Công cụ kiểm tra bảo mật Switch: Port Security, MAC Flooding và ngăn chặn tấn công

Tại sao cần công cụ kiểm tra bảo mật (Security Auditing Tool) trên Switch?

Phát hiện thông tin nhạy cảm kẻ tấn công có thể thu thập bằng cách nghe lén mạng
Kiểm tra cấu hình Port Security, VLAN, ACL
Mô phỏng tấn công MAC Flooding, VLAN Hopping, STP Manipulation
Tuân thủ tiêu chuẩn: PCI-DSS, ISO 27001, NIST

Port Security (Bảo mật cổng) trên Switch

Mục đích chính

Giới hạn số địa chỉ MAC được học trên một cổng
Chặn thiết bị không xác thực chuyển gói tin
Ngăn chặn MAC Flooding, MAC Spoofing, Rogue DHCP Server

Cấu hình trên Cisco Switch

interface GigabitEthernet1/0/1
 switchport mode access           # Chỉ cấu hình trên access port (L2)
 switchport port-security         # Bật port security
 switchport port-security maximum 2  # Tối đa 2 MAC address
 switchport port-security mac-address sticky  # Học MAC động và lưu vào running-config
 switchport port-security violation restrict  # Violation mode: restrict/shutdown/shutdown vlan
end
write memory

3 chế độ Violation (Vi phạm)

Chế độ	Hành động
shutdown (mặc định)	Tắt cổng (err-disable), cần admin bật lại
restrict	Chặn gói tin vi phạm, ghi log, gửi SNMP trap, cổng vẫn up
protect	Chặn gói tin vi phạm, KHÔNG ghi log, KHÔNG trap

Tấn công MAC Flooding & CAM Table Overflow

Kẻ tấn công gửi hàng ngàn frame Ethernet với source MAC giả nhau
Switch học đầy bảng MAC (CAM Table) → Chuyển sang chế độ "fail-open" (broadcast tất cả frame)
Kẻ tấn công nghe lén toàn bộ traffic trong VLAN
Cũng dùng để VLAN Hopping (Double Tagging, Switch Spoofing)

Giải pháp phòng chống

Port Security: Giới hạn MAC/port (như cấu hình trên)
DHCP Snooping: Chỉ cho phép DHCP Reply từ trusted port
Dynamic ARP Inspection (DAI): Validate ARP packet
IP Source Guard: Chặn IP spoofing
BPDU Guard / Root Guard: Bảo vệ STP
Private VLAN: Cô lập port trong cùng VLAN

Top công cụ Audit Switch bảo mật

SolarWinds Network Configuration Manager: Quản lý config, compliance, change detection
Nmap: Quét port, service, OS detection, NSE scripts
OpenVAS / Greenbone: Vulnerability scanning open-source
ManageEngine Vulnerability Manager Plus: Quét lỗ hổng, patch management
Metasploit Framework: Penetration testing, exploit development
Netwrix Auditor: Audit thay đổi AD, File Server, Network Devices
Kaseya VSA: RMM bao gồm network audit

MAC Address Table (CAM Table) Attack Prevention

Hầu hết switch managed đều có tính năng Port Security hoặc MAC Limit. Cấu hình:

# Cisco
switchport port-security maximum 2
switchport port-security violation restrict

# HP/Aruba
port-security max-mac-count 2
port-security action restrict

# Juniper
ethernet-switching-options {
    secure-access-port {
        interface ge-0/0/1 {
            allowed-mac 2;
        }
    }
}