Отслеживание MAC-адреса

[Vadim]

Возникло у нас подозрение, что некий компьютер может включаться во внеурочное время посторонними людьми. В данном случае подозрение скорее всего беспоченное, но натолкнуло на мысль. Чтобы добраться до содержимого компа не обязательно загружать егошнюю операционку, можно грузануться и с флэшки. Не всегда можно (нужно) блокировать возможность загрузки с внешних носителей, но отследить такие включения было б неплохо. И вот что я подумал: неплохо было бы мониторить наличие в локальной сети определённого MAC-адреса. ip может быть любой, может его и не быть, но мак-то по любому засветится.

Как реализовать такое слежение за мак-адресами? ARP? Вроде не годится. Какие идеи?

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[dikens3]

Почему не годится ARP?

arpwatch отслеживает изменения ARP таблицы.

неплохо было бы мониторить наличие в локальной сети определённого MAC-адреса.

Есть какой-то пакет, аля pingarp/arpping который пингует необходимый MAC-Адрес.

Напиши скрипт и запускай на ночь. Всё выяснишь.

[schizoid]

так а если изменений небыло?
я так понял, что комп то зареган в сети, просто включается не в то время, када нуно...т.е. мак в таблице есть...
это разве что в конце раб дня чистить арп таблицу. а утром смотреть...

[dikens3]

Вопрос автору, какие действия предполагается выявить?

Можно ведь и из сети комп выключить... :-) Потом грузануться с флэшки.

[Vadim]

Вопрос автору, какие действия предполагается выявить?

Сам факт включения аппаратуры.

Можно ведь и из сети комп выключить... :-) Потом грузануться с флэшки.

Можно, конечно. Но не все до этого додумаются.

[Vadim]

Почему не годится ARP?

Потому, что ARP работает в связке c ip.

arpwatch отслеживает изменения ARP таблицы.

Во-во. Есть способ, получить в арп-таблицу все маки всех сетевых в локалке, если у них даже ip не поднят?

Есть какой-то пакет, аля pingarp/arpping который пингует необходимый MAC-Адрес.

Вот!!! Именно это и требовалось. Снкс!

[dikens3]

Вопрос автору, какие действия предполагается выявить?

Сам факт включения аппаратуры.

Видеокамера?

[гость]

а как заблокировать нужный мак в сети?

[Nickuz]

а как заблокировать нужный мак в сети?

зарезать на уровне доступа