mare (ex: la fiecare 5 minute) în producție:

# Rulează scriptul de monitorizare MAC la fiecare 5 minute
*/5 * * * * /usr/local/bin/mac_monitor.sh

Sintaxa cron este minut oră zi_lună lună zi_săptămână comandă. */5 înseamnă „la fiecare 5 minute”. Ajustează frecvența în funcție de nevoile tale.

Pasul 5: Configurarea Receptorului UDP (Log Server) 🖥️

Pe serverul de destinație (DEST_IP, ex: 192.168.1.100), trebuie să existe un serviciu care să asculte pe portul UDP definit (ex: 5140) și să proceseze mesajele primite.

Pentru Testare Rapidă:

Poți folosi netcat pentru a testa dacă mesajele ajung:

nc -ul 5140

Acest lucru va face ca netcat să asculte pe portul 5140 pentru conexiuni UDP (-u) și să le afișeze pe ecran (-l pentru listen). Dacă scriptul trimite o alertă, o vei vedea aici.

Pentru o Soluție Robustă:

Într-un mediu de producție, vei dori un serviciu de logare dedicat, cum ar fi rsyslog sau syslog-ng, configurat să asculte pe portul respectiv. Alternativ, poți crea un script Python simplu.

Exemplu de configurare rsyslog (pe serverul de log):

Adaugă în fișierul /etc/rsyslog.conf sau într-un fișier separat din /etc/rsyslog.d/ (ex: /etc/rsyslog.d/mac_udp.conf) următoarele linii:

# Activează primirea de loguri UDP
module(load="imudp")
input(type="imudp" port="5140")

# Salvează mesajele de la sursa MAC_Security_Alert într-un fișier separat
if $syslogtag == "MAC_Security_Alert:" then /var/log/mac_security.log
& stop # Oprește procesarea ulterioară pentru aceste mesaje

Nu uita să repornești serviciul rsyslog după modificări: sudo systemctl restart rsyslog. Acum, toate alertele trimise de scriptul tău vor fi salvate în /var/log/mac_security.log.

Considerații de Securitate și Îmbunătățiri 🛡️

Acest script oferă o fundație solidă, dar securitatea este un proces continuu. Iată câteva aspecte de care trebuie să ții cont și posibile îmbunătățiri:

• MAC Spoofing: Reiterez, un atacator determinat poate falsifica adresa MAC a unui dispozitiv permis. Acest script detectează MAC-uri necunoscute, nu neapărat MAC-uri spooferite (deși o adresă MAC spoof-uită a unuia dintre echipamentele permise nu ar genera alertă, una spoof-uită care nu e în lista permiselor ar genera). Complementează filtrarea MAC cu măsuri de securitate mai avansate, cum ar fi autentificarea 802.1X, segmentarea rețelei și politici de parolă puternice.
• Blocare Activă cu Iptables: Dacă dorești o acțiune mai drastică, poți integra comenzi iptables în script pentru a bloca imediat traficul de la MAC-urile neautorizate. Fii precaut cu această abordare, deoarece o configurație incorectă poate duce la blocarea accesului legitim.

  
      # Exemplu de blocare cu iptables (adăugată în script, după logare)
      # sudo iptables -A INPUT -m mac --mac-source "${mac}" -j DROP
      # sau
      # sudo iptables -A FORWARD -m mac --mac-source "${mac}" -j DROP
      

• Criptarea Traficului UDP: UDP nu oferă implicit confidențialitate. Dacă alertele conțin informații sensibile și trec prin rețele nesigure, gândește-te la criptarea traficului folosind un VPN sau IPsec, deși aceasta adaugă complexitate.
• Managementul Fișierului Temporar: Fișierul /tmp/logged_unauthorized_macs.txt va crește în timp. Implementează o strategie de curățare, de exemplu, un cronjob separat care să-l golească zilnic sau să ștergă intrările mai vechi de o anumită dată/oră.
• Scalabilitate: Pentru rețele foarte mari, scanarea constantă a tabelului ARP poate deveni o provocare pentru performanță. În astfel de cazuri, soluțiile de monitorizare la nivel de switch (ex: port mirroring și analizoare de trafic) sunt mai adecvate.
• Integrare SIEM: Conectează serverul de logare la un sistem SIEM pentru analize avansate, corelare de evenimente și generare de alerte automate (e-mail, SMS).

Această soluție oferă un strat suplimentar de securitate și vizibilitate, esențial într-un peisaj digital în continuă evoluție. Prin automatizarea detectării și alertării, îți eliberezi timp prețios și îmbunătățești reziliența rețelei tale.

Opiniile cu privire la eficacitatea filtrării MAC variază, dar datele reale ne oferă o perspectivă nuanțată. Deși studiile la nivel industrial, precum Raportul de Investigație a Încălcărilor de Date (DBIR) de la Verizon din 2022, subliniază că majoritatea breșelor majore rezultă din erori umane, phishing și exploatarea vulnerabilităților software, minimizând rolul atacurilor la nivelul 2, statistici interne din cadrul întreprinderilor mici și mijlocii (IMM-uri) arată o realitate diferită. Pentru aceste entități, unde resursele de securitate sunt limitate, un număr considerabil de tentative de acces neautorizat sunt prevenite prin măsuri simple, cum ar fi filtrarea MAC, mai ales împotriva „intrușilor ocazionali” sau a dispozitivelor nepermise conectate de angajați fără intenții malițioase. Prin urmare, deși nu este un panaceu, filtrarea MAC, cuplată cu un sistem de alertare, rămâne o măsură de securitate valoroasă și accesibilă, în special pentru a gestiona riscuri specifice și a descuraja atacurile la nivel de oportunitate.

Concluzie 🎉

Felicitări! Ai parcurs un ghid detaliat despre cum să creezi un script Bash pentru filtrarea MAC-urilor și logare UDP. Ai învățat cum să identifici echipamentele neautorizate și să primești notificări în timp real, consolidând astfel securitatea rețelei tale.

Această soluție, deși simplă în concept, este puternică în execuție. Îți oferă control sporit și o vizibilitate clară asupra activității din rețea. Nu uita, securitatea este un drum, nu o destinație. Experimentează cu scriptul, adaptează-l nevoilor tale specifice și explorează îmbunătățirile sugerate pentru a-ți fortifica și mai mult infrastructura digitală.

Prin automatizarea acestor sarcini repetitive, transformi un proces manual și adesea omis într-un sistem de monitorizare proactivă. Aceasta este esența automatizării în Linux: să faci tehnologia să lucreze pentru tine, oferindu-ți liniște și securitate sporită.