MAC-флуд - MAC flooding

В компьютерная сеть, а атака контроля доступа к медиа или MAC-флуд это метод, используемый для компрометации безопасности сетевые коммутаторы. Атака работает, заставляя законные Таблица MAC содержимое коммутатора и принудительное одноадресное наводнение поведение, потенциально отправляющее конфиденциальную информацию в те части сети, куда она обычно не предназначена.

Метод атаки

Коммутаторы поддерживают Таблица MAC что отображает отдельные MAC-адреса в сети к физическим портам коммутатора. Это позволяет коммутатору направлять данные из физического порта, где находится получатель, а не без разбора. вещание данные из всех портов как Концентратор Ethernet делает. Преимущество этого метода в том, что данные мостовой исключительно для сегмент сети содержащий компьютер, для которого предназначены данные.

В типичной атаке MAC-лавинной рассылки коммутатор получает множество Кадры Ethernet, каждый из которых содержит разные исходные MAC-адреса. Намерение состоит в том, чтобы потреблять ограниченное объем памяти отложите в коммутаторе для хранения таблицы MAC-адресов.^[1]

Эффект от этой атаки может варьироваться в зависимости от реализации, однако желаемый эффект (со стороны злоумышленника) состоит в том, чтобы вытеснить допустимые MAC-адреса из таблицы MAC-адресов, в результате чего значительное количество входящих кадров будет затоплен на всех портах. Именно из-за этого поведения лавинной рассылки и получила свое название атака лавинной рассылки MAC.

После запуска успешной атаки MAC-флуда злоумышленник может использовать анализатор пакетов для захвата конфиденциальных данных, передаваемых между другими компьютерами, которые были бы недоступны, если бы коммутатор работал нормально. Злоумышленник может также послать Подмена ARP атака, которая позволит им сохранить доступ к привилегированным данным после восстановления коммутаторов после первоначальной атаки MAC-лавинной рассылки.

MAC-лавинная рассылка также может использоваться в качестве рудиментарного Переключение VLAN атака.^[2]

Контрмеры

Чтобы предотвратить атаки MAC-лавинной рассылки, сетевые операторы обычно полагаются на наличие одной или нескольких функций в своем сетевом оборудовании:

• С помощью функции, которую поставщики часто называют «безопасностью порта», многие современные коммутаторы могут быть настроены на ограничение количества MAC-адресов, которые можно узнать на портах, подключенных к конечным станциям.^[3] Меньшая таблица безопасный MAC-адреса поддерживаются в дополнение к традиционной таблице MAC-адресов (и как ее подмножество).
• Многие производители позволяют аутентифицировать обнаруженные MAC-адреса по аутентификация, авторизация и учет (AAA), а затем фильтруется.^[4]
• Реализации IEEE 802.1X наборы часто позволяют явно устанавливать правила фильтрации пакетов сервером AAA на основе динамически полученной информации о клиентах, включая MAC-адрес.
• Функции безопасности для предотвращения Подмена ARP или Подмена IP-адреса в некоторых случаях может также выполняться дополнительная фильтрация MAC-адресов для одноадресных пакетов, однако это зависит от реализации побочного эффекта.
• Иногда применяются дополнительные меры безопасности, чтобы предотвратить нормальное одноадресное наводнение для неизвестных MAC-адресов.^[5] Эта функция обычно полагается на функцию «безопасности порта» для сохранения всех безопасный MAC-адреса как минимум до тех пор, пока они остаются в таблице ARP устройств уровня 3. Следовательно, время старения изученных безопасный MAC-адреса настраиваются отдельно. Эта функция предотвращает лавинную рассылку пакетов при нормальных рабочих условиях, а также смягчает последствия атаки MAC-лавинной рассылки.

использованная литература