Punti chiave
- Blocca le porte di accesso: forza la modalità access, disattiva DTP o il trunking automatico e limita le VLAN consentite per impedire lo switch spoofing.
- Cura l’igiene della VLAN nativa: evita di usare la VLAN 1 per il traffico utente, assegna un ID di VLAN nativa inutilizzato e taggalo sui trunk per bloccare gli exploit di doppio tagging VLAN.
- Metti in sicurezza il control plane di livello 2: abilita DHCP Snooping, Dynamic ARP Inspection (DAI), IP Source Guard, BPDU Guard/Root Guard e lo storm control per rafforzare la sicurezza.
- Applica il controllo degli accessi: richiedi 802.1X o MAB sulle porte di accesso e applica liste di controllo degli accessi (ACL) per singola VLAN al confine di livello 3, così da isolare e proteggere i segmenti.
- Monitora, verifica e dimostra: configura avvisi per le modifiche alla modalità delle porte o alla VLAN nativa, monitora le VLAN non autorizzate ed esporta report mensili per verificare il livello di sicurezza delle VLAN.
Per prevenire il VLAN hopping occorre blindare le porte di accesso, mettere in sicurezza le VLAN native, abilitare le protezioni di livello 2 come DHCP Snooping e DAI e applicare un controllo degli accessi basato su 802.1X.
Le VLAN sono uno strumento molto usato dagli amministratori per segmentare il traffico. Questi dispositivi possono migliorare le prestazioni, ridurre la congestione e rafforzare il livello di sicurezza del tuo MSP.
Tuttavia, come qualsiasi altro strumento, le VLAN non sono infallibili. Sono vulnerabili a una tecnica semplice ma pericolosa che gli autori di attacchi informatici usano per aggirare la segmentazione della rete: il VLAN hopping.
Il VLAN hopping può essere realizzato in due modi: il doppio tagging, in cui il traffico malevolo passa attraverso le VLAN native, e lo switch spoofing, che inganna gli switch inducendoli a creare collegamenti non autorizzati.
Entrambe le tecniche sfruttano piccole lacune di configurazione, come trunk configurati male o VLAN native gestite in modo scorretto, che permettono agli attaccanti di muoversi all’interno della rete.
La buona notizia è che esistono diverse strategie per impedire che questi due tipi di attacchi alle VLAN vadano a segno.
In questa guida vedremo come costruire un playbook per prevenire il VLAN hopping. Continua a leggere per scoprire i pericoli di questa tecnica.
Come prevenire il VLAN hopping: cinque strategie fondamentali
Esistono cinque metodi pratici per mettere in sicurezza la rete e prevenire il VLAN hopping, ma prima di iniziare assicurati che siano soddisfatti i requisiti seguenti.
📌Prerequisiti:
- Un inventario aggiornato degli switch e backup delle configurazioni che includano numeri di modello, versioni software e collocazione fisica.
- Una progettazione di rete e delle VLAN chiara e documentata, completa di assegnazioni e percorsi dei trunk.
- Una finestra di modifica approvata e un piano di rollback.
- Strumenti di monitoraggio e visibilità per tenere traccia delle modifiche alla modalità delle porte e dello stato delle protezioni di livello 2.
🎥 Questo video mostra tutte e cinque le strategie in sequenza: Come prevenire il VLAN hopping nelle reti MSP.
Metodo 1: blinda le porte di accesso (utenti, IoT, stampanti)
Uno dei modi più semplici per proteggere la rete dal trunking non autorizzato è blindare le porte perimetrali. In questo modo i dispositivi collegati, come stampanti, apparecchi IoT ed endpoint degli utenti, restano confinati nelle VLAN a loro assegnate.
Passaggi
- Imposta la modalità della porta su access.
- Configura tutte le porte dello switch che non sono di uplink su switchport mode access per impedire la negoziazione dei trunk.
- Disattiva il Dynamic Trunking Protocol (DTP).
- Disattiva DTP per impedire la formazione automatica dei trunk e fare in modo che tutte le porte restino in modalità access.
- Assegna le VLAN corrette ed elimina quelle inutilizzate.
- Imposta in modo esplicito la VLAN di accesso e rimuovi tutte le appartenenze a VLAN non necessarie per ridurre l’esposizione alle minacce.
- Metti in sicurezza le VLAN voce, se presenti.
- Usa LLDP/CDP per rilevare i telefoni IP e limita l’attivazione della VLAN voce ai soli dispositivi autorizzati. Questo passaggio impedisce l’uso improprio da parte di endpoint che non sono telefoni.
Metodo 2: rendi i trunk espliciti e sicuri
Le porte trunk sono canali potenti tra gli switch di rete, ma se la configurazione è approssimativa gli attaccanti possono sfruttarle facilmente per il VLAN hopping o per iniettare traffico.
Passaggi
- Configura manualmente le porte trunk.
- Imposta la modalità trunk e limita le VLAN a quelle strettamente necessarie alla comunicazione tra switch.
- Predisponi una VLAN nativa dedicata e inutilizzata.
- Assegna un ID VLAN inutilizzato e, se possibile, tagga la VLAN nativa per impedire lo sfruttamento del traffico non taggato.
- Evita di usare la VLAN 1.
- Riserva la VLAN 1 a un uso interno oppure eliminala globalmente, in modo che non trasporti traffico utente o di gestione.
Metodo 3: attiva le protezioni di livello 2
Gli attacchi di livello 2, come spoofing e flooding, possono compromettere una rete senza dare nell’occhio: per questo è fondamentale abilitare le protezioni integrate negli switch, che rendono il movimento laterale molto più difficile.
Passaggi
- Abilita DHCP Snooping.
- Attiva DHCP Snooping e considera attendibili solo le porte di uplink, così da impedire ai server DHCP non autorizzati di distribuire configurazioni IP malevole.
- Abilita IP Source Guard per bloccare lo spoofing degli indirizzi IP.
- Abilita Dynamic ARP Inspection (DAI).
- Filtra le risposte ARP contraffatte e previeni gli attacchi di ARP poisoning abilitando DAI.
- Abilita BPDU Guard e Root Guard.
- Proteggi la topologia STP e blocca gli switch non autorizzati abilitando BPDU Guard e Root Guard sulle porte di accesso.
- Abilita lo storm control.
- Abilitare lo storm control evita il flooding della rete limitando la velocità del traffico broadcast e multicast.
Metodo 4: applica policy di ammissione e segmentazione
Non tutti gli endpoint devono avere lo stesso accesso alle VLAN. Applicare un’ammissione basata sull’identità e una segmentazione della rete in base al livello di fiducia garantisce che solo i dispositivi autorizzati accedano alle VLAN corrette.
Passaggi
- Abilita l’autenticazione 802.1X e associa le identità alle VLAN.
- Richiedi un accesso basato sull’identità sulle porte perimetrali e usa il MAC Authentication Bypass (MAB) per i dispositivi che non supportano 802.1X.
- Assegna le VLAN in base all’identità dell’utente o del dispositivo, per ottenere una segmentazione dinamica e guidata dalle policy.
- Applica ACL inter-VLAN a livello 3.
- Usa le liste di controllo degli accessi (ACL) per limitare il traffico tra le VLAN, soprattutto quello est-ovest, e registra i tentativi di accesso per avere maggiore visibilità.
- Segmenta le reti guest e IoT.
- Isola i dispositivi a bassa affidabilità con percorsi di routing minimi, così da impedire loro di raggiungere le risorse.
Metodo 5: monitora, verifica e dimostra
Per mantenere sicura la rete del tuo MSP è indispensabile monitorare e verificare i nuovi controlli di sicurezza. In questo modo puoi dimostrare ai clienti che tutto funziona come previsto.
Passaggi
- Configura avvisi in tempo reale per le modifiche critiche.
- Monitora eventi come le modifiche alla modalità delle porte e la disattivazione delle protezioni di livello 2.
- Genera report mensili ed esaminali con regolarità.
- Esporta le differenze di configurazione per tenere traccia delle modifiche nel tempo.
- Mantieni un inventario dello stato delle porte per verificare ruoli e responsabilità attesi.
- Documenta lo stato delle funzionalità di sicurezza disponibili su tutti gli stack di switch.
- Raccogli dati durante gli incidenti.
- Raccogli catture di pacchetti (PCAP) dalle porte sospette e verifica i contatori di DHCP Snooping e DAI per capire se l’attività è stata bloccata o consentita.
Come funziona il VLAN hopping
Il VLAN hopping è una tecnica di attacco che permette al traffico di attraversare segmenti di rete a cui non dovrebbe avere accesso, in genere tramite doppio tagging VLAN o switch spoofing.
Gli attacchi di VLAN hopping avvengono in due modi: doppio tagging VLAN e switch spoofing.
Il doppio tagging sfrutta il protocollo standard di tagging 802.1Q, che consente ai frame Ethernet di trasportare informazioni sulle VLAN. In particolare, approfitta degli switch che rimuovono solo il primo tag VLAN quando inoltrano i pacchetti.
Ecco come funziona: l’attaccante invia un pacchetto con due tag VLAN. Il tag esterno corrisponde alla VLAN in cui si trova, mentre il tag interno indica l’ID della VLAN bersaglio.
Una volta rimosso il tag esterno, il pacchetto viene inoltrato allo switch successivo con il tag interno e finisce quindi nella VLAN presa di mira.
Lo switch spoofing, invece, prende di mira le porte trunk configurate male. Permette agli attaccanti di avviare una negoziazione DTP con uno switch legittimo. Una volta convinto lo switch a trattare il loro dispositivo come una porta trunk, possono ricevere e inviare traffico verso qualsiasi VLAN della rete.
Lo switch spoofing è considerato più pericoloso del doppio tagging perché consente una comunicazione bidirezionale. Il doppio tagging resta però una minaccia seria, perché permette agli attaccanti di aggirare i controlli di accesso e raggiungere segmenti riservati.
In qualunque modo avvenga, il VLAN hopping espone le organizzazioni a:
- Fuga di dati tra le VLAN.
- Accessi non autorizzati alle VLAN aziendali che contengono dati o risorse sensibili.
- Malware e movimento laterale all’interno della rete.
Senza le giuste misure di sicurezza, questi attacchi possono passare inosservati, aumentando per il tuo MSP il rischio di violazioni dei dati.
Reti MSP più solide con NinjaOne
NinjaOne aiuta gli MSP a monitorare, rilevare e prevenire in modo proattivo i tentativi di hopping, offrendo:
- Funzionalità complete di monitoraggio degli switch: con NinjaOne puoi tenere traccia delle configurazioni delle porte, delle appartenenze alle VLAN e di eventuali errori o schemi di traffico anomali.
- Strumenti di automazione: NinjaOne offre potenti funzionalità di automazione che ti permettono di pianificare automaticamente i backup delle configurazioni, eseguire controlli di conformità sulle policy di accesso e di trunking e aprire ticket per configurazioni VLAN non autorizzate.
- Reporting dettagliato: NinjaOne ti aiuta a generare report mensili per singolo tenant su segmentazione e sicurezza di livello 2, che evidenziano i tassi di conformità delle porte, gli eventi di deriva della configurazione e le misure di sicurezza attive.
Unendo il monitoraggio in tempo reale all’applicazione automatizzata delle policy e a un reporting ricco di informazioni, NinjaOne aiuta gli MSP a costruire reti più sicure e resilienti per i propri clienti.
Previeni il VLAN hopping con controlli di sicurezza collaudati
Il VLAN hopping può sembrare complicato, ma le difese contro questa tecnica sono relativamente semplici. Blindando le porte perimetrali, mettendo in sicurezza le VLAN native e applicando le protezioni di livello 2 puoi tenere i malintenzionati lontani dalla tua rete.
Se affianchi a queste strategie un’ammissione basata sull’identità e un monitoraggio regolare della deriva della configurazione, puoi individuare le lacune di sicurezza nascoste prima che gli attaccanti le sfruttino.
Questa guida traduce queste best practice in passaggi ripetibili e verificabili, applicabili su larga scala a più ambienti cliente. Soprattutto, ti permette di produrre prove verificabili del livello di sicurezza della tua rete.
Argomenti correlati:
