VLANhoppingyrityksiä

VLAN hoppingyritykset ovat tietoturvahyökkäyksiä, joiden tavoitteena on murtautua virtuaalisen lähiverkon (VLAN) rajojen yli. VLANit on suunniteltu eristämään verkkoliikennettä luomalla virtuaalisia verkkoja fyysisen verkon sisälle. Tämä segmentointi parantaa turvallisuutta ja hallittavuutta, mutta VLAN-hyppyyritykset pyrkivät kiertämään nämä suojaukset.

Yleisin VLAN-hyppyyritys hyödyntää tunnettuja haavoittuvuuksia verkkokytkimissä, erityisesti niissä, jotka käyttävät protokollia kuten IEEE 802.1Q. Hyökkääjä voi yrittää lähettää erityisesti muotoiltuja paketteja, jotka saavat kytkimen uskomaan, että paketti kuuluu eri VLANiin kuin mihin se alun perin oli tarkoitettu. Yksi menetelmä on lähettää paketteja, joissa on kaksi 802.1Q-tagia. Kytkin saattaa käsitellä vain ensimmäisen tagin ja antaa toisen tagin kulkea läpi, jolloin paketti päätyy hyökkääjän haluamaan VLANiin.

Toinen tekniikka on hyödyntää Dynamic Trunking Protocol (DTP) -haavoittuvuutta. Jos kytkimen portti on asetettu automaattiseen trunking-tilaan, hyökkääjä voi saada sen neuvottelemaan trunk-linkin ja siten saada pääsyn kaikkiin VLANeihin. Hyökkääjä voi myös yrittää luoda oman huijauskytkimen, joka lähettää DTP-viestejä ja huijaa todellista kytkintä luomaan trunk-linkin.

VLAN-hyppyyritysten torjumiseksi on tärkeää konfiguroida verkkolaitteet turvallisesti. Tämä sisältää ei-käytettyjen porttien poistamisen trunk-tilasta, DTP:n poistamisen käytöstä ei-trunk-porteissa ja oletus-VLANin muuttamisen. Lisäksi on suositeltavaa käyttää laitekohtaisia turvamekanismeja, kuten porttikohtaista VLAN-määritystä ja MAC-osoitteiden suodatusta.