Existem inúmeras vulnerabilidades nos switches Ethernet e as ferramentas de ataque para explorá-los existem há mais de uma década. Um atacante pode desviar qualquer tráfego para seu próprio PC para quebrar a confidencialidade, privacidade ou a integridade desse tráfego. A maioria das vulnerabilidades são inerentes aos protocolos da Camada 2 e não somente aos switches. Se a camada 2 estiver comprometida, é mais fácil criar ataques em protocolos das camadas superiores usando técnicas comuns como ataques de man-in-the-middle (MITM) para coleta e manipulação do conteúdo. Para explorar as vulnerabilidades da camada 2, um invasor geralmente deve estar mesma rede local do alvo. Se o atacante se utilizar de outros meios de exploração, poderá conseguir um acesso remoto ou até mesmo físico ao equipamento. Uma vez dentro da rede, a movimentação lateral do atacante torna-se mais fácil para conseguir acesso aos dispositivos ou tráfego desejado. No vídeo descrevemos as 8 (oito) principais funcionalidades de segurança para switches que todo administrador de redes deveria saber..
O Protocolo ARP é utilizado na comunicação entre dispositivos em uma Rede Ethernet da mesma Sub-rede que utilizam endereços IPv4. A principal função do ARP é a tradução de endereços IP em endereços MAC. O emissor encaminha em broadcast um pacote ARP contendo o endereço IP do outro host e espera uma resposta com um endereço MAC respectivo. Em resumo, o ARP auxilia os computadores e Switches que utilizam endereços IPv4 (endereço lógico) , a encontrarem o endereço mac (endereço físico) das máquinas em redes Ethernet. Todo endereço da camada de rede, precisa do mapeamento do endereço da camada de enlace. Assim, todos os equipamentos de rede montam uma tabela ARP dinâmica (em redes LAN), que é atualizada de tempos em tempos (o tempo pode variar dependendo do Sistema Operacional) caso alguma máquina troque de IP, ou aprenda um endereço “velho” via DHCP. Segue abaixo a saída da tabela ARP de uma máquina rodando windows 7. C:\Users\comutadores>arp -a Interface: 192.168.99.104 --- 0x10 Internet Address Physical Address Type 192.168.99.1 14-d6-4d-7e-f7-d8 dynamic 192.168.99.100 10-3b-59-c7-62-34 dynamic 192.168.99.102 e8-8d-28-f2-60-7b dynamic 192.168.99.255 ff-ff-ff-ff-ff-ff static 224.0.0.22 01-00-5e-00-00-16 static 224.0.0.251 01-00-5e-00-00-fb static 224.0.0.252 01-00-5e-00-00-fc static 239.255.255.250 01-00-5e-7f-ff-fa static 255.255.255.255 ff-ff-ff-ff-ff-ff staticUma das funções do protocolo ARP é o Gratuitous ARP, que permite o envio de requisição ou resposta (contendo o mapeamento endereço IP + endereço MAC) mesmo quando não é solicitado. O gratuitous ARP é uma mensagem enviada geralmente para atualizar a tabela ARP. Por exemplo, imagine que todas as máquinas de uma rede possuam como gateway um Switch de Distribuição que precisa ser substituído por um novo equipamento mais robusto e moderno. Agora, imagine que essa migração deva ocorrer de maneira quase que imperceptível por inúmeras restrições. O novo Switch é então conectado a todos os outros Switches da rede, incluindo o Switch legado, e cada vez que uma interface do Switch legado é colocada em shutdown (desligada), a mesma é configurada no Switch novo. Pense que, uma vez que o gateway é movido para outro equipamento (com o mesmo IP) o endereço mac deverá mudar… A configuração do gratuitous ARP deverá auxiliar nessa questão, com o novo equipamento enviando a atualização do endereço IP + MAC para todos os dispositivos da rede. interface Vlan-interface1 ip address 192.168.99.1 255.255.255.0 arp send-gratuitous-arpApós a certificação e sucesso da migração, o comando poderá ser removido da interface vlan. Espero ter ajudado 😉 Dúvidas, deixe um comentário!
O Video Blog http://kretcheu.com.br possui algumas video aulas bem interessantes. Separei um video para aqueles que gostariam de saber um pouco mais sobre o protocolo ARP em redes Ethernet. A video-aula tem 25 minutinhos e ajuda a compreender melhor esse protocolo tão importante para redes IPv4 e citado inúmeras vezes em artigos do blog. Compartilhem o conteúdo!
O protocolo ARP possui 3 principais vulnerabilidades:
Umas das principais técnicas utilizadas em ataques ao ARP são conhecidas com ARP Spoofing ou ARP Poisoning. A técnica consiste em encaminhar uma resposta falsa a requisição ARP original ou via Gratuitous ARP, permitindo ao atacante atuar no meio da comunicação (Man-in-the-Middle) para “sniffar” o trafego . O host de origem não perceberia a atuação do atacante.  Clique no link para assistir uma rápida demonstração utilizando o software Cain (em inglês) http://www.irongeek.com/i.php?page=videos/using-cain-to-do-a-man-in-the-middle-attack-by-arp-poisoning ARP Detection A utilização da feature DHCP-Snooping permite aos Switches o bloqueio de respostas DHCP de Servidores não-válidos na rede e o mapeamento dos Endereços IP entregue ao usuário com o endereço MAC do host, conforme display abaixo: [4800G]display dhcp-snooping DHCP Snooping is enabled. The client binding table for all untrusted ports. Type : D--Dynamic , S--Static Type IP Address MAC Address Lease VLAN Interface ==== =============== ============== ============ ==== ================= D 192.168.1.102 0027-0e0f-a154 172653 1 GigabitEthernet1/0/4 D 192.168.1.103 0027-0e0f-9edb 172728 1 GigabitEthernet1/0/12 --- 2 dhcp-snooping item(s) found ---Quando ativamos a detecção ARP, todas as portas são consideradas não confiáveis comparando o endereço MAC de origem com o mapeamento IP + MAC checado. # dhcp-snooping !Ativando o DHCP Snooping # vlan 1 arp detection enable !Habilitando a detecção ARP na VLAN 1 # arp detection mode dhcp-snooping !Ativando a detecção ARP para verificação da tabela gerada pelo DHCP Snooping arp detection mode static-bind !Ativando a detecção ARP para verificação da tabela estática arp detection static-bind 192.168.1.104 0027-c686-6681 ! Gerando uma entrada estática para detecção de ARP #Obs: É possível configurar uma interface como confiável para não haver detecção de ARP naquela porta. Configure o comando “arp detection trust” na interface. ARP Source Suppression No guia de configuração dos Switches há maiores referencias e outras técnicas de proteção contra ataques ao ARP. Caso conheça outras técnicas e softwares deixe um comentário. Abraço a todos! Referências e Consulta http://comutadores.blogspot.com/2010/04/switches-3com-4800-dhcp-snooping-como.html http://www.irongeek.com/i.php?page=security/arpspoof http://imasters.com.br/artigo/10117/seguranca/arp_poisoning/ |
Como comparar dos computadores pelo arp
Postagens relacionadas
direito autoral © 2024 aprendervalor Inc.
