Identificazione del traffico sospetto

Giann beh ma se è su una VLAN non puoi fare il log solo dell'interfaccia della VLAN?

Nella VLAN tra telecamere e allarme ci sono circa 40 device, che partono tutti dalla stessa porta quindi non mi cambierebbe molto.

Giann Ora non so come funzioni il tuo firewall però

Il firewall lo gestisce sempre il CGU ed essendo un'abitazione non ci sono regole particolari, c'è un blocco del routing tra le 4 VLAN con delle eccezioni per dei device specifici e un blocco verso le interfacce dei device di rete, con qualche regola poi di port forwarding per cose come appunto NVR / allarme e domotica.

Rekko Ma è un NVR Cloud?
Se la risposta è no,è abbastanza preoccupante come roba

Infatti la risposta è no e per questo voglio indagar.
Avevo ipotizzato anche che magari fosse traffico LAN che venisse conteggiato per via di come è strutturata la rete, ma ho già escluso la cosa dopo aver analizzato le statistiche di ogni porta e client.

GusEdgestream L’unico modo per capire il traffico anomalo é loggare dal gateway le connessioni che fa con l’ip di destinazione, la durata e quante volte.

È quello che vorrei provare a fare, ma cercavo un modo di farlo senza dover collegar fisicamente l'NVR a una porta dedicata del gateway semplicemente filtrando la mia richiesta di TCPDump.
Anche per aver la possibilità di loggar magari per un periodo di tempo maggiore.

microchip1967 Non è che è stata attivata la funzione P2P del DVR?
microchip1967 Verifica anche nel log del DVR se vi è qualcuno costantemente collegato
Altra cosa da verificare se nella configurazione del NVR non sia stato settato di salvare gli eventi su esterno, come pure verificare (sempre dal NVR) di aver instalalto l'ultima versione disponibile

Come ho detto prima, l'NVR non è stato installato da me e non ho accesso a nessun parametro, io ho solamente consegnato una porta sullo switch configurata come richiestomi, con VLAN dedicata.
Non vedo comunque motivo per cui dovrebbe esserci attivato un P2P sull'NVR visto registra su se stesso ecco, in un'impianto analogo (stesso installatore / brand, solo meno device) tutto questo non avviene, per questo mi sento di escludere configurazioni particolari.

microchip1967 Io tutti i DVR che ho installato li ho sempre messi su vlan separate e l'accesso avviene solo con una VPN
ALtro "trucchetto" per evitare che il DVR vada in internet è modificare il gateway.

Sempre per il motivo sopra, mi è stato chiesto di aprir la porta di default che usano per l'accesso via app.

m1k4bz Che marca è l'impianto TVCC?

Dahua, installato giusto da qualche mese quindi modello recente e tutto, non ti so dire di preciso il modello ora come ora.

m1k4bz I marchi più noti HIKVISION, DAHUA, TWT, usano server in UE, e backup con quelli in Asia, in questo caso, inviano spot immagini solo in quello UE ma non in quello extraUE.

Infatti è quello che noto, un continuo flusso tra Germania e Irlanda.

m1k4bz nviano solo log di connessione online/offline e live quando un utente lo visualizza da remoto.

Capisco l'invio di log e tutto però mi sembra eccessivo 10GB al giorno.

m1k4bz Hikvision e dahua, i migliori brand sul mercato, hanno avuto un lotto di nvr che inviavano i video live sul server e non si sà il perchè... Molte volte bastava staccare l'impianto dalla corrente e riattaccarlo per farsì che non inviasse più nulla...

Credo sia quello che sta succedendo, proverò a chiedere di far cosi e vedrò se cambia qualcosa.

Per ora sono riuscito a fare un TCPDump isolando il client e l'ho caricato su Wireshark, quello che sono riuscito a capire per ora è che continua a comunicare con appunto dei datacenter in Germania e Irlanda, che però sono di proprietà di società Cinesi (AliCloud/Huawei) o Singapore.
Il comando che ho usato è stato sudo tcpdump -i switch0.30 src IPNVR -c 100000 -w dump.pcap, essendo 30 la VLAN dove si trova l'NVR.
Una volta caricato su Wireshark non noto un'IP particolare che ha maggioranza di traffico masvariati tutti riconducibili ai datacenter che indicavo prima in Germania e Irlanda, ve ne lascio alcuni per darvi un'idea.

8.211.47.105 - 101.46.136.98 - 119.8.215.8 - 8.209.65.165

In uno in particolare che ora non trovo avevo letto "Service: Public Free Proxy" e la cosa mi ha un'attimo insospettito, ma era uno solo.
Ho provato a bloccar i blocchi a cui questi IP appartengono ma ogni volta ne spuntano degli altri e so bene che se c'è un'accesso bucato è una causa persa, era solo per "diagnostica".

Sempre tramite Wireshark posso notare alcune info sospette, specialmente molte voci riguardo stream video.

Queste sono solo quelle filtrate per start-picture-stream e canale 12, ci sono anche vari end-picture-stream e per vari canali.
Vi lascio un dump completo con qualche censura di un pacchetto di questo tipo come esempio.

Se faccio sempre da Wireshark una ricerca per oggetti, trovo svariati file "end-picture-stream" da circa 2MB l'uno ma non riesco ad aprirli con nulla una volta esportati.

Ho provato a vedere se riuscivo ad estrarre dei fotogrammi o altro usando questo script ma non credo sia adatto, da una parte quello che leggo su Wireshark mi fa pensare ci sia effettivamente uno stream sconosciuto mentre dall'altra mi sembra comunque poca banda 1Mbps costante vedendo non è solo un canale e una destinazione per renderlo effettivamente possibile.

Proverò a far riavviare l'NVR e terrò monitorato nei prossimi giorni
Nel mentre, se qualcuno ha altre idee su come potrei ispezionare meglio il contenuto di questi pacchetti, sono tutto orecchie.
Al momento ho mezza dozzina di dump da 100k pacchetti.

PS: C'è un comando per Wireshark che mi permette di filtrare la colonna INFO per un match parziale?
Usando _ws.col.info mi trova solo match esatti e non posso filtrar un generico "video-stream".