🔌 TCP и UDP: в чём разница и зачем это пентестеру 📌 TCP и UDP — протоколы транспортного уровня. Работают поверх IP и доставляют данные до приложения через порт. 🤝 TCP — сначала договоримся Перед передачей устанавливает соединение:

SYN → SYN/ACK → ACK
   ↓
Соединение установлено

Гарантирует доставку и порядок данных. 📨 UDP — отправил и забыл Без соединения и подтверждений. Быстрее, но без гарантий.

TCP:  HTTP, SSH, SMB
UDP:  DNS, DHCP, SNMP, TFTP

🎯 Что важно пентестеру TCP-порт отвечает понятно, а UDP часто молчит. Поэтому nmap пишет:

161/udp  open|filtered  snmp

Многие сканируют только TCP и пропускают SNMP, TFTP, DNS — а там бывают интересные находки. 🛠 Команды

sudo nmap -sS 192.168.1.10
sudo nmap -sU --top-ports 20 192.168.1.10

🧠 Главная мысль Сканируете только TCP — видите не всю картину. #network #base #recon

🌐 Что происходит, когда вы открываете сайт

Сети с нуля, часть 2: Wireshark и свой трафик

📱 СМОТРЕТЬ [16:09] Вводите адрес сайта, жмёте Enter, через секунду страница на экране. А за эту секунду... ...запрос успевает спуститься по уровням OSI, пройти через роутер, провайдера и кабели через полмира и вернуться обратно с данными. 🟦Во второй части серии Давид объясняет весь этот путь:

браузер, TCP-рукопожатие SYN - SYN-ACK - ACK, DNS-сервер, который превращает домен в IP-адрес, и обратная дорога до вашего экрана.

🟦Отдельно про TLS:

откуда берётся замок в адресной строке, как HTTP превращается в HTTPS и почему при атаке man in the middle ваши данные не прочитать открытым текстом.

Объясняет человеческим языком, без академических формулировок. ⏮️ Первая часть: Как работает интернет: сети с нуля 🦔CyberYozh

Разбор задачки про tcpdump В задачке приняло участие не так много участников, как хотелось бы, но будем думать, что эта тема всем понятна😄 читаем сам дамп:

Порт 22: S → S/ACK → R → open Порт 23: S → R/ACK → closed Порт 80: S → тишина, повторный S → filtered

🔐 22 — open. Сервер ответил SYN/ACK ([S.]): порт слушает. 🚪 23 — closed. Хост жив, но на порту никто не слушает, и он ответил RST/ACK ([R.]). 🛡 80 — filtered. Ответа нет, Nmap повторил SYN. Скорее всего, пакеты дропает файрвол. ⚙️ Тип скана: SYN (half-open), -sS. Получив SYN/ACK, клиент не отправил ACK, а оборвал соединение через RST. Connect-скан (-sT) довёл бы рукопожатие до конца. Зачем RST: соединение не доходит до приложения, а запись о полуоткрытом соединении быстро освобождается. Но IDS такой скан всё равно видит. Проверяем:

sudo nmap -sS -p 22,23,80 --reason 10.0.0.10

22/tcp open     ssh     syn-ack
23/tcp closed   telnet  reset
80/tcp filtered http    no-response

🧠 Главная мысль: open, closed и filtered — это три разных реакции на один и тот же SYN. Различаешь их по ответу, а не по цвету в терминале. Спасибо всем, кто пишет в комменты и ставит реакции! 🙌 #разбор #network #nmap #pentest

🧪 Мини-задача перед выходными: читаем дамп С хоста 10.0.0.5 просканировали 10.0.0.10. Вот что показал tcpdump:

10.0.0.5.51234  > 10.0.0.10.22: Flags [S],  seq 1000
10.0.0.10.22    > 10.0.0.5.51234: Flags [S.], seq 5000, ack 1001
10.0.0.5.51234  > 10.0.0.10.22: Flags [R],  seq 1001

10.0.0.5.51235  > 10.0.0.10.23: Flags [S],  seq 2000
10.0.0.10.23    > 10.0.0.5.51235: Flags [R.], seq 0, ack 2001

10.0.0.5.51236  > 10.0.0.10.80: Flags [S],  seq 3000
10.0.0.5.51237  > 10.0.0.10.80: Flags [S],  seq 3500   (через ~1 сек)

❓ Вопросы Какой статус у портов 22, 23 и 80? Какой это тип скана? Почему на порту 22 клиент отправил [R], а не [.] (ACK)? Обращаем внимание на на флаги и на то, что ответил (или не ответил) сервер. Пиши ответы в комментарии. Разбор в понедельник. 🕕 #практика #network #nmap #pentest

🔗 TCP/IP: как устроена передача данных (и при чём тут nmap) В прошлых постах мы разобрали IP, MAC и ARP. Теперь соберём всё в одну модель. TCP/IP — это набор протоколов, по которому работает весь интернет и почти любая корпоративная сеть. 🧱 4 уровня модели TCP/IP

4. Прикладной     → HTTP, DNS, SMB, SSH
3. Транспортный   → TCP, UDP
2. Межсетевой     → IP, ICMP
1. Канальный      → Ethernet, Wi-Fi, ARP

Каждый уровень решает свою задачу: ↓ приложение формирует данные ↓ TCP режет их на сегменты и следит за доставкой ↓ IP знает, куда отправить пакет ↓ канальный уровень знает, кому в локальной сети передать кадр (MAC) 🤝 TCP-рукопожатие (3-way handshake) Прежде чем передавать данные, TCP устанавливает соединение:

Клиент  ── SYN ──────────▶️  Сервер
Клиент  ◀️───── SYN/ACK ──  Сервер
Клиент  ── ACK ──────────▶️  Сервер

Только после этого начинается обмен данными. Именно поэтому TCP называют надёжным: он гарантирует доставку, порядок пакетов и переотправку потерь. 🚩 Флаги TCP, которые нужно знать — SYN: хочу соединиться — ACK: подтверждаю — RST: сброс, «здесь никого нет» или «уходи» — FIN: корректное завершение соединения 🎯 Почему это важно пентестеру Сканирование портов — это просто игра с рукопожатием.

nmap -sS 10.0.0.5

SYN-скан отправляет только SYN и смотрит на ответ:

SYN/ACK      → порт открыт ✅
RST          → порт закрыт ❌
тишина       → порт фильтруется 🧱 (файрвол)

После SYN/ACK nmap не завершает рукопожатие, а отправляет RST. Поэтому такой скан быстрее и меньше светится в логах приложений. Для сравнения:

nmap -sT 10.0.0.5

Connect-скан проходит рукопожатие полностью. Он работает без root-прав, но зато оставляет следы в логах сервиса. 📌 Главная мысль Когда nmap пишет open, closed или filtered, он просто пересказывает тебе, как сервер ответил на SYN. Понимаешь рукопожатие — понимаешь, что на самом деле показывает сканер и почему он иногда «врёт». #network #base

Corvus Concept — «облачная» сетевая рабочая станция из 1982 года В 1982 году жёсткий диск на 5 МБ мог стоить $1300-2000, а отдельный накопитель для каждого компьютера быстро превращался в очень дорогое удовольствие. Corvus пошла другим путём: один общий диск и несколько машин с доступом к программам и данным. Сначала появилась Constellation, затем Omninet — уже полноценная локальная сеть на витой паре, рассчитанная до 64 узлов. Дальше Corvus Concept получила Motorola 68000, до 512 КБ памяти, встроенный сетевой контроллер и 15-дюймовый экран, который можно было поворачивать из книжной ориентации в альбомную прямо во время работы. А собственного накопителя ей по задумке вообще не требовалось. После включения Concept находила загрузочный том на сервере и получала оттуда системное ПО. И всё это — в 1982 году.

🌐Как работает интернет: сети с нуля

OSI, TCP/IP и IP-адресация

📱 СМОТРЕТЬ [11:27] С чего начинать путь в кибербезопасности? Давид всегда отвечает одинаково:

...с сетей. Пентест, SOC, DevSecOps, красная или синяя команда, без них никуда.

💬 В комментариях попросили полный гайд по сетям, и Давид запускает мини-серию. Первая часть рисует карту всей темы на самом простом уровне, знать заранее ничего не нужно. Как данные доходят от вашего компьютера до Google, чем семь уровней OSI отличаются от четырёх в TCP/IP и почему TCP проверяет доставку, а UDP жертвует надёжностью ради скорости. 🟦Дальше IP-адресация, маски и субнеттинг руками, протоколы с портами, которые придётся знать наизусть, и железо: switch, router, firewall. 👩‍🔬А в конце о том, как учить всё это на практике: своя лаборатория в VirtualBox, ping, traceroute, nslookup и разбор собственного трафика в Wireshark. Цель серии - чтобы вопросы по сетям на собеседовании на джуна перестали быть проблемой. 🔐Специалист по информационной безопасности 🦔CyberYozh

Разбираем прошлую задачку🤔 Большинство ответило правильно😃 Внутри локальной сети устройства находят друг друга не по IP, а по MAC-адресам. IP нужен, чтобы дойти до нужной сети через интернет. А внутри своей сети кадр едет от карты к карте по MAC. Но твой комп знает только IP шлюза. Чтобы отправить кадр, ему нужен MAC шлюза. Эту связку «IP → MAC» делает ARP:

— Хост: «У кого IP 192.168.1.1? Скажи свой MAC»
— Шлюз: «Это я, мой MAC — aa:bb:cc...»

Ответ записывается в ARP-кэш, и дальше кадры летят на этот MAC. ⚠️ Дыра в том, что ARP никого не проверяет. Кто ответил — тому и верят. Можно без спроса сказать жертве «шлюз теперь по моему MAC» — и она поверит. Атака: Атакующий врёт обеим сторонам: — жертве: «шлюз — это мой MAC» — шлюзу: «жертва — это мой MAC» Теперь весь трафик жертвы идёт через атакующего. Он его читает и передаёт дальше, оставаясь незаметным. Это и есть MITM. 🎯 Почему именно L2: IP-адреса не меняются, сессии не рвутся, приложение ничего не замечает. Меняется только одно — на чью сетевую карту попадает кадр. Чистая механика канального уровня. Почему только в локалке: ARP-запросы широковещательные, а через роутер они не проходят. Значит, атаковать можно только из своего сегмента — надо быть в той же сети (тот же коммутатор или Wi-Fi). 🛡 Защита (тоже на L2): статические ARP-записи, Dynamic ARP Inspection, port security. Плюс TLS — перехват не остановит, но данные сделает нечитаемыми. 📌 Главное: атака всегда привязана к уровню. Знаешь уровень — знаешь и её границы (только локалка), и почему верхние уровни её не видят, и где ставить защиту. #network #теория #ad

Зеркалирование трафика виртуальных машин в OVN: что пришлось добавить в overlay-сеть NTA/NDR-системе для работы нужна копия сетевого трафика. Но в российских публичных облаках получить её с интерфейсов виртуальных машин было нельзя: OVN поддерживал зеркалирование на уровне физических портов гипервизора, а нужной функциональности для overlay-сети не было. В K2 Cloud её реализовали с нуля и отправили патч в апстрим OVN — теперь он входит в основную кодовую базу проекта. Дальше выяснилось, что без фильтров зеркалирование работает, но создаёт лишний трафик и может испортить анализ. Если копировать трафик двух общающихся ВМ, один пакет прилетит на сенсор дважды. Если оставить только входящий — получатся асинхронные сессии, где половина картины отсутствует. Плюс есть тяжёлый легитимный трафик, который незачем гонять через анализатор. А при реальном развёртывании добавляются уже менее очевидные вещи — DNS и DHCP на шлюзе, DPDK, IOPS, несколько AZ и нагрузка выше паспортных 2 Гбит/с PT NAD.

🌐 Модель OSI и стек TCP/IP — карта, по которой работает пентестер Когда ты отправляешь запрос, данные проходят через несколько уровней — от кабеля до приложения. Понимать эти уровни важно не ради теории: на каждом из них своя атака. Есть две модели.

OSI — теоретическая, 7 уровней, по ней удобно учиться. TCP/IP — реальная, 4 уровня, по ней работает интернет.

Ниже — OSI, а рядом где на нём «ломается»: 7. Прикладной (HTTP, DNS, FTP, SMB) Здесь живут веб-уязвимости: SQLi, XSS, IDOR. Большая часть твоей работы — тут. 6. Представления (шифрование, кодирование) TLS, Base64. Тут — перехват до/после шифрования, downgrade-атаки. 5. Сеансовый (сессии) Session hijacking, кража токенов, фиксация сессии. 4. Транспортный (TCP, UDP, порты) Сканирование портов (nmap), SYN-флуд. Отсюда начинается разведка. 3. Сетевой (IP, ICMP, маршрутизация) IP-спуфинг, разведка через ping/traceroute. 2. Канальный (MAC, ARP, коммутаторы) ARP-спуфинг, MITM в локальной сети, перехват трафика. 1. Физический (кабель, Wi-Fi, сигнал) Физический доступ, снифинг, Rogue AP. 📌 Как это ложится на TCP/IP (4 уровня): Приложение (7–5) → Транспорт (4) → Интернет (3) → Доступ к сети (2–1). 🎯 Зачем это пентестеру Модель — не схема для экзамена, а чек-лист поверхностей атаки. Видишь цель — мысленно проходишь по уровням: где сниффить, где спуфить, где инъекции. Ни один вектор не упустишь. #network #теория

🌐 Что такое TCP/IP? Объясняем простыми словами Когда мы отправляем сообщение, открываем сайт или смотрим видео — данные не летят целиком одним большим файлом. Они разбиваются на маленькие части и отправляются через сеть. За это отвечает набор протоколов TCP/IP. 📌 IP (Internet Protocol) — это как адрес на конверте. Он отвечает за: куда отправить данные; какой у устройства IP-адрес; через какие сети пройти. Например: 💻 Компьютер → 192.168.1.10 🌍 Сервер сайта → 8.8.8.8 IP помогает найти путь от отправителя к получателю. 📌 TCP (Transmission Control Protocol) — это как проверка доставки. Он отвечает за: — разбивку данных на части; — проверку, что всё дошло; — повторную отправку потерянных частей; — сборку данных обратно в правильном порядке. Представь, что ты отправляешь книгу по почте: IP говорит: «Вот адрес получателя». TCP проверяет: «Все страницы книги дошли? Ничего не потерялось?» 📦 Пример работы: Ты открываешь сайт: 1️⃣ Браузер получает IP-адрес сервера. 2️⃣ TCP устанавливает соединение с сервером. 3️⃣ Данные сайта отправляются маленькими пакетами. 4️⃣ TCP проверяет доставку. 5️⃣ Браузер собирает страницу. ⚡️ А если нужна скорость, а не идеальная доставка, используются другие протоколы — например UDP. #network

🧩 Что такое ARP и зачем он нужен в сети? Чтобы отправить данные устройству в локальной сети, компьютеру нужен его MAC-адрес. Но обычно мы знаем IP-адрес. Здесь помогает ARP (Address Resolution Protocol) — протокол, который находит соответствие между IPv4-адресом и MAC-адресом. Как это работает: Компьютер проверяет ARP-кэш — возможно, нужный адрес уже известен. Если записи нет, он рассылает в локальную сеть запрос: «Кому принадлежит этот IP?» Устройство с таким адресом отвечает своим MAC-адресом. Компьютер сохраняет соответствие в кэше и отправляет данные. ⚠️ У ARP есть слабое место: протокол не проверяет подлинность ответов. Поэтому в локальной сети возможна ARP-подмена — когда устройство получает ложное соответствие IP и MAC. Это может позволить перехватывать или перенаправлять трафик. 📌 ARP работает с IPv4. В IPv6 для похожих задач используется Neighbor Discovery Protocol (NDP). #network

🌐 Что такое MAC-адрес? Продолжаем нашу сетевую базу. В прошлых постах разобрали IP и IPv4/IPv6, теперь спускаемся на уровень ниже — к MAC-адресу.

📌 MAC-адрес (Media Access Control) — это уникальный идентификатор сетевого интерфейса устройства, используемый для обмена данными в локальной сети.

Например:

00:1A:2B:3C:4D:5E

MAC-адрес обычно записывается в виде шести пар шестнадцатеричных символов. 🧠 Простая аналогия Если IP-адрес можно представить как адрес устройства в сети:

192.168.1.25

то MAC-адрес — это идентификатор конкретного сетевого интерфейса:

00:1A:2B:3C:4D:5E

То есть:

💻 Устройство
      ↓
IP  → 192.168.1.25
MAC → 00:1A:2B:3C:4D:5E

🔎 Где используется MAC? MAC-адрес особенно важен при работе внутри локальной сети. Когда компьютеру нужно отправить данные другому устройству в той же сети, передача происходит на канальном уровне с использованием MAC-адресов. Например:

Компьютер A
IP: 192.168.1.10
MAC: AA:AA:AA:AA:AA:AA

        ↓

Компьютер B
IP: 192.168.1.25
MAC: BB:BB:BB:BB:BB:BB

🕵️ Почему MAC интересен пентестеру? При разведке локальной сети MAC может дать дополнительную информацию о найденном устройстве. Например, можно увидеть:

192.168.1.25
00:1A:2B:3C:4D:5E

По MAC иногда можно определить производителя сетевого оборудования по первым частям адреса (OUI). Это может помочь понять, что перед нами, например, компьютер, сетевое оборудование или устройство определённого производителя. #network

🔥Разбираем задачку с прошлого поста. Очень круто, что в опросе приняло участие почти 200 человек! 👏 Но есть один момент, который меня немного удивил 😄 Правильный ответ выбрали только 64% участников. Давайте разберёмся 👇 📌 Задача была простая: 192.168.1.50 ❓ Что это за адрес? ✅ Правильный ответ — приватный IPv4-адрес. Потому что выше адрес входит в приватный диапазон 192.168.0.0/16 То есть такие адреса предназначены для использования внутри локальных сетей. 💻 Компьютер 192.168.1.50 🖥 Сервер 192.168.1.100 🖨 Принтер 192.168.1.200 Все эти устройства могут находиться в одной локальной сети. А для нас, как для пентестеров, это уже возможность перейти к следующему этапу — исследованию хостов, открытых портов, работающих сервисов и операционных систем.

Из пропущенного про "цифровой суверенитет" в блоге RIPE https://labs.ripe.net/author/hisham_ibrahim/many-sovereignties-one-internet/ Цифровой суверенитет» — модное слово, под которым прячут что угодно: от постройки локальной IXP до желания в любой момент выключить рубильник. Хорошая новость — есть простой тест, который отличает одно от другого. Суть в следующем. Интернет работает, потому что независимые сети договариваются через общие технические функции — уникальные идентификаторы, открытые стандарты, координацию. Это и есть «интернет-коммонс». Вокруг него — облака, CDN, платёжные системы, магазины приложений, инфраструктура ИИ. Всё это важно, но это не ядро, и путать их — прямой путь к проблемам. Дальше — набор вопросов, который можно прикладывать к любой государственной инициативе про «суверенитет»: расширяет ли она реальный выбор, или создаёт новую зависимость? Укрепляет ли локальную экспертизу, или просто меняет одного поставщика-монополиста на другого? Остаётся ли интернет глобально совместимым, или технические функции координации превращаются в рычаг политического контроля? Показательный пример — экспортный контроль над полупроводниками. Формально это про безопасность. По факту — это решает, кто вообще сможет строить продвинутые вычисления и ИИ. Чужая автономия защищается за счёт чужой же автономии — и это стоит называть прямо. Или «антикризисные меры»: временное отключение, фильтрация, централизованное управление сетью во время ЧП. Звучит разумно — пока временная инфраструктура для исключительной ситуации не становится постоянной точкой контроля. Тест простой: мера соразмерна, ограничена по времени, обратима? Или это навсегда поселившийся рубильник? Даже доверие к маршрутизации данных (BGP, RPKI, ROA) держится не на красивых словах о «доверенных потоках», а на проверяемых обязательствах и подотчётных институтах. Без этого «доверие» — просто ярлык, которым удобно кого-то исключить из игры. Главный вывод: суверенитетов может быть много, интернет — один. Вопрос не в названии политики, а в том, что она реально делает — расширяет выбор или строит новый шлагбаум.

🌐 Что такое IP? Когда мы начинаем разбираться в компьютерных сетях, одно из первых понятий, которое необходимо понять, — IP-адрес. 📌 IP-адрес — это логический адрес устройства в сети, который используется для его идентификации и доставки сетевых пакетов. Можно провести простую аналогию:

🏠 Если компьютер — это дом, то IP-адрес — его адрес в сети.

Например:

192.168.1.25

Когда одно устройство хочет обменяться данными с другим, ему необходимо знать, куда именно отправлять эти данные. Например:

Компьютер A
192.168.1.10
       ↓
       ↓ запрос
       ↓
192.168.1.25
       ↓
Компьютер B

Именно IP помогает определить, откуда и куда должны доставляться сетевые пакеты. 🧠 IP-адрес не обязательно означает Интернет Очень часто, когда слышат IP, сразу думают о публичном адресе сайта. Но IP используется и внутри локальных сетей. Например:

192.168.1.10
192.168.1.20
192.168.1.30

Это могут быть: 💻 рабочие станции 🖥 серверы 🖨 принтеры 📡 сетевое оборудование Поэтому во время внутреннего пентеста IP-адреса встречаются буквально на каждом этапе. 🔎 Почему IP важен пентестеру? Представим, что во время разведки мы обнаружили:

192.168.1.25

Теперь мы знаем адрес хоста. Следующий этап — выяснить:

Что находится по этому адресу?

И уже здесь появляются другие инструменты и технологии:

IP
 ↓
Хост
 ↓
Порты
 ↓
Сервисы
 ↓
ОС
 ↓
Дальнейшая разведка

📌 Главное IP — это логический адрес устройства в сети. Без понимания IP будет сложно разобраться в : — сетевой разведке; — Nmap; — ARP; — DNS; — TCP/UDP; — работе локальных сетей. #network #ip #recon #pentest #base

📺 ЦОДы, сети и NGFW: прямая трансляция из пространства «Материя» первого дня IT Elements Команда Хабра ведёт трансляцию из пространства «Материя», где сегодня обсуждают развитие ИТ-инфраструктуры, сетевые технологии и отказоустойчивость. В программе — результаты исследования «Сетевая инфраструктура ЦОДов» от «Инфосистемы Джет» и «Аналитического центра ИКС», кейс НСИС о переходе от Hitachi HCP + MongoDB к YDB и круглый стол о ЦОДах высокой плотности. Во второй половине — проверка российских NGFW на прочность и история МТС о том, как централизованно управлять DR-планами компании. Подключайтесь к трансляции в нашем ВК-сообществе или телеграм-канале, чтобы следить за ключевыми выступлениями первого дня IT Elements.

Простые сложные сети: как устроена сеть в MWS Cloud Platform Ещё в студенчестве, подрабатывая системным администратором, автор лез в интерфейсы цисок и крутил там параметры, истинное значение которых понимают только избранные. Сети казались ему нагромождением устройств, протоколов и функций, где одно с другим связано непонятно как. Так и обходил их стороной двадцать с лишним лет, пока разрабатывал и водил техлидом на десятках проектов. А потом позвали строить новое публичное облако — одним из руководителей направления виртуальных сетей. Казалось бы, мимо. Но именно отсутствие опыта в сетях, по его собственным словам, оказалось тут скорее плюсом. Узнаем, что незнание позволило увидеть такого, чего не заметил бы матёрый сетевик.

🧠 Что такое NBNS?

NBNS (NetBIOS Name Service) — это протокол разрешения имён, который является частью старого механизма NetBIOS.

Его задача:

определить IP-адрес компьютера по его имени внутри локальной сети.

Например: Пользователь хочет открыть:

\\SERVER01\share

Компьютеру нужно понять:

Где находится SERVER01?

Если DNS не отвечает, Windows может использовать NBNS. ⚙️ Как работает NBNS? Компьютер отправляет широковещательный запрос:

Кто такой SERVER01?

Запрос получают устройства в локальном сегменте. Любая машина может попытаться ответить:

SERVER01 = 192.168.1.50

И если ответ принят — Windows попробует подключиться. 💀 Где появляется проблема? Проблема в том, что в старых конфигурациях Windows слишком сильно доверяет таким ответам. Представим: Пользователь ошибся в имени:

\\FILESRV01\docs

Но настоящего сервера нет. Windows отправляет NBNS-запрос:

Кто такой FILESRV01?

Атакующий отвечает:

Это я.

Дальше может произойти попытка NTLM-аутентификации. Схема:

Пользователь
      |
      | NBNS запрос
      |
      ↓
Атакующий
      |
      | Ответ:
      | "Я FILESRV01"
      |
      ↓
NTLM Authentication

🛠 Почему это интересно при пентесте? NBNS позволяет проверить: — используется ли устаревший NetBIOS; — включены ли небезопасные механизмы поиска имён; — можно ли получить NTLM-аутентификацию пользователей; — есть ли условия для дальнейших атак. Именно поэтому инструменты вроде Responder умеют работать не только с LLMNR, но и с NBNS.