'VLAN hopping' en français se traduit par 'vulnérabilité de saut de VLAN'.
Définition du VLAN Hopping
Le VLAN hopping est une attaque de sécurité dans les réseaux informatiques qui permet à un attaquant de contourner les limitations prévues des réseaux locaux virtuels (VLANs). C'est une technique utilisée par les hackers pour obtenir un accès non autorisé aux ressources réseau en manipulant les configurations de VLAN et en exploitant les vulnérabilités des commutateurs.
Comment fonctionne le VLAN Hopping
Les attaques de VLAN hopping exploitent diverses vulnérabilités dans les commutateurs réseau et la manière dont les VLANs sont configurés. Voici quelques méthodes courantes utilisées dans le VLAN hopping :
Double Tagging : Dans cette technique, l'attaquant envoie une trame avec deux étiquettes 802.1Q. La première étiquette est celle du VLAN de l'attaquant, et la deuxième étiquette est celle du VLAN cible. De cette manière, l'attaquant trompe le commutateur en lui faisant transférer la trame vers le VLAN non prévu.
Usurpation de commutateur : L'usurpation de commutateur est une autre méthode utilisée dans les attaques de VLAN hopping. L'attaquant accède au VLAN de gestion en usurpant les annonces du commutateur. Cela permet à l'attaquant d'intercepter et de modifier le trafic réseau, pouvant ainsi obtenir un accès non autorisé à des informations sensibles.
Exploitation du Dynamic Trunking Protocol (DTP) : Le DTP est un protocole propriétaire de Cisco utilisé pour négocier des liens de trunk entre les commutateurs. En exploitant le DTP, un attaquant peut convaincre un commutateur de changer son mode opérationnel en trunk. Cela permet à l'attaquant d'accéder à plusieurs VLANs, contournant ainsi les restrictions prévues des VLANs.
Conseils de Prévention
Pour prévenir les attaques de VLAN hopping et renforcer la sécurité de votre réseau, envisagez de mettre en œuvre les mesures suivantes :
Désactiver les ports inutilisés : Désactivez tous les ports de commutateur inutilisés pour empêcher un attaquant d'accéder physiquement au réseau par ces ports. En désactivant les ports inutilisés, vous réduisez la surface d'attaque et limitez les points d'entrée potentiels.
Désactiver le Dynamic Trunking Protocol (DTP) : Configurez manuellement les ports de commutateur pour qu'ils soient des ports d'accès plutôt que des ports de trunk, et désactivez le DTP. Ainsi, vous éliminez le risque d'exploitation du DTP, couramment utilisé dans les attaques de VLAN hopping.
Implémenter des listes de contrôle d'accès VLAN (VACLs) : Les VACLs offrent une couche de sécurité supplémentaire en vous permettant de contrôler le flux de trafic entre les VLANs. En appliquant des règles de contrôle d'accès plus strictes, vous pouvez empêcher la communication non autorisée entre les VLANs et réduire le risque de VLAN hopping.
Activer la sécurité des ports : La sécurité des ports vous permet de restreindre le nombre d'adresses MAC autorisées sur un port de commutateur particulier. En configurant la sécurité des ports, vous pouvez empêcher les périphériques non autorisés de se connecter au réseau et limiter l'impact potentiel des attaques de VLAN hopping.
Mettre régulièrement à jour le firmware des commutateurs : Gardez vos commutateurs réseau à jour avec les derniers firmwares et correctifs de sécurité. Cela garantit que les vulnérabilités connues pouvant être exploitées pour le VLAN hopping sont corrigées et atténuées.
Il est important de noter que les techniques de prévention peuvent varier en fonction de l'infrastructure réseau spécifique et du fournisseur de commutateur.
Termes associés
Segmentation du réseau : La segmentation du réseau est la pratique qui consiste à diviser un réseau informatique en réseaux plus petits et isolés à des fins de sécurité. Elle aide à réduire la surface d'attaque et à contenir l'impact des violations de sécurité.
Étiquette 802.1Q : L'étiquette 802.1Q est une norme IEEE pour le marquage VLAN dans les réseaux Ethernet. Elle permet aux administrateurs réseau d'attribuer une appartenance VLAN aux trames Ethernet, permettant ainsi la création de VLANs isolés au sein d'un réseau physique unique.