Inondation Mac : comment ça marche ? [Detailed Guide]
Qu’est-ce que l’inondation MAC ?
Inondation MAC est une sorte d’attaque qui se produit sur votre LAN. Il est destiné à compromettre la sécurité des commutateurs du réseau. Les concentrateurs diffusent des données sur l’ensemble du réseau, mais les commutateurs envoient des données à la machine spécifique à laquelle elles sont destinées.
Qu’est-ce que l’adresse MAC ?
Le fabricant fournit par défaut Contrôle d’accès au support (MAC) à tous les ordinateurs. Il s’agit d’une adresse 48 bits représentée en hexadécimal, par exemple 00:1B:63:84:45:E6. Les trois premiers champs représentent le fabricant et les trois autres champs représentent l’ordinateur hôte. L’adresse MAC de votre système peut être trouvée à partir de l’invite de commande. L’adresse physique affichée dans la commande est votre adresse MAC.
Cet objectif d’envoi de données à la machine de destination est atteint à l’aide d’une table structurée appelée table MAC. La table d’adresses MAC a une minuterie, une fois expirée, entraîne la suppression de l’entrée. Le but de l’attaquant est de faire tomber la table MAC.
Trame Ethernet
Ethernet est une connexion entre le LAN et d’autres systèmes. C’est un système qui contrôle la transmission d’informations du réseau local à tout autre système connecté. Trame Ethernet contient la destination source et l’adresse MAC parmi les autres données. Il commence par la première phase, qui est l’en-tête et se termine par une séquence de vérifications définie par l’utilisateur.
Les vérifications de contrôle dans le cadre dépendent de l’organisation pour laquelle il est utilisé. Semblable à la table MAC, la trame Ethernet possède également une liste sur la base de laquelle les vérifications sont effectuées. Ethernet est l’une des structures de trame LAN les plus populaires et les plus utilisées aujourd’hui.
Comment fonctionne l’inondation MAC ?
L’inondation MAC se produit lorsque l’attaquant tente d’envoyer de nombreuses adresses MAC invalides à la table MAC. Il inonde la table source avec les adresses MAC invalides. Une fois que la table MAC atteint la limite attribuée de la table MAC, elle commence à supprimer les adresses MAC valides. C’est une des caractéristiques de la table MAC, elle supprime l’adresse précédente au fur et à mesure que de nouvelles adresses s’y ajoutent.
Maintenant, toutes les adresses MAC valides ont été supprimées. Le commutateur se comportera désormais comme le concentrateur du réseau. Si les utilisateurs connectés au même réseau tentent d’accéder au Web, ils reçoivent une diffusion ou une inondation sur tout le réseau.
Lorsque deux utilisateurs valides essaient de se connecter, leurs données seront transmises à tous les ports comme la diffusion. Ceci est également connu sous le nom d’attaque par inondation de table MAC. Une fois cela fait, tous les utilisateurs valides ne feront pas d’entrée. Ils vont travailler en fonction de l’émission.
Dans de tels scénarios, les attaquants font partie d’un réseau. Il enverra des packs de données malveillants à la machine de l’utilisateur. Cela permettra à l’attaquant de voler des données sensibles sur la machine de l’utilisateur. Cela permettra également à l’attaquant d’obtenir toutes les données de communication aller-retour. Cela rend une attaque par inondation MAC réussie.
Pour détecter une attaque par inondation MAC, un comptage d’adresses physiques peut être effectué. S’il y a plus d’adresses MAC que prévu dans le réseau, une vérification d’adresse peut être effectuée pour confirmer s’il y a des activités de vers ou des attaques en cours.
Qu’est-ce qui cause l’inondation ARP ?
L’inondation ARP (Address Resolution Protocol), également connue sous le nom d’usurpation d’adresse ARP, se produit lorsqu’un attaquant a envoyé des messages ARP falsifiés. Il s’agit d’une procédure de mappage d’adresse IP sur une machine permanente sur le réseau local. Il reliera l’adresse MAC de l’attaquant à l’un des utilisateurs valides du réseau. Une fois que l’adresse MAC de l’attaquant est connectée à une adresse IP authentique, toutes les données destinées à l’utilisateur authentique seront également reçues par l’attaquant. Les données envoyées de l’hôte à la victime iront plutôt à l’attaquant. Cela permet à des parties malveillantes d’intercepter, de modifier ou même d’arrêter le flux de données. Ceci est fait pour voler des informations sensibles de n’importe quel réseau.
Voici les méthodes d’inondation ARP :
- Attaques par déni de serviceune fois que le trafic est inondé dans la table MAC, il surcharge et se termine par une erreur.
- Détournement de session permet à l’attaquant de détourner la session et de voler des informations sensibles.
- L’homme au milieu de l’attaque permet à l’attaquant d’intercepter et de modifier le trafic entre les utilisateurs.
L’inondation ou l’usurpation d’ARP est plus compliquée et nécessite des outils pour effectuer la même chose. Alors que l’usurpation d’identité MAC est légale et peut être effectuée sans logiciel spécifique.
Comment puis-je empêcher mon MAC d’inonder?
La sécurité des ports est la solution pour arrêter l’attaque par inondation MAC. Cette fonction peut être définie sur les commutateurs. Il restreint le port et limite le nombre d’adresses que la table MAC peut apprendre. Il peut être défini par les administrateurs et modifié selon les besoins. Dès que la limite définie par le port est franchie, il entrera dans un état d’arrêt. Cette nouvelle adresse MAC ne pourra pas accéder au LAN car elle a enfreint la règle. Le système peut être réglé dans une position telle que toute violation entraînera l’arrêt du port. Cela placera le port dans un état d’erreur désactivée.
Plusieurs commandes peuvent être implémentées pour configurer la sécurité des ports. Vous pouvez définir la plage de ports. Il peut également s’agir d’un port d’accès ou d’un port de jonction. La fonction de sécurité du port ne fonctionnera pas si le port est en mode dynamique-souhaitable ou dynamique-auto. Auto est un mode par défaut défini dans chaque système. Vous devez vous assurer que le port est en mode accès ou en mode tronc. Vous pouvez définir le nombre maximum d’adresses MAC pouvant être atteintes via un port.
La violation peut être définie en fonction de l’action requise pour la sécurité du port. Il peut être en mode de protection, de restriction ou d’arrêt. L’état d’arrêt est un état par défaut, il ne peut être modifié qu’en modifiant les configurations du système. Cela définit le port dans un état d’erreur désactivée. Le mode de protection peut être activé en définissant une limite d’entrées MAC dans le tableau.
Le port reste actif et ignore les adresses Mac saisies au-delà de la limite. Ce mode ne mettra pas à jour les adresses MAC et seules les adresses MAC valides auront accès au LAN. L’accès à partir de réseaux non valides est supprimé et aucun enregistrement n’est conservé. Le mode de restriction est comme le mode de protection, la seule différence étant que les journaux sont classés en fonction de l’alerte d’une violation. Un message de journal consolidé est envoyé mentionnant la violation effectuée. Si aucun des modes n’est défini, le mode par défaut sera l’état d’arrêt.
Qu’est-ce que l’inondation dans un interrupteur ?
Inondation dans une émission incontrôlée, généralement causée par un ver. Les commutateurs doivent garder une trace des adresses MAC de tous les appareils connectés. Sans la table d’adresses MAC, les commutateurs ne sauront pas à quel port le périphérique de destination se connecter. L’inondation se produit lorsqu’un commutateur prétend être un concentrateur.
L’une des raisons fondamentales pour lesquelles un commutateur inonde est que lorsqu’un commutateur reçoit une diffusion, il n’a d’autre choix que de continuer. Une autre raison est lorsqu’il reçoit une trame dédiée à une destination et que la destination n’a pas d’entrée dans la table d’adresses MAC. L’interrupteur n’a d’autre choix que d’inonder le cadre. L’apprentissage, le filtrage, le transfert et l’inondation sont quelques-unes des fonctions de base des commutateurs. Il peut inclure l’optimisation des performances, la sécurité, la surveillance, les diagnostics, etc.
