Qu’est-ce que le MAC Flooding ? Comment l’éviter ?

Qu’est-ce que le MAC Flooding ?

Le MAC Flooding est une attaque réseau visant à faire déborder la table des adresses MAC (CAM table) d’un commutateur. Cette table est utilisée pour suivre la correspondance entre les adresses MAC et les ports physiques, ce qui permet à l’appareil de transmettre des données uniquement au port requis, plutôt que de les envoyer à tous les ports. Les services d’AlexHost offrent une protection de l’infrastructure contre de telles attaques, y compris des mesures visant à prévenir les vulnérabilités du réseau et à améliorer la sécurité de votre système.

Dans une attaque par inondation MAC, un attaquant envoie un grand nombre de paquets avec de fausses adresses MAC ou des adresses MAC aléatoires dans le réseau. La table des adresses MAC du commutateur se remplit alors rapidement. Lorsque la table atteint sa capacité, le commutateur ne peut plus associer les adresses MAC à des ports spécifiques et passe en mode “fail-open”, dans lequel il commence à inonder le trafic entrant sur tous les ports, comme le fait un concentrateur.

Ce comportement permet à l’attaquant de :

• Intercepter le trafic : Comme le commutateur diffuse désormais du trafic vers tous les ports, l’attaquant peut capturer des données qui étaient à l’origine destinées à d’autres hôtes.
• Effectuer des attaques de type “man-in-the-middle” (MITM) : En capturant le trafic diffusé, les attaquants peuvent tenter de manipuler ou d’analyser les données, ce qui peut leur permettre d’accéder à des informations sensibles telles que des identifiants de connexion ou des données personnelles.

Comment empêcher le MAC Flooding ?

La prévention des attaques par MAC Flooding passe par la mise en œuvre de plusieurs mesures de sécurité réseau et de configurations sur les commutateurs. Voici les méthodes les plus efficaces :

1. Utiliser la sécurité des ports

La sécurité des ports est une fonction qui peut être configurée sur les commutateurs gérés pour limiter le nombre d’adresses MAC pouvant être apprises sur un port. C’est l’un des moyens les plus efficaces de prévenir les attaques par inondation MAC.

• Définir une limite d’adresses MAC : Vous pouvez configurer le commutateur pour qu’il n’autorise qu’un nombre spécifique d’adresses MAC par port. Par exemple, si un port est connecté à une station de travail, vous pouvez fixer la limite à une ou deux adresses MAC.
• Adressage MAC collant : Cette fonction permet au commutateur d’apprendre et de mémoriser automatiquement les adresses MAC connectées à un port spécifique, en les stockant dans la configuration du commutateur. Cela peut empêcher l’utilisation d’appareils non autorisés sur ce port.
• Actions en cas de violation : Configurez des actions telles que l’arrêt du port, la restriction du trafic ou la génération d’une alerte en cas de dépassement de la limite d’adresses MAC.

Exemple de configuration (commutateur Cisco) :

Cette configuration met en place la sécurité des ports sur un commutateur Cisco, en autorisant un maximum de deux adresses MAC et en utilisant la fonction d’apprentissage collant.

2. Activer la segmentation VLAN

L’utilisation de réseaux locaux virtuels (VLAN) permet d’isoler différentes parties de votre réseau, ce qui réduit la portée d’une attaque par inondation MAC. Si l’attaque est dirigée contre un VLAN spécifique, elle n’aura pas d’impact sur les appareils des autres VLAN.

• Séparez les appareils sensibles : Par exemple, gardez les serveurs, les interfaces de gestion et les appareils critiques sur leur propre VLAN.
• Utiliser des VLAN privés : Les VLAN privés offrent une granularité encore plus fine en isolant le trafic au sein d’un VLAN.

En segmentant le réseau, vous limitez le domaine de diffusion et réduisez ainsi le nombre de dispositifs susceptibles d’être affectés par une attaque par inondation MAC.

3. Implémenter DHCP Snooping

Le snooping DHCP est une fonction de sécurité qui aide à prévenir certains types d’attaques en surveillant le trafic DHCP sur les ports approuvés et non approuvés. Bien qu’il soit principalement utilisé pour se protéger contre les attaques par usurpation d’adresse DHCP, il permet également de contrôler l’attribution des adresses IP sur un réseau.

• Ports de confiance : Désigne les ports connectés aux serveurs DHCP comme étant de confiance.
• Ports non fiables : Désigner les ports connectés aux clients comme non fiables. De cette manière, si un attaquant tente d’introduire un serveur DHCP malhonnête ou d’effectuer un MAC flooding, il peut être détecté et bloqué.

En activant le snooping DHCP en conjonction avec la sécurité des ports, vous pouvez sécuriser davantage votre réseau contre diverses attaques.

4. Utiliser des commutateurs administrables

Les commutateurs administrables offrent des fonctions de sécurité avancées qui peuvent protéger contre les attaques par inondation MAC. Ces commutateurs comprennent généralement des options pour la sécurité des ports, les VLAN et la surveillance.

• Listes de contrôle d’accès (ACL) : La configuration des listes de contrôle d’accès (ACL) permet de restreindre le trafic en fonction des adresses MAC ou IP, ce qui offre des niveaux de contrôle supplémentaires.
• Surveillance et journalisation : Les commutateurs administrables disposent souvent de meilleures capacités de surveillance et de journalisation, ce qui vous permet de détecter une activité inhabituelle qui pourrait indiquer une tentative d’inondation MAC.

5. Activer l’inspection ARP dynamique (DAI)

L’inspection ARP dynamique fonctionne parallèlement au snooping DHCP pour prévenir les attaques par usurpation d’adresse ARP, mais elle permet également de détecter les activités anormales concernant les adresses MAC. En validant les paquets ARP par rapport à la base de données DHCP snooping, l’inspection dynamique ARP peut détecter et atténuer les effets d’une attaque par inondation MAC.

6. Surveiller régulièrement le trafic réseau

La surveillance continue du trafic réseau peut aider à identifier les attaques potentielles de MAC flooding avant qu’elles ne causent des dommages importants. Des outils tels que Wireshark, la surveillance basée sur le protocole SNMP et les systèmes de détection d’intrusion (IDS) peuvent alerter les administrateurs de réseau en cas de niveaux inhabituels de trafic de diffusion ou d’augmentation rapide des nouvelles adresses MAC.

• Mettez en place des alertes : Configurez vos outils de surveillance du réseau pour qu’ils envoient des alertes si la taille de la table MAC atteint un certain seuil ou si le trafic de diffusion est inhabituel.

7. Passer à des commutateurs dotés de tables MAC plus grandes

Si possible, utilisez des commutateurs dotés de tables d’adresses MAC plus grandes, car il sera plus difficile pour un attaquant de remplir rapidement la table. Toutefois, il ne s’agit pas d’une solution à part entière, car des attaquants déterminés peuvent toujours inonder des tables plus grandes, mais cela peut vous permettre de gagner du temps pour détecter une attaque et y répondre.

Conclusion

L’inondation de MAC est une menace sérieuse pour la sécurité du réseau qui peut compromettre la confidentialité et l’intégrité des données sur un réseau. En mettant en œuvre la sécurité des ports, la segmentation des VLAN, le DHCP snooping et d’autres mesures de sécurité, vous pouvez atténuer efficacement les risques associés au MAC flooding. L’essentiel est de combiner plusieurs stratégies de sécurité et de surveiller régulièrement l’activité du réseau pour assurer la détection précoce et la prévention des attaques potentielles.