Punti chiave
- Capisci come funziona lo switch spoofing: è un attacco di VLAN hopping in cui un dispositivo non autorizzato si presenta come uno switch per negoziare un trunk e accedere ad altre VLAN.
- Forza la modalità access sulle porte edge: configura tutte le porte rivolte agli utenti come porte access, per impedire negoziazioni di trunk indesiderate e bloccare lo spoofing.
- Disabilita il trunking dinamico e limita le VLAN: disattiva DTP e limita le VLAN consentite sulle porte trunk per ridurre movimenti laterali e abusi.
- Abilita i controlli di sicurezza first-hop: aggiungi livelli di protezione come port security, DHCP snooping e Dynamic ARP Inspection per individuare i dispositivi non autorizzati.
- Controlla l’accesso alla rete tramite l’identità: usa 802.1X con fallback MAB per legare l’accesso alla rete a dispositivi o utenti noti e mantenere una segmentazione chiara.
Lo switch spoofing è una minaccia spesso sottovalutata per le reti delle piccole e medie imprese (PMI). Imitando uno switch di rete legittimo all’interno della tua rete, gli aggressori possono ottenere l’accesso a infrastrutture e dati sensibili e preparare il terreno per ulteriori exploit tramite un attacco di VLAN hopping.
Questa guida pratica spiega come prevenire lo switch spoofing ed è rivolta agli amministratori IT e ai fornitori di servizi gestiti (MSP) responsabili del funzionamento e della sicurezza delle reti delle PMI. Illustra come applicare l’hardening alle interfacce, come eseguire verifiche automatizzate e ripetibili e come produrre prove di conformità pronte per gli audit.
Che cos’è lo switch spoofing?
Switch spoofing è il nome con cui si indica comunemente un attacco di VLAN hopping. Si verifica quando un hacker collega alla tua rete un dispositivo che si finge uno switch reale e induce uno switch vulnerabile (con una configurazione troppo permissiva) presente in rete a creare con esso un collegamento trunk. Questo collegamento trunk trasporta i dati di altre VLAN, quindi l’aggressore riesce ad aggirare l’isolamento delle VLAN e ad accedere ai dati.
Le VLAN (LAN virtuali) sono partizioni di rete che ti permettono di tenere separati dispositivi diversi pur collegandoli alla stessa infrastruttura di rete fisica (pratica nota come segmentazione della rete). Vengono comunemente utilizzate nelle organizzazioni per isolare reti diverse senza dover realizzare infrastrutture parallele, oltre che per ragioni di sicurezza. Ad esempio, il Wi-Fi pubblico può condividere i collegamenti fisici e la connessione internet esterna con le risorse del reparto IT interno, ma essere collocato su una VLAN separata per impedire agli utenti di accedere agli asset privati.
Gli aggressori possono ottenere l’accesso alla tua infrastruttura di rete in diversi modi: ad esempio tramite una porta Ethernet esposta in un luogo pubblico, porte non protette in un ufficio oppure utilizzando dispositivi ed endpoint compromessi.
Quali sono i metodi di VLAN hopping?
Oltre allo switch spoofing, un altro metodo di VLAN hopping è il double tagging: l’aggressore applica due tag VLAN (uno interno e uno esterno) allo stesso frame Ethernet, l’unità con cui vengono trasmessi i dati.
Quando la porta trunk scarta il primo tag – cosa prevista dal funzionamento normale quando il tag corrisponde alla VLAN nativa – e il frame viene inoltrato, gli altri switch penseranno che provenga dalla seconda VLAN. Anche se questo metodo è unidirezionale (il traffico non torna indietro), può comunque essere sfruttato per costruire attacchi.
Come si può prevenire il VLAN hopping?
Seguendo le indicazioni di questo articolo, metterai in pratica le seguenti best practice per mitigare gli attacchi di VLAN hopping:
| Best practice | Scopo | Risultato |
| Forzare la modalità access sulle porte edge | Impedisce la creazione involontaria di trunk | Blocca il VLAN hopping al perimetro |
| Disabilitare DTP e limitare le VLAN sui trunk | Previene l’abuso dei trunk | Limita i movimenti laterali |
| Abilitare port security, Snooping e DAI | Individua dispositivi non autorizzati e abusi di ARP | Aumenta la visibilità e lo sforzo richiesto all’aggressore |
| Usare 802.1X con fallback su MAB | Lega l’accesso ai dispositivi o all’identità dell’utente | Segmentazione e audit più puliti |
| Validare con tentativi di test | Dimostra l’efficacia dei controlli e individua le regressioni | Crea prove pronte per gli audit |
| Archiviare configurazioni e riepiloghi | Tiene traccia di modifiche e violazioni | Dimostra una conformità continua |
Cosa serve per prevenire lo switch spoofing
Per mitigare gli attacchi alle VLAN tramite switch spoofing sulla rete della tua PMI ti serviranno le informazioni e gli strumenti seguenti:
- Modelli degli switch di rete e versioni di OS/firmware che supportano la disattivazione del dynamic trunking protocol (DTP) o delle tecnologie di auto-trunking equivalenti
- Un piano di rete (nuovo o esistente) per le VLAN utente e le VLAN di gestione, oltre a un ID di VLAN nativa inutilizzato
- Una finestra di manutenzione e un accesso out-of-band per il rollback in caso di problemi
- Una piattaforma di documentazione centralizzata in cui conservare i backup delle configurazioni, gli screenshot delle verifiche e i riepiloghi mensili delle prove raccolte
Un software di monitoraggio degli switch può inoltre essere distribuito sui dispositivi supportati.
Raccomandazione 1: forza la modalità access sulle porte edge
Il metodo principale per prevenire il VLAN hopping tramite switch spoofing consiste nel configurare le porte in modo che non negozino automaticamente i collegamenti trunk.
- Imposta le porte in modalità edge: imposta tutte le porte rivolte agli utenti (note anche come porte edge) in modalità access, così da non poter essere usate per negoziare nuovi trunk.
- Configura le porte correttamente in base al loro scopo: assicurati che per ogni porta sia impostata la VLAN corretta. Imposta come VLAN nativa un ID di VLAN inutilizzato e per il resto disabilitato, invece della VLAN 1 predefinita, per prevenire l’hopping tramite double tagging.
- Documenta le configurazioni: documenta tutte le porte e le VLAN nella tua documentazione IT centralizzata, così da poter verificare il comportamento previsto di una porta senza dover accedere alle interfacce di gestione.
Raccomandazione 2: metti in sicurezza i trunk
Le porte che devono poter negoziare i trunk vanno messe in sicurezza, perché le configurazioni predefinite possono consentire comportamenti che rendono possibile lo switch spoofing.
- Configura manualmente le porte trunk: disabilita DTP su tutte le interfacce ancora in grado di funzionare come trunk e indica esplicitamente le VLAN consentite, invece di lasciare una configurazione permissiva per impostazione predefinita.
- Metti in sicurezza la VLAN nativa: se la VLAN nativa viene utilizzata, assicurati che il traffico degli utenti non sia consentito.
- Documenta tutto: nella tua documentazione indica anche perché determinate VLAN sono consentite sulle diverse interfacce, e rivedi queste scelte quando necessario per limitare l’accesso ai soli casi in cui serve davvero.
Raccomandazione 3: abilita la sicurezza first-hop
Le funzionalità di port security andrebbero abilitate su tutte le porte edge, con restrizioni sugli indirizzi MAC per impedire la connessione di dispositivi non autorizzati. Vanno inoltre attivati DHCP snooping e ARP inspection per validare il traffico e mitigare i più comuni attacchi al livello 2 (il livello di collegamento dati del modello di rete OSI).
È possibile utilizzare anche tecnologie di sicurezza specifiche di un fornitore, come Cisco BPDU Guard, per mettere in sicurezza le reti e impedire la connessione di dispositivi non autorizzati dalle porte edge.
Raccomandazione 4: controlla l’identità al perimetro
Le best practice per il controllo degli accessi alla rete (NAC) vanno seguite per separare le reti e per fare in modo che i dispositivi fidati, quelli ospiti e quelli anomali siano chiaramente identificati e separati. Dove possibile, utilizza 802.1X per autenticare l’accesso alla rete, con MAC authentication bypass (MAB) per i dispositivi che non supportano 802.1X.
Raccomandazione 5: verifica che le tue protezioni funzionino
Puoi testare l’efficacia delle misure di prevenzione dello switch spoofing simulando attacchi reali. Collega un laptop senza privilegi e prova a inviare frame DTP o con tag per verificare che non si verifichi alcuna escalation verso altre VLAN. I dati acquisiti durante questi test possono essere usati come prova dell’efficacia dei controlli.
Metodo 6: monitora, rivedi e aggiorna le misure anti-spoofing e i relativi risultati
Nell’ambito del tuo processo di monitoraggio IT dovresti:
- Proteggerti dalla deriva della configurazione: acquisisci e conserva le configurazioni e confrontale con gli standard per assicurarti che non ci siano derive della configurazione o manomissioni.
- Assicurarti che i tecnici ricevano una notifica immediata: configura notifiche per le violazioni ripetute della port security e integra la gestione dei problemi di sicurezza di rete nel tuo playbook di risposta agli incidenti.
Rivedi regolarmente i dati raccolti per valutare l’efficacia delle tue protezioni contro lo switch spoofing:
- Esegui revisioni periodiche: rivedi gli elenchi delle eccezioni e la mappatura delle porte per ridurre l’esposizione, verificando che non ci siano porte trunk disponibili al perimetro e che le eccezioni per i dispositivi legacy vengano eliminate quando non servono più.
- Aggiorna la documentazione quando cambiano configurazioni o processi: documenta in modo accurato i risultati e le conseguenti modifiche alla configurazione, per facilitare la risoluzione dei problemi e dimostrare la conformità.
NinjaOne unisce gestione, applicazione dei criteri, monitoraggio e automazione per aiutarti a rilevare e mitigare le intrusioni di rete
Garantire configurazioni di rete coerenti e un monitoraggio senza lacune, in grado di individuare rapidamente gli attori malevoli presenti nelle tue reti, è una sfida che cresce insieme alla tua infrastruttura.
NinjaOne ti aiuta ad affrontare un panorama della cybersecurity in continua evoluzione con una toolchain flessibile che unifica il monitoraggio e la gestione da remoto (RMM) degli endpoint con il monitoraggio e gestione della rete (NMS), integrandosi al contempo con strumenti di sicurezza come CrowdStrike e SentinelOne.
Puoi acquisire e confrontare configurazioni e log dei dispositivi di rete per garantirne la coerenza ed evitare derive, e inviare avvisi quando vengono rilevati tentativi di creare nuovi trunk. I riepiloghi possono essere formattati e conservati negli strumenti di documentazione integrati in NinjaOne, per essere rivisti e utilizzati come prova di conformità.
Il VLAN hopping e altri tentativi di intrusione nella rete e di movimento laterale possono essere rilevati rapidamente anche da piattaforme di cybersecurity basate sull’AI, che sfruttano NinjaOne per creare ticket e avvisare immediatamente i tecnici.
