5 - Protection contre Attaques LAN

Introduction

La sécurisation des réseaux par la mise en place de firewall ou par l’utilisation de VPN pour l’accès distant sont basés sur l’exigence de se protéger contre les agressions extérieures.
D’autres part ces solutions protègent le trafic par analyse des trames entre les couches 3 et 7.
Cependant on sait que les malveillances peuvent aussi venir de l’intérieur. En particulier avec le développement du BYOD.

Les attaques courantes de l'infrastructure LAN de couche 2 sont les suivantes :

Attaques Telnet
Attaque par inondation (flooding) de table d'adresse MAC
Attaques de VLAN
Attaques DHCP
Attaque de reconnaissance de CDP

types d'attaques

Attaques Telnet

Pour des raisons de gain de temps quand le matériel le permet, l’accès à la gestion des périphériques réseau par ouverture de session distante est généralement activé.
Le fait de pouvoir se connecter au matériel sans connexion par console facilite le travail de l’administrateur qui n’a pas besoin de se déplacer jusqu’à la baie de brassage. Mais c’est donc aussi le cas pour un éventuel hacker.
On distingue deux types d'attaques Telnet :

attaques en force sur le mot de passe : Le hacker peut utiliser une liste de mots de passe courants, des dictionnaires ; pour trouver le mot de passe administrateur. Si le mot de passe n'est pas découvert lors de la première phase, une seconde phase débute. Le hacker utilise alors des outils de détection de mot de passe : logiciel qui crée des combinaisons de caractères pour trouver le mot de passe. Avec suffisamment de temps, une attaque en force permet de craquer presque tous les mots de passe.
attaque DoS Telnet : le hacker envoie en boucle des demandes de connexion Telnet pour déborder le service ce qui finit par le rendre indisponible.

Attaque par inondation de table d'adresse MAC

Aussi appelée « attaque par saturation de la table d'adresses MAC »

Situation sécure : La table d'adresses MAC du commutateur a enregistré toutes les adresses MAC des hôtes connectés et il envoie les trames uniquement sur le port qui conduit au destinataire.
Par exemple, toute trame envoyée par l'hôte A à l'hôte B est transférée par le commutateur via son port 2 et seulement via ce port.
Les hôtes ne reçoivent donc que les trames qui leur sont destinées

Le pirate envoie en continu des trames au commutateur avec des adresses MAC source factices et générées de manière aléatoire.
Le commutateur met à jour sa table d'adresses MAC avec les informations contenues dans les trames factices.
La taille des tables d'adresses MAC est limitée, au bout d’un moment elle ne peut plus enregistrer de nouvelles informations et ne contient plus que des informations fausses

Le pirate reçoit toutes les trames qui circulent sur le réseau

Attaques de VLAN

La plus courante est l'attaque par usurpation de commutateur. Elle cible une vulnérabilité CISCO.
Le pirate configure un hôte de façon qu’il se fasse passer pour un commutateur : il installe un émulateur DTP (Dynamic Trunking Protocol, Protocole propriétaire Cisco). Il simule une négociation DTP afin d’établir une liaison trunk avec le commutateur.

S'il y parvient et que le commutateur établit une liaison trunk avec l'hôte, il peut ensuite accéder à tous les VLAN connectés au commutateur et communiquer avec l'ensemble des VLAN (en émission et en réception).

Attaques DHCP

On distingue deux types d'attaques DHCP

Attaque par usurpation DHCP (spoofing)

un hacker configure un DHCP illicite sur le réseau pour attribuer des adresses IP aux clients.
Ce type d'attaque conduit les clients à utiliser un faux serveur DNS et surtout une passerelle par défaut qui est, en réalité, contrôlée par le hacker.

Attaque par insuffisance de ressources DHCP (DHCP starvation)

un hacker inonde le serveur DHCP de fausses requêtes DHCP et réserve ainsi toutes les adresses IP disponibles dans le pool du serveur DHCP. Ce qui conduit à un déni de service et donc à l’impossibilité de communiquer pour les hôtes du réseau.
Une attaque de type DHCP « Starvation » souvent lancée avant une attaque en usurpation. Il est ensuite plus facile d'intégrer un rogue DHCP sur le réseau.

Attaque en reconnaissance CDP

Le protocole CDP (Cisco Discovery Protocol) est un protocole propriétaire de découverte de liaison de couche 2. Il est activé par défaut sur tous les périphériques Cisco. Le protocole CDP permet de détecter automatiquement d'autres périphériques CDN et ainsi d'aider à la configuration automatique des périphériques. Les administrateurs réseau utilisent également le protocole CDP pour configurer et dépanner les périphériques réseau.
Les données CDP sont transmises à partir des ports compatibles de manière périodique et non chiffrée. Les données CDP incluent l'adresse IP du périphérique, la version logicielle IOS, la plate-forme, les fonctionnalités et le VLAN natif. Le périphérique qui reçoit le message CDP met à jour sa base de données CDP.

Les données CDP sont extrêmement utiles dans le cadre du dépannage réseau. Par exemple, le protocole CDP peut être utilisé pour vérifier une connectivité de couche 1 et 2. Si un administrateur ne peut pas envoyer de requête ping à une interface directement connectée, mais qu'il reçoit quand même les données CDP, le problème est probablement lié à la configuration de couche 3.
Cependant, les hackers peuvent également utiliser les informations fournies par le protocole CDP pour identifier les vulnérabilités de l'infrastructure de réseau.
Les diffusions CDP ne sont ni chiffrées, ni authentifiées. Par conséquent, un hacker peut compromettre l'infrastructure de réseau en envoyant de fausses trames CDP contenant de fausses informations aux périphériques Cisco connectés.

le protocole LLDP (Link Layer Discovery Protocol) peut également être la cible d'attaques de reconnaissance.

synthèse

description	attaque
Permet au pirate de voir les adresses IP environnantes, les versions logicielles et les informations relatives au VLAN natif afin de lancer une attaque de déni de service (DoS)	Inondation d’adresses MAC
Inonde le serveur DHCP de requêtes DCHP afin d'utiliser toutes les adresses disponibles et simule une attaque de déni de service (DoS) sur le commutateur.	Usurpation DHCP
Utilise un « dictionnaire » pour découvrir les mots de passe courants et tente d'initier une session Telnet avec les suggestions trouvées dans ce "dictionnaire"	Reconnaissance CDP
Utilise de fausses adresses MAC pour saturer la table d'adresses MAC	Insuffisance de ressources DHCP
Permet à un pirate de configurer un faux serveur DHCP sur le réseau pour affecter des adresses DHCP aux clients	Attaque en force

Solutions pour atténuer la vulnérabilité intra LAN

Limiter les attaques par inondation (flooding) de la table d'adresses MAC

Le moyen le plus simple et le plus efficace pour empêcher les attaques par inondation de table d'adresses MAC est d'activer la sécurité des ports.

La sécurité des ports permet à l'administrateur de définir les adresses MAC pour un port ou de laisser le commutateur détecter de manière dynamique un nombre limité d'adresses MAC.
Avec un nombre d'adresses MAC autorisées sur un port limité à 1, la sécurité des ports permet de bloquer tout accès non autorisé au réseau.
Lorsque des adresses MAC sont définies sur un port sécurisé, ce dernier ne transmet pas les trames dont les adresses MAC source ne se trouvent pas dans le groupe d'adresses définies.
Si un port est sécurisé et si le nombre maximum d'adresses MAC est atteint pour ce port, toute tentative de connexion supplémentaire réalisée depuis une adresse MAC inconnue générera une violation de sécurité.

Limiter les attaques du VLAN

Quelques conseils pour empêcher les attaques de VLAN de base :

Désactivez les négociations DTP (trunking automatique) sur les ports ne devant pas être en trunk en exécutant la commande de configuration d'interface switchport mode access.
Activez manuellement la liaison trunk sur le port en exécutant la commande de configuration d'interface switchport mode trunk.
Désactivez les négociations DTP (trunking automatique) sur les ports trunk en exécutant la commande de configuration d'interface switchport nonegotiate.
Choisissez un VLAN de gestion autre que le VLAN 1 (VLAN par défaut).

Limiter les attaques DHCP

Les bonnes pratiques de sécurité recommandent d'utiliser la surveillance DHCP pour limiter les attaques par usurpation DHCP (ou spoofing).

La surveillance DHCP reconnaît deux types de ports :

Les ports DHCP approuvés : seuls les ports se connectant aux serveurs DHCP en amont peuvent être approuvés. Ces ports doivent mener à des serveurs DHCP légitimes qui répondront avec des messages d'offre ou d'accusé de réception DHCP.
Les ports non approuvés : ces ports se connectent à des hôtes qui n’ont aucune raison d’envoyer des messages de serveurs DHCP.

Le commutateur peut refuser les paquets dans les cas suivants :

Messages de serveurs DHCP provenant d'un port non approuvé
Messages de clients DHCP ne respectant pas les limitations de débit de la surveillance DHCP

Sécuriser l’accès à l’administration des commutateurs

Il est conseillé de configurer un accès par le réseau de type AAA (Accès authentifié et autorisé avec journalisation) pour les périphériques réseau. On rencontre deux méthodes pour mettre en œuvre des services AAA

Authentification AAA locale

La fonction d'AAA local (ou autonome) utilise une base de données (noms d’utilisateur, mot de passe) pour l'authentification enregistrée sur le périphérique lui-même (donc locale).

Fonctionnement de l'authentification AAA locale :

Le client établit une connexion avec le routeur.
Le routeur AAA invite l'utilisateur à saisir un nom d'utilisateur et un mot de passe.
Le routeur confronte le nom d'utilisateur et le mot de passe à la base de données locale et fournit à l'utilisateur un accès au réseau en fonction des informations contenues dans celle-ci.

Authentification AAA basée sur le serveur

Dans le cadre de l'authentification basée sur le serveur, le routeur accède à un serveur AAA central.
Le serveur AAA contient les noms d'utilisateur et les mots de passe de tous les utilisateurs et fait office de système d'authentification central pour tous les périphériques présents dans l'infrastructure.

Fonctionnement de l'authentification AAA basée sur le serveur :

Le client établit une connexion avec le routeur.
Le routeur AAA invite l'utilisateur à saisir un nom d'utilisateur et un mot de passe.
Le routeur authentifie le nom d'utilisateur et le mot de passe à l'aide d'un serveur AAA distant.
Le routeur AAA peut utiliser le protocole TACACS+ (Terminal Access Controller Access Control System) ou le protocole RADIUS (Remote Authentification Dial-In User Service) pour communiquer avec le serveur AAA.

Sécuriser l'accès au LAN à l'aide de 802.1X

Le standard IEEE 802.1x définit un protocole de contrôle d'accès et d'authentification basé sur les ports (port-based access control). Il empêche les postes de travail non autorisés de se connecter au LAN via les ports accessibles du commutateur.

Avant de mettre à disposition les services offerts par le commutateur ou le LAN, le serveur d'authentification authentifie chaque station de travail connectée à un port de commutation.
Dans le cadre de l'authentification 802.1X basée sur les ports, les périphériques présents sur le réseau jouent un rôle spécifique, comme le montre la figure :

Le client (demandeur)

Le périphérique demande un accès LAN à l’authentificateur (en général commutateur), puis répond aux requêtes d’identification en provenance de l’authentificateur.
Sur la figure, le client est un PC exécutant un logiciel client conforme au standard 802.1X. Le demandeur peut également être un périphérique sans fil conforme au standard 802.1X, tel qu'un ordinateur portable ou une tablette.

Le commutateur (authentificateur)

Il contrôle l'accès physique au réseau en fonction de la réponse à la demande d'authentification du client. Le commutateur sert d'intermédiaire (proxy) entre le client et le serveur d'authentification. Il demande les informations d'identification du client, vérifie ces informations auprès du serveur d'authentification, puis transmet une réponse au client.

Le serveur d'authentification

Il confirme ou invalide l'identité du client et indique à l’authentificateur si le client est autorisé ou non à accéder au LAN et au commutateur.
Le serveur d’authentification est généralement un serveur Radius.

Analyse d’un trafic suspect - Mise en miroir de ports

L’analyse du trafic sur un réseau local répond à deux objectifs différents :

A l’occasion d’un comportement anormal du réseau, observer les trames qui circulent peut aider à formuler un diagnostic.
Pour détecter des paquets malveillants qui proviennent de l’intérieur du réseau on peut prévoir de surveiller le trafic.

Analyse de trames pour maintenance

En général un logiciel d’analyse de trames (tel que Wireshark) est installé sur le PC du service de maintenance qui est alors connecté sur un switch du réseau afin d’observer les trames qui circulent. Les réseaux actuels utilisent des commutateurs => les trames reçues ne sont transmises que sur le port conduisant au destinataire. Le PC de maintenance ne voit que les trames de diffusion et celles qui lui sont adressée.
Une solution pour observer les trames qui circulent sur un autre port est la mise en miroir de port (Port mirroring)
On configure le commutateur pour mettre en miroir le port à observer avec le port de connexion du PC de maintenance. L'administrateur peut ensuite analyser le trafic réseau qui circule sur le port ciblé.

Systèmes de détection des intrusions (IDS)

les systèmes IDS veillent à la sécurité du trafic en détectant les attaques réseau au moment où elles se produisent, en générant des alertes. Un système IPS (P : Protection) peut bloquer les paquets malveillants en temps réel; ils sont souvent installés en tant que service sur un routeur (dont la génération le permet) mais leur rôle n’est toutefois pas de filtrer les trames qui proviennent de l’extérieur.
Alors que les analyseurs de paquets sont généralement utilisés à des fins de dépannage, un système IDS/IPS recherche des types de trafic spécifiques. Lorsque le trafic traverse le système IDS/IPS, ce dernier l'analyse en temps réel et applique les mesures nécessaires dès la détection d'un trafic malveillant.

Un IPS est capable de bloquer le trafic suspect, un IDS produit des alertes qui seront analysées par les opérateurs de sécurité.

Le Port mirroring sur CISCO : Switched Port Analyser (SPAN)

SPAN locale

Le trafic sur un commutateur est mis en miroir sur un autre port du même commutateur. De nombreux termes sont utilisés pour identifier les ports entrants et sortants.

Une session SPAN est l'association entre :
- les ports (ou VLAN) sources (Ports surveillés)
- un port de destination (port connecté au dispositif d’analyse)

Le commutateur reproduit le trafic entrant ou sortant du port source (ou VLAN) sur le port de destination.
La source se définit soit par :
- UN port
- Un ensemble de ports
- Un VLAN

La destination se définit par :
- Un port qui NE PEUT PAS faire partie de la source
- Le port de destination n'est plus un port de commutation normal. Seul le trafic surveillé transite par ce port.

Exemple de configuration :