El documento describe los conceptos básicos de la capa de enlace de datos, incluyendo topologías como anillo, estrella y bus. También discute el uso de múltiples direcciones lógicas en una interfaz y la evolución de las topologías hacia diseños más complejos. Finalmente, analiza varias amenazas y ataques comunes a la capa de enlace como ARP spoofing, ataques a STP y soluciones de seguridad para mitigarlos.

1. Vins Vilaplana
vins.vilaplana@gmail.com

2. Introducción
¿Qué entendemos por capa de enlace?
¿Por qué es importante?
¿Seguridad? ¿En qué afecta?

3. Introducción

4. Erase una vez…
Topologías simples
Anillo Estrella Bus Malla

5. Erase una vez…
Vicios.

6. Erase una vez…
Multiples direccionamientos lógicos

7. Erase una vez…
interface Vlan1234
ip address 10.0.0.254 255.255.255.0 secondary
ip address 10.139.15.1 255.255.255.252 secondary
ip address 10.139.15.5 255.255.255.252 secondary
ip address 10.139.15.9 255.255.255.252 secondary
ip address 10.139.15.13 255.255.255.252 secondary
ip address 172.1.28.2 255.255.255.224 secondary
ip address 172.1.28.34 255.255.255.224 secondary
ip address 172.1.28.130 255.255.255.128 secondary
ip address 10.100.15.2 255.255.255.0
standby 1 ip 10.100.15.3
standby 1 priority 99
standby 2 ip 172.1.28.3
standby 2 priority 99
standby 3 ip 172.1.28.35
standby 3 priority 101
standby 3 preempt
standby 4 ip 172.1.28.131
standby 4 priority 99

8. Erase una vez…
Tráfico heterogéneo

9. Erase una vez…
Protocolos mal configurados

10. Erase una vez…
Multiples direccionamientos lógicos
Tráfico heterogéneo
Protocolos mal configurados

11. Hoy día…
Evolución de las topologías
Anillo Estrella Bus Malla

12. Hoy día…
Topologías
complejas
• Conectividad
heterogénea
• Distanciamiento
físico y lógico
• Demasiada
conmutación

13. Hoy día…
• Ampliación de funcionalidades
• Especialización del hardware

14. Riesgos y amenazas
Clasificación
• Implementación
• Diseño de protocolo

15. ARP
Inconvenientes
• Mensajes anónimos
• ARPs gratuitos
• Inundación de Vlan
• Respuestas ARP unicast

16. ARP
Ataques
• Denegación de Servicio
• Robar puertos
• Espiar tráfico
• Ataques MITM

17. ARP
Soluciones
• Activar ip arp inspection
• Cifrar tráfico
• Activar port security
• Activar macsec
• Modo PARANOIC

18. STP
Inconvenientes
• Menajes anónimos
• No hay chequeos
• No hay balanceo de carga
• Convergencia lenta

19. STP
Ataques
• Denegación de Servicio
• Espiar tráfico
• Bypass de equipos
• Ataques MITM

20. STP
Soluciones
• Activar bpdu / root / loop guard
• Activar portfast
• Activar etherchannel guard
• Activar bpdu filtering
•Limitar broadcasts

21. VTP
Inconvenientes
• Menajes anónimos
• No hay chequeos

22. VTP
Ataques
• Denegación de Servicio
• Crear, borrar, modificar Vlanes
• Reconfigurar Vlanes de otros switches

23. VTP
Soluciones
• Activar hashing md5
• En entornos pequeños, no usar VTP

24. DHCP
Inconvenientes
• Cualquiera puede ser servidor DHCP
• Sin cifrar

25. DHCP
Ataques
• Denegación de Servicio
• Forzar un cambio de IP
• Levantar un servidor DHCP

26. DHCP
Soluciones
• Filtrar por mac
• Activar ip dhcp snooping

27. Redundancia
Inconvenientes
• Falsas apariencias
• MACs cantosas
HSRP: 00-00-0c-07-ac-xx
VRRP/CARP: 00-00-5e-00-01-xx

28. Redundancia
Ataques
• Denegación de Servicio
• Forzar equipo activo / master

29. Redundancia
Soluciones
• ¿Cifrar? ¿IPSEC? ¿Autenticar?
• Cambiar MAC
• Activar 802.1x
• Controlar el acceso al medio

30. DTP / Vlan Tagging
Inconvenientes
• DTP activo por defecto
• No descarta tags

31. DTP / Vlan Tagging
Ataques
• Crear trunks
• Saltar de VLAN

32. DTP / Vlan Tagging
Soluciones
• Desactivar negociación DTP
• Activar VRF
• ¡No usar vlan 1 para nada!
• Desactivar puertos sin uso

33. CDP
Inconvenientes
• Menajes anónimos
• Sin cifrar

34. CDP
Ataques
• Obtención de información
• DoS (B.O. Fx)
• Crear dispositivos virtuales

35. CDP
Soluciones
• Desactivar CDP
• Limitar CDP a redes de gestión

36. 802.1x / EAP
Inconvenientes
• Gran despliegue de infraestructura
• Solo autentica al iniciar la conexión
• Afecta a la estabilidad de la red
• Implementación limitada

37. 802.1x / EAP
Ataques
• Denegación de Servicio
• Shadow host
• EAP-LEAP

38. 802.1x / EAP
Soluciones
• EAP-PEAP o EAP-TTLS
• Cisco MAB
• OpenSEA

39. PVLAN

40. MPLS / VRF
Inconvenientes
• Ninguno.

41. MPLS / VRF
Ataques
• Revelación de etiquetas o rutas
• Inyección de etiquetas
• Modificación de rutas
• Protocolos externos

42. MPLS / VRF
Soluciones
• Configuración adecuada

43. Cisco IOS
Inconvenientes
• Arquitectura rudi
• Código inseguro
• Imagen firmware
• Ejecución de código

44. Cisco IOS
Ataques
• Cambiar configuración
• Ganar acceso privilegiado (enable)
• Matar procesos (autenticación, logging)
• Infectar otros equipos

45. Cisco IOS
Soluciones
• Evitar obsolescencia
• Gestión proactiva de la plataforma
• Controlar imagen exterior

46. Ruegos y preguntas

47. Despedida
• Agradecimientos

48. Anexo I :: Referencias
• Documentación técnica
Securing Layer 2 in LAN (Altunbasak, Krasser, Owen, Grimminger, Huth y Sokol)
http://users.ece.gatech.edu/~owen/Research/Conference%20Publications/altunbasak_ICN2005.pdf
A Survey of BGP Security Issues and Solutions (T. Farley, P. McDaniel y Kevin Butler)
http://www.cs.purdue.edu/homes/ninghui/readings/TruSe_fall04/td-5ugj33.pdf
Secure Use of VLANs: An @stake Security Assessment
http://www.cisco.com/warp/public/cc/pd/si/casi/ca6000/tech/stake_wp.pdf

49. Anexo I :: Referencias
• Documentación técnica
Fun with Ethernet switches (Sean Connery)
http://www.blackhat.com/presentations/bh-usa-02/bh-us-02-convery-switches.pdf
ARP Vulnerabilities (Mike Beekey)
http://www.blackhat.com/presentations/bh-usa-01/MikeBeekey/bh-usa-01-Mike-Beekey.ppt
Protecting your IP network infrastructure (Nicolas Fischbach y Sebastien Lacoste-Seris)
http://www.blackhat.com/presentations/bh-europe-01/fischbach/bh-europe-01-fischbach.ppt

50. Anexo I :: Referencias
• Documentación técnica
Understanding, Preventing, and Defending Against Layer 2 Attacks (Yusuf Bhaiji)
http://www.cisco.com/web/ME/exposaudi2009/assets/docs/layer2_attacks_and_mitigation_t.pdf
Cisco IOS Shellcode And. Exploitation Techniques (Michael Lynn)
http://www.jwdt.com/~paysan/lynn-cisco.pdf
Killing the myth of Cisco IOS rootkits (Sebastian Muñiz)
http://eusecwest.com/esw08/esw08-muniz.pdf

51. Anexo I :: Referencias
• Herramientas
Mausezahn (Herbert Haas)
http://www.perihel.at/sec/mz
Yersinia (Slayer y Tomac)
http://www.yersinia.net
Taranis (Jonathan Wilkins)
http://www.bitland.net/taranis
Hunt (Pavel Krauz)
http://packetstorm.securify.com/sniffers/hunt/indexsize.shtml

52. Anexo I :: Referencias
• Herramientas
Ettercap (Alor y Naga)
http://ettercap.sf.net
Guillermo Marro, Seclab
SToP y storm
Dsniff (Dug Song)
http://monkey.org/~dugsong/dsniff
irm-mpls-tools
http://www.irmplc.com/researchlab/tools