La superficie d’attacco più insidiosa è spesso il Layer 2: se un access switch viene compromesso, i controlli dei livelli superiori diventano irrilevanti. In SCOR queste difese vanno conosciute per funzione, dipendenze e valori di default.

Proteggere il piano dati sull’access layer

Port security contro MAC/CAM flooding

Un attacco di MAC flooding (tool tipo macof) satura la CAM table dello switch: esaurite le entry, lo switch degrada in fail-open, inoltrando in flooding come un hub e permettendo lo sniffing. La difesa è port security, che limita il numero di MAC address appresi per porta.

interface Gi0/1
 switchport mode access
 switchport port-security
 switchport port-security maximum 2
 switchport port-security violation restrict
 switchport port-security mac-address sticky

Le tre violation mode: protect (scarta silenziosamente), restrict (scarta + log/SNMP), shutdown (default: porta in err-disabled). Ricorda che il default di maximum è 1 e la modalità di default è shutdown.

DHCP snooping contro rogue DHCP

Un rogue DHCP server distribuisce default gateway o DNS malevoli (attacco MITM). DHCP snooping classifica le porte in trusted (verso il DHCP server legittimo/uplink) e untrusted (verso i client): sulle untrusted vengono bloccati i messaggi server-to-client (DHCPOFFER, DHCPACK). Fondamentale: DHCP snooping costruisce la DHCP snooping binding table, che mappa MAC ↔ IP ↔ VLAN ↔ porta. Su questa tabella si appoggiano le difese successive.

Dynamic ARP Inspection (DAI) contro ARP spoofing

Nell’ARP spoofing/poisoning l’attaccante invia gratuitous ARP falsificando l’associazione IP-MAC per intercettare il traffico. DAI intercetta gli ARP sulle porte untrusted e li valida contro la binding table di DHCP snooping: se l’associazione IP-MAC non corrisponde, il pacchetto viene scartato. Per gli host con IP statico si usano gli ARP ACL.

IP Source Guard contro IP spoofing

IP Source Guard (IPSG) applica un filtro dinamico sulla porta (basato su port ACL) che consente solo il traffico il cui source IP (e opzionalmente source MAC) è presente nella binding table. Blocca così l’IP spoofing alla sorgente.

Contenimento e segmentazione

Feature Minaccia mitigata Nota chiave
Storm control Broadcast/multicast/unknown-unicast storm Soglia in % banda o pps; azione filter o shutdown
BPDU Guard STP manipulation da porte access Su porte PortFast; violazione → err-disabled
Root Guard Rogue root bridge Blocca superior BPDU su porte designate
Private VLAN (PVLAN) Isolamento intra-subnet Isolated, community, promiscuous

Le PVLAN segmentano host all’interno della stessa subnet: le porte isolated non comunicano tra loro ma solo con la porta promiscuous (es. gateway), riducendo il movimento laterale.

VLAN hopping

Due varianti: switch spoofing (l’host negozia un trunk via DTP) e double tagging (due tag 802.1Q sfruttando la native VLAN). Mitigazioni: disabilitare DTP (switchport nonegotiate), forzare switchport mode access, e portare la native VLAN su una VLAN inutilizzata mai assegnata a host.

Hardening dei tre piani

  • Management plane: accesso device via SSH (mai Telnet), login local con AAA/TACACS+, exec-timeout, ACL sulle VTY, Control Plane Policing (CoPP) per proteggere la CPU da flood verso gli indirizzi del router.
  • Control plane: autenticazione dei routing protocol per impedire injection di route fasulle. OSPF, EIGRP e BGP supportano l’autenticazione, oggi con key chain e hashing (HMAC-SHA preferito a MD5). BGP inoltre usa spesso il TTL Security (GTSM).
  • Data plane: le feature Layer 2 sopra, più uRPF contro lo spoofing su interfacce L3 e ACL infrastrutturali.

Trappole tipiche d’esame

  • DAI o IP Source Guard non bloccano nulla / droppano tutto il traffico legittimo → verificare che DHCP snooping sia attivo e stia popolando la binding table: DAI e IPSG ne dipendono. Senza binding entry (o con host a IP statico privi di ARP ACL / static binding), il traffico valido viene scartato.
  • Scenario: porta in err-disabled dopo violazione port security → il comportamento atteso deriva dalla violation mode di default shutdown; per solo logging serve restrict, non protect.
  • MITM con default gateway fasullo distribuito via DHCP → risposta: DHCP snooping con la porta dell’uplink marcata trusted (non DAI, che agisce sull’ARP).
  • Double tagging VLAN hopping → la mitigazione corretta è spostare la native VLAN su una VLAN non usata, non abilitare più trunk.
  • Route fasulle iniettate da un peer non autorizzato → autenticazione del routing protocol (key chain HMAC-SHA), non un’ACL sul data plane.