Alessandro Molinari : 15 Dicembre 2024 10:11
Il VLAN hopping è una tecnica di attacco che permette a un malintenzionato di inviare pacchetti di dati da una VLAN (Virtual LAN) a un’altra, superando le limitazioni di sicurezza che di norma isolano il traffico tra VLAN diverse.
Questo tipo di attacco sfrutta configurazioni di rete mal gestite e, in una rete vulnerabile, consente a un intruso di accedere a risorse a cui non dovrebbe avere diritto. In questo articolo analizzeremo i dettagli tecnici di questa tecnica, come viene implementata con uno script Python, il contesto di rete in cui può verificarsi e come prevenire tali attacchi.
Per effettuare un attacco di VLAN hopping, si può utilizzare un approccio basato su script Python che sfrutta la libreria Scapy. Scapy è una libreria potente ideale per creare e manipolare pacchetti di rete personalizzati. In questo scenario, lo script genera frame Ethernet con tag VLAN specifici e manipolati per forzare il traffico a “saltare” da una VLAN all’altra.
PARTE LA PROMO ESTATE -40%
RedHotCyber Academy lancia una promozione esclusiva e a tempo limitato per chi vuole investire nella propria crescita professionale nel mondo della tecnologia e della cybersecurity!
Approfitta del 40% di sconto sull’acquisto congiunto di 3 corsi da te scelti dalla nostra Academy. Ad esempio potresti fare un percorso formativo includendo Cyber Threat intelligence + NIS2 + Criptovalute con lo sconto del 40%. Tutto questo lo potrai fruire, dove e quando vuoi e con la massima flessibilità, grazie a lezioni di massimo 30 minuti ciascuna.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
In genere, una VLAN serve per isolare il traffico di rete. Per esempio, dispositivi collegati alla VLAN 1 non dovrebbero comunicare con dispositivi della VLAN 2 senza passare da un router o un firewall configurato appositamente. Tuttavia, con la manipolazione dei tag VLAN all’interno dei pacchetti Ethernet, lo script riesce a far apparire i pacchetti come se appartenessero a un’altra VLAN.
Nella pratica, questo metodo inserisce nei pacchetti più tag VLAN (detti anche Double Tagging o persino Triple Tagging) per eludere le misure di sicurezza normalmente implementate sugli switch di rete.
Un attacco di VLAN hopping è possibile solo in un contesto di rete specifico e vulnerabile. Nel caso di una rete basata su switch configurati in modo errato, come una rete che utilizza porte trunk e VLAN native non protette, un attaccante può manipolare i pacchetti per forzare il salto del traffico a un’altra VLAN.
In una configurazione tipica:
Se la VLAN nativa è configurata male (spesso lasciata al valore di default), può essere sfruttata per comunicare con VLAN che dovrebbero essere isolate. Questo problema può essere analizzato e verificato utilizzando strumenti di analisi della rete come Wireshark, che cattura i pacchetti trasmessi e consente di osservare i tag VLAN manipolati.
In questo contesto, l’attacco comporta:
Se lo switch non è configurato correttamente, accetterà il pacchetto interno e lo inoltrerà nella VLAN target.
Un test pratico di VLAN hopping dimostra che la tecnica può sfruttare configurazioni non sicure degli switch. Quando si inviano pacchetti con un singolo o doppio tag VLAN, uno switch correttamente configurato normalmente bloccherà o rimuoverà tali tag in quanto non corrispondono alle regole prestabilite.
Tuttavia, nei test, aggiungendo un terzo tag VLAN (una variazione avanzata del “Double Tagging”), è possibile elaborare pacchetti che attraversano le VLAN. Questo approccio dimostra come un attaccante può:
Simulando scenari più complessi, come attacchi mirati a device specifici (PC, server o dispositivi IoT), si può osservare come VLAN hopping possa compromettere la sicurezza dell’intera rete.
La buona notizia è che il VLAN hopping può essere mitigato attraverso una corretta configurazione degli switch di rete. Le seguenti strategie rappresentano le migliori pratiche per evitare che accada:
Una VLAN nativa è quella assegnata ai frame non taggati. L’errata configurazione delle VLAN native è uno dei principali punti deboli sfruttati durante un attacco. È importante:
Gli switch permettono di gestire il traffico Ethernet non taggato, ma questo comportamento può essere proibito per limitare i vettori di attacco. Configurare le porte trunk in modo che accettino solo traffico con tag VLAN appropriati è un passaggio essenziale.
Le ACL possono essere implementate sugli switch per filtrare il traffico e assicurarsi che solo i pacchetti con determinati tag VLAN siano accettati. Questo filtro è particolarmente utile per bloccare pacchetti malevoli creati con più tag VLAN.
Funzionalità come BPDU Guard possono evitare che dispositivi non autorizzati si comportino come switch all’interno della rete. Inoltre, altre tecnologie di sicurezza, come DHCP snooping e Port Security, possono rafforzare la difesa dagli attacchi.
Il VLAN hopping rappresenta una minaccia seria per la sicurezza di rete, in particolare in infrastrutture con configurazioni non ottimali. Grazie a tecniche come il Double Tagging e Triple Tagging, un attaccante può manipolare pacchetti di rete per superare barriere di isolamento critiche.
Tuttavia, attraverso una configurazione corretta della rete, in particolare con la modifica delle VLAN native sulle porte trunk, il blocco del traffico non taggato e l’uso di ACL, è possibile mitigare completamente il rischio di questi attacchi, preservando la sicurezza, l’integrità e la riservatezza della rete aziendale.
Th3R3dP1llUn episodio inquietante di guerra elettronica (Electronic War, EW) ha coinvolto direttamente la presidente della Commissione europea, Ursula von der Leyen. Durante l’avvicinamento all’aeroporto di...
Una falla critica nella sicurezza del demone Linux UDisks è stata rilevata recentemente, che consente a potenziali malintenzionati senza privilegi di accedere a file appartenenti ad utenti con privil...
La ricerca sulla sicurezza delle radiofrequenze non si ferma mai. Negli ultimi anni abbiamo visto nascere strumenti sempre più accessibili che hanno portato il mondo dell’hacking RF anche fuori dai...
In un’importante novità legale è alle porte. Un tribunale statunitense ha ordinato al gruppo NSO, noto produttore di spyware, di pagare 167 milioni di dollari a WhatsApp. Questa sentenza è la con...
Il ransomware continua a rappresentare una delle minacce più pervasive e dannose nel panorama della cybersecurity globale. Nel consueto report “DarkMirror” realizzato dal laboratorio di intellige...
