VLAN Hopping angrep og avbøtning
VLAN er et virtuelt lokalt nettverk der et fysisk nettverk er delt inn i en gruppe enheter for å koble dem sammen. VLAN brukes normalt til å segmentere et entall kringkastingsdomen i en rekke kringkastingsdomener i Switched Layer 2 -nettverk. For å kommunisere mellom to VLAN -nettverk, er det nødvendig.
I denne typen nettverk får hver bruker en tilgangsport for å skille VLANs trafikk fra hverandre, i.e., En enhet som er knyttet til en tilgangsport bare har tilgang til den spesifikke VLANs trafikk, da hver bryter tilgangsport er koblet til en bestemt VLAN. Etter å ha blitt kjent med det grunnleggende om hva en VLAN er, la oss hoppe mot å forstå et VLAN -hoppangrep og hvordan det fungerer.
Hvordan VLAN -hoppangrep fungerer
VLAN Hopping Attack er en type nettverksangrep der en angriper prøver å få tilgang til et VLAN -nettverk ved å sende pakker til det gjennom et annet VLAN -nettverk som angriperen er tilkoblet. I denne typen angrep prøver angriperen ondsinnet å få tilgang til trafikken som kommer fra andre VLAN -er i et nettverk eller kan sende trafikk til andre VLAN -er i det nettverket, som han ikke har noen lovlig tilgang. I de fleste tilfeller utnytter angriperen bare 2 lag som segmenterer forskjellige verter.
Artikkelen gir en kort oversikt over VLAN -hoppangrepet, dens typer og hvordan du kan forhindre det med rettidig deteksjon.
Typer VLAN -hoppangrep
Byttet forfalskning VLAN Hopping Attack:
I den skiftende forfalskningen av VLAN -hoppangrep, prøver angriperen å etterligne en bryter for å utnytte en legitim bryter ved å lure den til å lage en trunkingskobling mellom angriperens enhet og bytte. En bagasjeromslink er en kobling av to brytere eller en bryter og en ruter. Trunkkoblingen bærer trafikk mellom de koblede bryterne eller de koblede bryterne og ruterne og vedlikeholder VLAN -data.
Datarammene som passerer fra bagasjeromslenken er merket for å bli identifisert av VLAN Datarammen tilhører. Derfor bærer en bagasjeromslenke trafikken til mange VLAN -er. Ettersom pakker fra hver VLAN har lov til å gå over en trunkingslenke, umiddelbart etter at bagasjerommet er etablert, får angriperen tilgang til trafikk fra alle VLAN -ene på nettverket.
Dette angrepet er bare mulig hvis en angriper er koblet til et brytergrensesnitt hvis konfigurasjon er satt til et av følgende, "dynamisk ønskelig“,“Dynamisk auto,”Eller“stamme”Modus. Dette gjør at angriperen kan danne en bagasjeromskobling mellom enheten deres og bytte ved å generere en DTP (dynamisk trunkingsprotokoll; de brukes til å bygge trunkkoblinger mellom to brytere dynamisk) -meldingen fra datamaskinen.
Dobbelt tagging VLAN Hopping Attack:
Et dobbelt-tagging VLAN-hoppangrep kan også betegnes som a dobbeltinnkapslet VLAN Hopping Attack. Disse typer angrep fungerer bare hvis angriperen er koblet til et grensesnitt koblet til bagasjeromsporten/koblingsgrensesnittet.
Dobbelt tagging VLAN -hoppangrep oppstår når angriperen endrer den opprinnelige rammen for å legge til to tagger, akkurat som de fleste brytere bare fjerner den ytre taggen, kan de bare identifisere den ytre taggen, og den indre taggen er bevart. Den ytre taggen er knyttet til angriperens personlige VLAN, mens den indre taggen er knyttet til offerets VLAN.
Til å begynne med kommer angriperens ondsinnede taggede ramme til bryteren, og bryteren åpner datarammen. Den ytre taggen til datarammen blir deretter identifisert, som tilhører den spesifikke VLAN -angriperen som lenken knytter seg til. Etter det videresender den rammen til hver eneste av de innfødte VLAN -koblingene, og også en kopi av rammen blir sendt til bagasjeromslenken som tar veien til neste bryter.
Den neste bryteren åpner deretter rammen, identifiserer den andre taggen til datarammen som offerets VLAN, og videresender den deretter til offerets VLAN. Etter hvert vil angriperen få tilgang til trafikken fra offerets VLAN. Dobbelt taggangrep er bare én retningslinjer, og det er umulig å begrense returpakken.
Avbøtning av VLAN -hoppingsangrep
Byttet forfalskning VLAN -angrepsavbøtning:
Konfigurasjonen av tilgangsporter skal ikke settes til noen av følgende modus: “dynamisk ønskelig“,“ DYnamic Auto“, Eller“stamme“.
Angi konfigurasjonen av alle tilgangsporter manuelt og deaktiver dynamisk trunkingsprotokoll på alle tilgangsporter med Switch Port Mode Access eller bytte om Portmodusforhandling.
- switch1 (config) # grensesnitt gigabit ethernet 0/3
- Switch1 (config-if) # switchport-modus tilgang
- Switch1 (config-if)# exit
Angi konfigurasjonen av alle bagasjeromsporter manuelt og deaktiver dynamisk trunkingsprotokoll på alle bagasjeromsporter med bryterportmodus bagasjerom eller bryter portmodusforhandling.
- Switch1 (config)# grensesnittet gigabitethernet 0/4
- Switch1 (config-if) # switchport bagasjerom innkapsling dot1q
- Switch1 (config-if) # switchport-modus bagasjerom
- Switch1 (config-if) # bryter port nonegotiate
Legg alle ubrukte grensesnitt i et VLAN og steng deretter alle ubrukte grensesnitt.
Dobbelt tagging VLAN Angrepsavbøtning:
Ikke legg noen vert i nettverket på standard VLAN.
Lag en ubrukt VLAN for å sette og bruke den som den innfødte VLAN for bagasjeromsporten. På samme måte gjør det for alle bagasjeromsportene; Den tildelte VLAN brukes bare til Native VLAN.
- Switch1 (config)# grensesnittet gigabitethernet 0/4
- Switch1 (config-if) # switchport bagasjerom native vlan 400
Konklusjon
Dette angrepet gjør at ondsinnede angripere kan få tilgang til nettverk ulovlig. Angriperne kan da snuse bort passord, personlig informasjon eller andre beskyttede data. På samme måte kan de også installere malware og spyware, spre trojanske hester, ormer og virus, eller endre og til og med slette viktig informasjon. Angriperen kan lett snuse gjennom all trafikken som kommer fra nettverket for å bruke den til ondsinnede formål. Det kan også forstyrre trafikken med unødvendige rammer i en viss grad.
For å konkludere, kan det sies over enhver tvil at et VLAN -hoppangrep er en enorm sikkerhetstrussel. For å dempe slike angrep, utstyrer denne artikkelen leseren med sikkerhet og forebyggende tiltak. På samme måte er det et konstant behov for ekstra og mer avanserte sikkerhetstiltak som bør legges til VLAN-baserte nettverk og forbedre nettverkssegmenter som sikkerhetssoner.