11.6.4 Questionnaire de module – La Configuration de la Sécurité du Commutateur

Explication: La sécurité des ports ne peut pas être activer sur un trunc donc les truncs sont les seuls types de ports d’un réseau qui’ ont natif VLAN. Même si la désactivation du DTP sur une ligne est une bonne pratique recommandée, cela n’a aucun lien avec les risques des VLAN natifs. Pour éviter les failles qui profitent du VLAN natif, placez le VLAN natif dans un VLAN inutilisé, autre que VLAN 1. Le VLAN de gestion doit également être un VLAN inutilisé, différent du VLAN natif et autre que le VLAN 1.

Explication: PortFast apportera immédiatement une interface configurée comme un port d’accès ou un port trunc de l’état de blocage à l’état de transmission, en rejetant les états d’écoute et d’apprentissage. Si elle est configurée sur une liaison trunc, le basculement immédiat vers l’état d’expédition pourrait entraîner la formation de boucles de couche 2.

Explication: Au Contrairement les ports ethernet du routeur et les ports du commutateures sont activés par défaut. Cisco recommande désactiver tous les ports qui ne sont pas utilisé. la commande ip dhcp snooping permettent globalement l’espionnage DHCP d’un commutateure. Une configuration supplémentaire permet de définir les ports qui peuvent répondre aux requêtes DHCP. la commande switchport port-security est utilisée pour protéger le réseau contre la connexion non identifiée ou non autorisée des périphériques réseau.

Explication: à l’ attaque par insuffisance de ressources DHCP (starvation) un hacker inonde le serveur DHCP de fausse requêtes DHCP et réserve ainsi toutes les adresses IP disponibles dans le pool du serveur DHCP qu’il peut fournir. à l’attaque par usurpation DHCP (ou spoofing) un hacker configure un rogue serveur DHCP sur le réseau pour attribuer des fausses adresses de serveur DNS aux clients. La fonction de sécurité des ports peut limiter le nombre des adresses MAC apprissent dynamiquement par chaque port ou autorisent uniquement la connexion des NICs valides d’être connecté par leurs adresses MAC spécifiques. l’espionnage DHCP (DHCP snooping) peut identifier le légitime serveur DHCP et bloque les fausses serveurs DHCP de délivrer des information d’adresse IP. Ces deux fonctions peuvent aider à lutter contre les attaques DHCP.

Explication: Les attaques de saut VLAN assurent sur la capabilitée d’un hacker à créer un liaison trunc avec un commutateur. La désactivation du DTP et la configuration des ports utilisateur comme des ports d’accès statiques peuvent aider à prévenir ces types d’attaques. Désactiver le protocole STP (Spanning Tree Protocol) n’éliminera pas les attaques de saut VLAN.

Explication: Pour atténuer les risques d’usurpation ARP (ou spoofing), ces procédures sont recommandées :
Mettre en place la protection contre l’usurpation (spoofing)DHCP en activant globalement l’espionnage DHCP (DHCP Snooping).
– Activer l’espionnage DHCP sur les VLAN sélectionnés.
– Activer l’inspection ARP dynamique (DAI) sur les VLAN sélectionnés.
– Configurer les interface approuvées avec l’espionnage DHCP et l’inspection ARP. Ports non approuvé sont par défaut configurés.​

Explication: L’espionnage DHCP reconnaît deux types de ports sur les commutateurs Cisco :

• Ports DHCP approuvés – ports de commutateur connectés aux serveurs DHCP en amont.
• les Ports non approuvés – ports de commutateur connectés aux hôtes qui ne doivent pas deliverer des messages de serveurs DHCP.

Explication: la fonction PortFast peut être configurée sur tous les ports non trunc avec la commande de configuration globale par défautSpanning-Tree PortFast. La fonction PortFast peut être activée alternativement sur une interface avec la commande de configuration Spanning-Tree PortFast.

Explication: Si une interface qui a été protégée avec la sécurité des ports passe dans l’état error-disabled, alors une violation s’est produite et l’administrateur doit rechercher la cause de cette violation. Une fois la cause est déterminée, l’administrateur peut exécuter la commande shutdown suivie par la commande no shutdown pour activer l’interface.

Explication: Les étapes pour activer l’espionnage DHCP comprend les suivants :

• Étape 1. Activer l’espionnage DHCP avec la commande de configuration globale ip dhcp snooping.
• Étape 2. Sur les ports approuvés, configure l’interface avec la commande de confiance ip dhcp snooping.
• Étape 3. Activez l’espionnage DHCP par VLAN ou par une gamme de VLAN.

Explication: l’inspection ARP dynamique (DAI) peut être configuré pour examiner la destination ou la source des adresses MAC et IP:

• Destination MAC – Vérifie la destination adresse MAC dans l’en-tête Ethernet contre la cible adresse MAC dans le corps ARP.
• Source MAC – Vérifie la source Adresse MAC dans l’en-tête Ethernet contre l’expéditeur Adresse MAC dans le corps ARP.
• Adresse IP – Vérifie le corps ARP pour incorrecte et inattendues adresse IP y compris l’adresses 0.0.0.0, 255.255.255.255, et tous les adresses de multidiffusion IP.

Explication: La sécurité des ports limite le nombre des sources adresses MAC valides à transmettre par un port de commutateur. Cette fonction peut prévenir un hacker d’inonder un commutateur avec de nombreuses adresses MAC usurpées.

Explication: L’atténuation d’une attaque par saut de VLAN peut être effectuée en désactivant le protocole Dynamic Trunking Protocol (DTP) et mettre en place le VLAN natif des liaisons trunc sur les VLAN non utilisés.

Explication: En général, un routeur agisse comme passerelle par défaut pour le LAN ou le VLAN sur le commutateur. Par conséquent, l’interface de liaison montante qui communique à un routeur doit être un port approuvé pour la transmission de requêtes ARP.

Explication: Quand l’adresse MAC est automatiquement enregistrée avec l’option du commande sticky l’enregistrée des adresses MAC sont ajoutée dans la configuration courante donc est stockée dans la RAM.