Pontos principais
- Entenda como funciona o switch spoofing: é um ataque de VLAN hopping em que um dispositivo não autorizado se faz passar por um switch para negociar um trunk e acessar outras VLANs.
- Force o modo de acesso nas portas de borda: configure todas as portas voltadas ao usuário como portas de acesso para impedir negociações indesejadas de trunk e bloquear o spoofing.
- Desative o trunking dinâmico e restrinja as VLANs: desligue o DTP e limite as VLANs permitidas nas portas de trunk para reduzir o movimento lateral e o abuso.
- Ative controles de segurança de primeiro salto: acrescente camadas de proteção como port security, DHCP snooping e dynamic ARP inspection para detectar dispositivos não autorizados.
- Controle o acesso à rede com identidade: use 802.1X com fallback para MAB para vincular o acesso a dispositivos ou usuários conhecidos e manter a segmentação clara.
O switch spoofing é uma ameaça frequentemente subestimada nas redes de pequenas e médias empresas (PMEs). Ao imitar um switch legítimo na sua rede, invasores conseguem acessar infraestrutura e dados sensíveis e ainda viabilizar outras explorações por meio de um ataque de “VLAN hopping”.
Este guia prático mostra como evitar o switch spoofing e foi escrito para administradores de TI e provedores de serviços gerenciados (MSPs) responsáveis pela operação e pela segurança de redes de PMEs. Ele cobre o enrijecimento de interfaces, a validação com verificações automatizadas e repetíveis e a geração de evidências prontas para auditoria.
O que é switch spoofing?
Switch spoofing é o nome comum de um ataque de VLAN hopping. Nele, o hacker conecta à sua rede um dispositivo que se passa por um switch real e engana um switch vulnerável (com configuração permissiva demais) para que ele crie um link de trunk com esse dispositivo. Esse trunk carrega dados de outras VLANs, então o invasor consegue burlar o isolamento de VLAN e chegar aos dados.
VLANs (LANs virtuais) são partições de rede que permitem manter dispositivos diferentes separados entre si, mesmo conectados à mesma infraestrutura física (o que se chama de segmentação de rede). Costumam ser usadas nas organizações para isolar redes distintas sem exigir infraestrutura paralela, e também por segurança. O Wi-Fi público, por exemplo, pode compartilhar links físicos e a conexão externa de internet com os recursos internos de TI, mas ficar em uma VLAN separada para impedir que os usuários acessem ativos privados.
Invasores podem chegar à sua infraestrutura de rede de várias formas: uma porta Ethernet exposta em local público, portas desprotegidas no escritório ou o uso de dispositivos e endpoints comprometidos.
Métodos de VLAN hopping
Além do switch spoofing, o double tagging é outro método de VLAN hopping: o invasor anexa duas tags de VLAN (interna e externa) ao mesmo quadro Ethernet, a unidade usada para transmitir dados.
Quando a porta de trunk descarta a primeira tag — comportamento esperado quando a tag corresponde à VLAN nativa — e encaminha o quadro, os outros switches acreditam que ele veio da segunda VLAN. Esse método é unidirecional (o tráfego não volta), mas ainda assim serve para montar ataques.
Como prevenir o VLAN hopping
Seguindo as recomendações deste artigo, você coloca em prática as boas práticas abaixo para mitigar ataques de VLAN hopping:
| Boa prática | Objetivo | Resultado |
| Forçar o modo de acesso nas portas de borda | Impede a formação acidental de trunks | Bloqueia o VLAN hopping na borda |
| Desativar o DTP e restringir as VLANs do trunk | Evita o abuso de trunks | Limita o movimento lateral |
| Ativar port security, snooping e DAI | Detecta dispositivos não autorizados e abuso de ARP | Aumenta o esforço do invasor e a visibilidade |
| Usar 802.1X com fallback para MAB | Vincula o acesso ao dispositivo ou à identidade do usuário | Segmentação e auditorias mais limpas |
| Validar com tentativas de teste | Comprova a eficácia dos controles e detecta regressões | Gera evidências prontas para auditoria |
| Arquivar configurações e resumos | Acompanha mudanças e violações | Comprova conformidade contínua |
O que é preciso para evitar o switch spoofing
Para mitigar ataques a VLANs via switch spoofing na rede da sua PME, você vai precisar das seguintes informações e ferramentas:
- Modelos de switch e versões de sistema operacional/firmware compatíveis com a desativação do dynamic trunking protocol (DTP) ou das tecnologias equivalentes de trunking automático
- Um plano de rede (novo ou existente) para VLANs de usuários e de gerenciamento, além de um ID de VLAN nativa não utilizado
- Janela de mudança e acesso out-of-band para reversão, caso algo dê errado
- Uma plataforma de documentação central para guardar backups de configuração, capturas de tela das validações e resumos mensais de evidências
Software de monitoramento de switches também pode ser implantado nos dispositivos compatíveis.
Recomendação 1: force o modo de acesso nas portas de borda
A principal forma de impedir o VLAN hopping por switch spoofing é configurar as portas para não negociarem trunks automaticamente.
- Configure as portas em modo de borda: coloque todas as portas voltadas ao usuário (as chamadas portas de borda) em modo de acesso, para que não possam ser usadas na negociação de novos trunks.
- Configure cada porta conforme a finalidade: confirme que a VLAN correta está definida em cada porta. Defina como VLAN nativa um ID de VLAN não utilizado e desativado, em vez da VLAN 1 padrão, para impedir o hopping por double tagging.
- Documente as configurações: registre todas as portas e VLANs na sua documentação de TI centralizada, assim é possível consultar o comportamento esperado de uma porta sem precisar entrar nas interfaces de gerenciamento.
Recomendação 2: restrinja os trunks
As portas que precisam negociar trunks devem ser restringidas, já que as configurações padrão podem permitir comportamentos que abrem caminho para o switch spoofing.
- Configure as portas de trunk manualmente: desative o DTP nas demais interfaces com capacidade de trunk e defina explicitamente as VLANs permitidas, em vez de manter o padrão permissivo.
- Restrinja a VLAN nativa: se a VLAN nativa for usada, garanta que o tráfego de usuários não seja permitido nela.
- Documente tudo: na documentação, inclua o motivo pelo qual cada VLAN é permitida em cada interface e revise essas decisões quando necessário, limitando o acesso ao estritamente necessário.
Recomendação 3: ative a segurança de primeiro salto
Os recursos de port security devem estar ativos em todas as portas de borda, com restrições de MAC para barrar dispositivos não autorizados. Também vale implantar DHCP snooping e inspeção de ARP para validar o tráfego e mitigar ataques comuns à camada 2 (a camada de enlace de dados no modelo OSI).
Tecnologias de segurança específicas de fabricantes, como o Cisco BPDU Guard, também ajudam a blindar a rede e impedir que dispositivos não autorizados se conectem pelas portas de borda.
Recomendação 4: controle a identidade na borda
As boas práticas de controle de acesso à rede (NAC) devem ser seguidas para separar redes e garantir que dispositivos confiáveis, de visitantes e anômalos sejam claramente identificados e separados. Sempre que for viável, implante 802.1X para autenticar o acesso à rede, com MAC authentication bypass (MAB) para os dispositivos que não suportam 802.1X.
Recomendação 5: valide se as proteções funcionam
Dá para testar a eficácia das suas medidas contra switch spoofing imitando ataques reais. Conecte um notebook sem privilégios e tente enviar quadros DTP ou com tags para verificar se não há escalonamento entre VLANs. Os dados capturados nesses testes servem como evidência de eficácia.
Método 6: monitore, revise e ajuste as medidas antispoofing e seus resultados
Como parte do seu processo de monitoramento de TI, você deve:
- Proteger contra desvio de configuração: capture e armazene as configurações e compare-as com o padrão definido, para garantir que não houve desvio nem adulteração.
- Garantir que os técnicos sejam avisados na hora: configure notificações para violações repetidas de port security e integre o tratamento de problemas de segurança de rede ao seu manual de resposta a incidentes.
Revise os dados coletados com frequência para avaliar a eficácia das proteções contra switch spoofing:
- Revise com frequência: confira as listas de exceções e o mapeamento de portas para reduzir a exposição, confirmando que não há portas de trunk disponíveis na borda e que as exceções para dispositivos legados são removidas quando deixam de ser necessárias.
- Atualize a documentação quando configurações ou processos mudarem: documente os resultados e as mudanças de configuração decorrentes com detalhe, o que ajuda na resolução de problemas e comprova conformidade.
NinjaOne combina gerenciamento, aplicação de políticas, monitoramento e automação para ajudar a detectar e mitigar invasões de rede
Manter configurações de rede consistentes e um monitoramento sem lacunas, capaz de identificar rapidamente agentes maliciosos nas suas redes, é um desafio que cresce junto com a infraestrutura.
NinjaOne ajuda a acompanhar um cenário de cibersegurança em constante mudança com um conjunto de ferramentas flexível, que unifica o monitoramento e gerenciamento remoto (RMM) de endpoints com o monitoramento e gerenciamento de rede (NMS), além de integrar-se a ferramentas de segurança como CrowdStrike e SentinelOne.
Você pode capturar e comparar configurações e logs dos dispositivos de rede para garantir consistência e evitar desvios, e disparar alertas quando houver tentativas de criar novos trunks. Os resumos podem ser formatados e guardados nas ferramentas de documentação nativas do NinjaOne, para revisão e como evidência de conformidade.
VLAN hopping e outras tentativas de invasão de rede e movimento lateral também podem ser detectados rapidamente por plataformas de cibersegurança com inteligência artificial, que usam NinjaOne para criar tickets e alertar os engenheiros na hora.
