Tarmoq xafsizligi fanidan mustaqil ish

MAC manzilini almashtirish
Asosiy maqola: MAC firibgarligi
MAC manzillarini buzish eng oson hujumlardan biridir. "O'rtada odam" dasturini amalga oshirishdan tashqari, u bir qator mijozlar uchun xizmatni rad etishga olib kelishi mumkin bo'lgan aloqani buzish orqali tarmoqni ishdan chiqarishga imkon beradi.

Ushbu muammoning bir nechta echimlari mavjud. Oddiy, ammo yomon kengaytiriladigan — manzillarni portga qo'lda yoki statik ravishda bog'lash. Ushbu echimning kamchiliklariga qaramay, u qurilmalarning xatti-harakatlarini bashorat qilish va tarmoqning fizik topologiyasida kamdan-kam o'zgarishlar tufayli faol qo'llaniladi. Boshqa yondashuv 802.1 x protokoli kabi maxsus autentifikatsiya serverlari bilan autentifikatsiya protokollaridan foydalanishni o'z ichiga oladi.

DHCP serverini almashtirish
Asosiy maqola: DHCP snooping
DHCP server spoofing
DHCP OSI modelining dastur qatlami protokoli bo'lishiga qaramay, uning asosiy ishi havola qatlamiga qaratilgan. bu shuni anglatadiki, uning ishlashi bilan bog'liq muammolarning paydo bo'lishi tarmoqning eng asosiy qatlamlaridan birida oqibatlarga olib keladi.

Host mijozidan birinchi dhcpdiscover xabari efirga uzatiladi, ya'ni uni barcha tarmoq foydalanuvchilari, shu jumladan DHCP_server serveri va Rogue hujumchisi oladi. Ular DHCP Offer javoblarini mijozga yuboradilar, undan ular "mos keladigan"narsani tanlashlari kerak. Odatiy bo'lib, aksariyat tizimlarda mijoz qolganlarini e'tiborsiz qoldirib, birinchi kelgan taklifni tanlaydi. Shunday qilib, bo'shliq ochiladi: Agar Rogue-dan javob tezroq kelsa, hujum muvaffaqiyatli bo'ladi. Server tajovuzkorga qaraganda mijozdan jismonan uzoqroq bo'lishi mumkin, shuningdek tezroq bo'lishi mumkin, shuning uchun hujumni muvaffaqiyatli amalga oshirish ehtimoli juda katta.

Oqibatlari:

1. 
   Tajovuzkor mijozga javobida tarmoq haqida noto'g'ri ma'lumotlarni ko'rsatishi mumkin, bu uning keyingi ishining mumkin emasligiga olib keladi, ya'ni xizmatni rad etish amalga oshiriladi.
   
2. 
   Ko'pgina hollarda, DHCP protokoli mijozga standart shlyuz haqida ma'lumot beradi. Shunday qilib, tajovuzkor o'zini shlyuz sifatida ko'rsatish qobiliyatiga ega, bu tarmoq darajasida "o'rtada odam" hujumini amalga oshirishdir.
   

Bitta echim-bu DHCP Snooping deb nomlangan kalit funktsiyasi, bu quyidagicha:

1. 
   Barcha kommutator portlari DHCP serverlari ulangan ishonchli (ishonchli) va ishonchsiz (ishonchsiz) ga bo'linadi.;
   
2. 
   DHCP serverlari (DHCP Offer, Ack, Nack, LeaseQuery) tomonidan yuborilgan va ishonchsiz portlarga kelgan xabarlar bekor qilinadi;
   
3. 
   Yuboruvchining MAC manziliga mos kelmaydigan Mac manzilini o'z ichiga olgan ishonchsiz portlarga keladigan DHCP xabarlari bekor qilinadi;
   
4. 
   Ishonchsiz portga keladigan va 82-variantni o'z ichiga olgan DHCP xabarlari bekor qilinadi;
   
5. 
   DHCPDiscover xabarlari faqat ishonchli portlar orqali yuboriladi.