Bach Khoa Aptech

Macof là một công cụ thông dụng để thực hiện các cuộc tấn công kiểu này, có thể tạo ra hàng chục ngàn MAC entry gửi đến port mỗi phút

1. Kiểu tấn công làm tràn MAC

- Bảng CAM (Content Addressable Memory) lưu trữ các địa chỉ MAC của các port, và các tham số VLAN trong switch. Không gian nhớ trong bảng CAM là hạn chế nên có nguy cơ tràn bảng CAM. Kiểu tấn công làm tràn MAC sẽ cố gắng làm tràn bảng CAM của các switch, khi đó switch sẽ cư xử như các hub. Một cuộc tấn công kiểu này trông giống như lưu lượng từ hàng ngàn máy tính được chuyển đến một port, nhưng thực tế là nó chỉ đến từ một máy giả mạo địa chỉ MAC của hàng ngàn host giả mạo.
Vd Macof là một công cụ thông dụng để thực hiện các cuộc tấn công kiểu này, có thể tạo ra hàng chục ngàn MAC entry gửi đến port mỗi phút. Khi đó, switch nhìn thấy lưu lượng và nghĩ rằng các địa chỉ MAC từ các gói mà kẻ tấn công gửi đi là các cổng hợp lệ và nó sẽ thêm entry vào bảng CAM. Khi tràn bảng CAM, switch sẽ broadcast lưu lượng trên VLAN mà ko cần thông qua bảng CAM nữa.

- Tấn công làm ngập lụt bảng MAC là 1 trong những kĩ thuật tấn công phổ biến nhất ở Layer 2. Trong kiểu tấn công này thì Switch đã bị lụt với các gói tin của các địa chỉ MAC khác nhau, do đó làm tiêu hao bộ nhớ trong Switch, lúc này Switch sẽ trở thành Hub. Do đó người dùng bất hợp pháp có thể sử dụng 1 công cụ Packet Sniffer để thâu tóm các dữ liệu nhạy cảm. Sau đây sẽ là mô hình mô phỏng cuộc tấn công MAC Flooding.

- Theo mô hình trên thì tôi sẽ sử dụng Backtrack tại máy Workstation C chạy công cụ macof để đồng loạt gửi hàng ngàn MAC giả tới Switch cho tới khi bảng MAC trên Switch bị lụt.

- Sử dụng BackTrack trên máy ảo VMware Workstation với Card mạng ảo để ở chế độ Brigde (kết nối tới thiết bị Switch) và mở Terminal khởi chạy cộng cụ macof trên giao diện Console.

- Tấn công làm tràn bảng MAC trên thiết bị Layer 2.

2. Biện pháp phòng tránh:

- Cách tốt nhất để bảo vệ VLAN tránh bị tấn công MAC Flooding là gán MAC tĩnh an toàn. Trên Switch thực hiện câu lệnh chỉ định MAC tĩnh như sau:

switchport port-security mac-address mac-address interface

(Trong đó: mac-address interface là địa chỉ MAC của cổng muốn gán tĩnh)

- Ngoài ra chúng ta còn có thể giới hạn số lượng MAC được nhận trên Port.

Switch(config-if)#sw port-security maximum 5 ( cho phép tối là 5 PC)

Switch(config-if)#sw port-security violation shutdown ( Qui định nếu vi phạm thì tắt cổng)