Коммутатор он же switch является более интеллектуальным сетевым устройством, нежели концентратор. Коммутатор работает на канальном уровне модели OSI. Получая пакет на один из своих портов он, в отличии от концентратора, не пересылает на все порты. А пересылает именно на тот порт к которому он подключен. Как происходит атака на коммутатор?
Но не смотря на свою сетевую интеллектуальность, так же поддаётся сетевым атакам:
- Переполнение САМ-таблицы;
- Атака на DHCP;
- Атака на PVLAN;
- Mac-спуфинг;
- Атака на STP;
- VLAN Hopping.
Если вкратце рассмотреть эти атаки Коммутатор имеет САМ-таблицу (Content Address Memory) где содержится привязка mac адресов. Если же переполнить таблицу так как она имеет ограничения. Например Cisco Catalyst 2960 имеет много не мало, а — 8192 MAC — адресов. Ну и в случаи, если переполнить эту корзину с MAC-адресами. То коммутатор начнет выполнять функции концентратора и часть трафика можно будет прослушать с помощью утилиты Wiresshark.
Атака на коммутатор — Прослушка трафика
Конечно прослушать весть трафик злоумышленнику вряд ли удастся. Но инсайдер работающий в сегменте с бухгалтерий может перехватить трафик и получить очень конфиденциальную информацию…
Реализовать данную атаку можно при помощи утилиты macchanger, которая позволяет менять Mac-адреса.
Vlan Hopping с помощью данной атаки злоумышленник может передать данные в другой VLAN. Как известно для взаимодействия между виртуальными локальными сетями VLAN в коммутаторах используется режим trunk. В коммутаторах Cisco Catalist по умолчанию порт работает не в режиме mode acces и не в режиме mode trunk, а на борту протокола DTP (Dynamic Trunk Protocol).
Очевидно, что при подобной настройке портов коммутатора, злоумышленнику достаточно притвориться коммутатором. Как между ними будет установлено транковое соединение и соответственно будут доступны VLAN. Сконфигурированные на коммутаторе, после чего передать данные в другой VLAN не составит труда.
Протокол STP (Spanning Tree Protocol) предназначен для предотвращения зацикливания пакетов в сети, при наличии дублирующих маршрутов
Атака на коммутатор — Работает это следующим образом…
С начала производиться обнаружение коммутаторов, которые связанные между собой. Затем выбирается Root Bridge, главный корневой коммутатор. Далее по специальному алгоритму будут заблокированы порты, которые создаю петли в получившейся топологии.
Для построения древовидной структуры без петель в сети должен определен корневой коммутатор (root switch), от которого и состоится это дерево. При автоматическом выборе корневым становиться коммутатор с меньшим значением Mac адреса его блока управления. Далее для каждого управления определяется корневой порт (root port). Этот порт, который по сети имеет кратчайшее расстояние до корневого коммутатора.
Для каждого логического сегмента сети выбирается так называемый мост (designated bridge). Один из портов, который будет принимать пакеты от сегмента и передавать их в направлении корневого моста…
Атака на коммутатор — Что может предпринять атакующий?
Он может так же как и в предыдущем примере, притвориться коммутатором, направить в сторону атакуемого коммутатора BPDU-пакет. В котором может подделать приоритет, Mac-адрес, для того, чтобы самому стать коревым коммутатором и с его помощью перехватить сетевой трафик. Ну а дальше дело техники …
Корневой коммутатором с большим приоритетом
Корневым коммутатором становиться, тот коммутатор у кого больше приоритет. В случае если у коммутаторов приоритет одинаковый, то для выбора корневого коммутатора используется Mac-адрес. У кого он меньше тот и становиться корневым.
MAC Spoofing — Атака на коммутатор
Данный тип атак реализуется путем подделывания MAC-адреса, который использовал другой хост сети. Хакер например может использовать эту атаку для осуществления сбора конфиденциальной информации. Для реализации данной атаки можно воспользоваться утилитой macchanger.
Атака на PVLAN (Private VLAN)
С помощью этой атаки можно получить доступ к соседнему устройству PVLAN по средствам L3-устройства (маршрутизатора). В технологии PVLAN в отличии от VLAN, порты могут находиться в трёх режимах: isolated/promiscuous/community. Данные могут передаваться между портами Isolated и Promiscuous.
Порты promiscuous — это порты VLAN, в которые можно передавать данные со всех портов isolated и community, как и в обычном VLAN. Community — это группы портов, между членами которых можно передавать данные, можно назвать VLAN во VLAN. Если атакующему доступно устройство Layer 3 (например маршрутизатор), он может установить связь между клиентами, которые находятся в одном PVLAN, между портами isolated.
Для реализации атаки пользователь может подделать пакет, в котором он укажет в IP адресе назначение необходимое ему устройство. Находящееся на другом порту isolated, источник окажется без изменения, но в качестве MAC адреса назначения он укажет MAC-адрес устройства L3. Данное устройство получит пакет, перенаправит его по указанному адресу, а дальше дело техники…
Атаковать DCHP-сервер можно несколько различными способами:
1. Злоумышленник может сформировать и послать DCHP-серверу огромное количество DCHP запросов с различных MAC-адресами. Сервер будет выделять IP адреса из пула и рано или позно весь DCHP-пул закончиться. После чего сервер уже не сможет обслуживать новых клиентов. По сути, это DoS-атака, так как нарушается работоспособность сети.
2. Хакер так же может развернуть свой DCHP- сервер и выдавать свои настройки, пользователям сети, может указать любой DNS, Cateway и.т.д. Потом воспользоваться уже по своему усмотрению, начиная от прослушивания трафика до подделки DNS ответов…