VLAN atlamalı - VLAN hopping

VLAN atlamalı bir bilgisayar güvenliği istismarı, ağa bağlı kaynaklara bir sanal LAN (VLAN). Tüm VLAN atlama saldırılarının arkasındaki temel konsept, bir VLAN'daki saldıran bir ana bilgisayarın normalde erişilemeyen diğer VLAN'lardaki trafiğe erişim elde etmesidir. VLAN atlamanın iki ana yöntemi vardır: sahtekarlığı değiştir ve çift ​​etiketleme. Her iki saldırı vektörü de uygun anahtar bağlantı noktası yapılandırmasıyla azaltılabilir.

Adres sahteciliğini değiştir

Anahtar sahteciliği saldırısında, saldıran ana bilgisayar bir devre anahtarını taklit eder[1] etiketleme ve kanal protokollerini söyleyerek (ör. Çoklu VLAN Kayıt Protokolü, IEEE 802.1Q, Dinamik Trunking Protokolü ) bir VLAN'ın korunmasında kullanılır. Birden fazla VLAN için trafiğe saldıran ana bilgisayar erişebilir.

Azaltma

Anahtar sahtekarlığı yalnızca arabirimler bir ana hat üzerinde anlaşmaya ayarlandığında yararlanılabilir. Bu saldırıyı önlemek için Cisco IOS aşağıdaki yöntemlerden birini kullanın:[2]:163

1. Devre dışı bırakarak bağlantı noktalarının ana hatlar arasında otomatik olarak anlaşmak üzere ayarlanmadığından emin olun. DTP:

Switch (config-if) # switchport nogotiate

2. Ana hat olması amaçlanmayan bağlantı noktalarının, erişim bağlantı noktaları olarak açıkça yapılandırıldığından emin olun 

Anahtar (config-if) # switchport modu erişimi

Çift etiketleme

Çift etiketleme saldırısında, bir saldırgan bir 802.1Q etkin bağlantı noktası başına ekler iki VLAN etiketi ilettiği bir çerçeveye. Çerçeve (harici olarak saldırganın bağlantı noktasının gerçekten üyesi olduğu VLAN ID ile etiketlenmiş) ilk etiket olmadan iletilir, çünkü bu bir ana hat arayüzünün yerel VLAN'ıdır. İkinci etiket daha sonra çerçevenin karşılaştığı ikinci anahtara görünür. Bu ikinci VLAN etiketi, çerçevenin ikinci bir anahtardaki bir hedef ana bilgisayara yönelik olduğunu belirtir. Çerçeve daha sonra hedef ana bilgisayara hedef VLAN'dan geliyormuş gibi gönderilir ve VLAN'ları birbirinden mantıksal olarak izole eden ağ mekanizmalarını etkili bir şekilde atlar.[3]Ancak, olası yanıtlar saldıran ana bilgisayara iletilmez (tek yönlü akış).

Azaltma

Çift Etiketleme yalnızca kullanmak üzere yapılandırılmış anahtar bağlantı noktalarında kullanılabilir yerel VLAN'lar.[2]:162 İle yapılandırılmış ana bağlantı noktaları yerel VLAN bu çerçeveleri gönderirken bir VLAN etiketi uygulamayın. Bu, bir saldırganın sahte VLAN etiketinin bir sonraki anahtar tarafından okunmasına olanak tanır.[4]

Çift Etiketleme, aşağıdaki işlemlerden herhangi biriyle azaltılabilir (IOS örneği dahil):

  • VLAN 1'e (Varsayılan VLAN) herhangi bir ana bilgisayar koymayın. yani, her erişim bağlantı noktasına VLAN 1 dışında bir erişim VLAN atayın
     Switch (config-if) # switchport erişimi vlan 2
  • Tüm ana hat bağlantı noktalarındaki yerel VLAN'ı kullanılmayan bir VLAN kimliğiyle değiştirin.
    Switch (config-if) # switchport trunk yerel vlan 999
  • Tüm ana hat bağlantı noktalarında yerel VLAN'ın açık etiketlenmesi. Ağ özerkliğindeki tüm anahtarlarda yapılandırılmalıdır.
    Switch (config) # vlan dot1q tag native

Misal

Çift etiketleme saldırısına bir örnek olarak, VLAN2 adlı bir VLAN üzerinde güvenli bir web sunucusunu düşünün. VLAN2'deki ana bilgisayarların web sunucusuna erişmesine izin verilir; VLAN2 dışındaki ana bilgisayarlar katman 3 filtreleri tarafından engellenir. VLAN1 (Yerel) adı verilen ayrı bir VLAN'daki saldıran bir ana bilgisayar, web sunucusuna saldırmak için özel olarak oluşturulmuş bir paket oluşturur. Yerleştirir başlık paketi VLAN1'e ait olarak etiketleyen başlık altında paketi VLAN2'ye ait olarak etiketleme. Paket gönderildiğinde, anahtar varsayılan VLAN1 başlığını görür ve kaldırır ve paketi iletir. Sonraki anahtar VLAN2 başlığını görür ve paketi VLAN2'ye yerleştirir. Paket böylece hedef sunucuya VLAN2 üzerindeki başka bir ana bilgisayardan gönderilmiş gibi ulaşır ve mevcut olabilecek herhangi bir katman 3 filtrelemesini yok sayar.[5]

Ayrıca bakınız

Referanslar

  1. ^ Rik Farrow (2003-03-17). "VLAN Güvensizliği". Alındı 2017-06-07.
  2. ^ a b Boyles, Tim (2010). CCNA Güvenlik Çalışması Kılavuzu: Sınav 640-553. SYBEX Inc. ISBN  9780470527672.
  3. ^ Rouiller, Steve A. "Sanal LAN Güvenliği: zayıflıklar ve karşı önlemler". SANS Enstitüsü InfoSec Okuma Odası. Alındı 2017-06-07.
  4. ^ "Çift etiketleme saldırısı nedir ve Çift etiketleme saldırısı nasıl önlenir". Alındı 2017-10-15.
  5. ^ "VLAN Özellikleriyle İlgili Yapılandırma Örnekleri". Catalyst 2820 ve 1900 Enterprise Edition Yazılım Kılavuzu. Cisco. Arşivlenen orijinal 2013-01-28 tarihinde. Alındı 2017-06-07.