Vins Vilaplana

vins.vilaplana@gmail.com

Introducción

¿Qué entendemos por capa de enlace?

¿Por qué es importante?

¿Seguridad? ¿En qué afecta?

Introducción

Erase una vez…

Topologías simples

Anillo Estrella Bus Malla

Erase una vez…

Vicios.

Erase una vez…

Multiples direccionamientos lógicos

Erase una vez…interface Vlan1234

ip address 10.0.0.254 255.255.255.0 secondary

ip address 10.139.15.1 255.255.255.252 secondary

ip address 10.139.15.5 255.255.255.252 secondary

ip address 10.139.15.9 255.255.255.252 secondary

ip address 10.139.15.13 255.255.255.252 secondary

ip address 172.1.28.2 255.255.255.224 secondary

ip address 172.1.28.34 255.255.255.224 secondary

ip address 172.1.28.130 255.255.255.128 secondary

ip address 10.100.15.2 255.255.255.0

standby 1 ip 10.100.15.3

standby 1 priority 99

standby 2 ip 172.1.28.3

standby 2 priority 99

standby 3 ip 172.1.28.35

standby 3 priority 101

standby 3 preempt

standby 4 ip 172.1.28.131

standby 4 priority 99

Erase una vez…

Tráfico heterogéneo

Erase una vez…

Protocolos mal configurados

Erase una vez…

Multiples direccionamientos lógicos

Tráfico heterogéneo

Protocolos mal configurados

Hoy día…

Evolución de las topologías

Anillo Estrella Bus Malla

Hoy día…

Topologías

complejas

• Conectividad heterogénea

• Distanciamiento físico y lógico

• Demasiada conmutación

Hoy día…

• Especialización del hardware

• Ampliación de funcionalidades

Riesgos y amenazas

Clasificación

• Implementación

• Diseño de protocolo

ARP

Inconvenientes

• Mensajes anónimos

• ARPs gratuitos

• Inundación de Vlan

• Respuestas ARP unicast

ARP

Ataques

• Denegación de Servicio

• Espiar tráfico

• Ataques MITM

• Robar puertos

ARP

Soluciones

• Activar ip arp inspection

• Activar port security

• Activar macsec

• Cifrar tráfico

• Modo PARANOIC

STP

Inconvenientes

• Menajes anónimos

• No hay chequeos

• Convergencia lenta

• No hay balanceo de carga

STP

Ataques

• Denegación de Servicio

• Bypass de equipos

• Ataques MITM

• Espiar tráfico

STP

Soluciones

• Activar bpdu / root / loop guard

• Activar portfast

•Limitar broadcasts

• Activar etherchannel guard

• Activar bpdu filtering

VTP

Inconvenientes

• Menajes anónimos

• No hay chequeos

VTP

Ataques

• Denegación de Servicio

• Reconfigurar Vlanes de otros switches

• Crear, borrar, modificar Vlanes

VTP

Soluciones

• Activar hashing md5

• En entornos pequeños, no usar VTP

DHCP

Inconvenientes

• Cualquiera puede ser servidor DHCP

• Sin cifrar

DHCP

Ataques

• Denegación de Servicio

• Levantar un servidor DHCP

• Forzar un cambio de IP

DHCP

Soluciones

• Filtrar por mac

• Activar ip dhcp snooping

Redundancia

Inconvenientes

• Falsas apariencias

• MACs cantosas

HSRP: 00-00-0c-07-ac-xxVRRP/CARP: 00-00-5e-00-01-xx

Redundancia

Ataques

• Denegación de Servicio

• Forzar equipo activo / master

Redundancia

Soluciones

• ¿Cifrar? ¿IPSEC? ¿Autenticar?

• Cambiar MAC

• Controlar el acceso al medio

• Activar 802.1x

DTP / Vlan Tagging

Inconvenientes

• DTP activo por defecto

• No descarta tags

DTP / Vlan Tagging

Ataques

• Crear trunks

• Saltar de VLAN

DTP / Vlan Tagging

Soluciones

• Desactivar negociación DTP

• Activar VRF

• Desactivar puertos sin uso

• ¡No usar vlan 1 para nada!

CDP

Inconvenientes

• Menajes anónimos

• Sin cifrar

CDP

Ataques

• Obtención de información

• Crear dispositivos virtuales

• DoS (B.O. Fx)

CDP

Soluciones

• Desactivar CDP

• Limitar CDP a redes de gestión

802.1x / EAP

Inconvenientes

• Gran despliegue de infraestructura

• Solo autentica al iniciar la conexión

• Implementación limitada

• Afecta a la estabilidad de la red

802.1x / EAP

Ataques

• Denegación de Servicio

• EAP-LEAP

• Shadow host

802.1x / EAP

Soluciones

• EAP-PEAP o EAP-TTLS

• Cisco MAB

• OpenSEA

PVLAN

MPLS / VRF

Inconvenientes

• Ninguno.

MPLS / VRF

Ataques

• Revelación de etiquetas o rutas

• Protocolos externos

• Inyección de etiquetas

• Modificación de rutas

MPLS / VRF

Soluciones

• Configuración adecuada

Cisco IOS

Inconvenientes

• Arquitectura rudi

• Imagen firmware

• Código inseguro

• Ejecución de código

Cisco IOS

Ataques

• Cambiar configuración

• Ganar acceso privilegiado (enable)

• Infectar otros equipos

• Matar procesos (autenticación, logging)

Cisco IOS

Soluciones

• Evitar obsolescencia

• Gestión proactiva de la plataforma

• Controlar imagen exterior

Ruegos y preguntas

Despedida

• Agradecimientos

Anexo I :: Referencias

• Documentación técnica

Securing Layer 2 in LAN (Altunbasak, Krasser, Owen, Grimminger, Huth y Sokol)

http://users.ece.gatech.edu/~owen/Research/Conference%20Publications/altunbasak_ICN2005.pdf

A Survey of BGP Security Issues and Solutions (T. Farley, P. McDaniel y Kevin Butler)

http://www.cs.purdue.edu/homes/ninghui/readings/TruSe_fall04/td-5ugj33.pdf

Secure Use of VLANs: An @stake Security Assessment

http://www.cisco.com/warp/public/cc/pd/si/casi/ca6000/tech/stake_wp.pdf

Anexo I :: Referencias

• Documentación técnica

Fun with Ethernet switches (Sean Connery)

http://www.blackhat.com/presentations/bh-usa-02/bh-us-02-convery-switches.pdf

ARP Vulnerabilities (Mike Beekey)

http://www.blackhat.com/presentations/bh-usa-01/MikeBeekey/bh-usa-01-Mike-Beekey.ppt

Protecting your IP network infrastructure (Nicolas Fischbach y Sebastien Lacoste-Seris)

http://www.blackhat.com/presentations/bh-europe-01/fischbach/bh-europe-01-fischbach.ppt

Anexo I :: Referencias

• Documentación técnica

Understanding, Preventing, and Defending Against Layer 2 Attacks (Yusuf Bhaiji)

http://www.cisco.com/web/ME/exposaudi2009/assets/docs/layer2_attacks_and_mitigation_t.pdf

Cisco IOS Shellcode And. Exploitation Techniques (Michael Lynn)

http://www.jwdt.com/~paysan/lynn-cisco.pdf

Killing the myth of Cisco IOS rootkits (Sebastian Muñiz)

http://eusecwest.com/esw08/esw08-muniz.pdf

Anexo I :: Referencias

• Herramientas

Mausezahn (Herbert Haas)

http://www.perihel.at/sec/mz

Yersinia (Slayer y Tomac)

http://www.yersinia.net

Taranis (Jonathan Wilkins)

http://www.bitland.net/taranis

Hunt (Pavel Krauz)

http://packetstorm.securify.com/sniffers/hunt/indexsize.shtml

Anexo I :: Referencias

• Herramientas

Ettercap (Alor y Naga)

http://ettercap.sf.net

Guillermo Marro, Seclab

SToP y storm

Dsniff (Dug Song)

http://monkey.org/~dugsong/dsniff

irm-mpls-tools

http://www.irmplc.com/researchlab/tools