الرئيسية » Cisco » هجوم الـ STP manipulation وطريقة التصدي له

هجوم الـ STP manipulation وطريقة التصدي له

الهجوم الذي سوف أتحدث عنه اليوم خطير جدا وذلك بسبب قدرته على تخريب الشبكة بشكل كامل بالأضافة إلى أمكانية المهاجم في التنصت على كل مايجري في الشبكة وأقصد بهذا ليس فقط السويتش الذي ينتمي إليه المهاجم بل كل السويتشات الموجودة على  الشبكة ويمكن أن نطلق عليه STP manipulation أو
BPDU attack

مقدمة عن بروتوكول الـ Spanning Tree
كما هو معروف عند الجميع أن بروتوكول الـ STP يلعب دورا كبيرا في الشبكة في منع مايعرف بي الـ loop أو Broadcast Storm ويتم ذلك عن طريق أنتخاب سويتش واحد ليكون Root Bridge ويتم الأختيار حسب أقل Bridge ID موجود على الشبكة وبعدها يتم أختيار البورتات التى يجب أن تعمل أو تتوقف أعتمادا على الـ Cost أو التكلفة للوصول للـ Root Bridge وكل هذه الأمور تتم عن طريق مايعرف بي BPDU وطبعا هذا الكلام معروف عند الجميع
كيف يتم هذا النوع من الهجوم ؟
الهجوم كغيره فكرته بسيطة وتأثيره كبير جدا وهو يتم عن طريق أرسال BPDU مزور يخبر فيه المهاجم السويتش الذي يرتبط معه بأنه يملك أقل Bridge ID على الشبكة وبانه يجب ان يكون هو الـ Root Bridge وبالتالي سوف تتم أعادة توزيع البورت على كل السويتشات وهذه بعض الصور لتبسيط الموضوع
الصورة الاولى نرى فيها التوزيع الطبيعي للشبكة ونرى أيضا أن السويتش A هو الـ Root Bridge على الشبكة والخطوط الحمراء خاصة بي الـ STP ونرى أن المهاجم الموجود على الجهاز رقم 2 يقوم بأرسال BPDU مزور إلى السويتش

في الصورة الثانية سوف نشاهد ماذا سوف يحدث بعد أن يقوم المهاجم بتغيير المخطط

وسوف نلاحظ ان كل شيء قد تغيير وأصبح كل الترافيك الذي يعبر عبر الشبكة يمر عبر الشخص المهاجم وبالتالي أصبح عندنا الهجوم  الذي يعرف بي MITM أو Man In The Middle

كيف أحمي شبكتي من هذا النوع من الهجوم ؟
سيسكو تقترح عليك 3 طرق  للحماية من هذا الهجوم الأولى
BPDU Guard خاصية تخبر فيها البورت أن لا يستقبل أي نوع من رسائل الـ BPDU وفي حال أستلام البورت لاي BPDU سوف يقوم بتحويل حالة البورت إلى errdisable أي سوف يتم اغلاق البورت بشكل كامل
وطريقة الأعداد تتم على الشكل التالي :
أدخل أولا على البورت الغير أمن وأكتب فيه الأمر التالي

Cisco's IOS
Switch(config)#spanning-tree bpduguard enable

واذا أردت أن تقوم بتفعيل هذه الخاصية على كل البورتات التى تكون في حالة PortFast  أكتب الأمر التالي في الـ Config mode

Cisco's IOS
Switch(config)#spanning-tree portfast bpduguard default

BPDU Root في هذه الخاصية أخبر السويتش بأن هذه البورت لن يكون أبدا Root Bridge   وتتم من خلال هذا الأمر

Cisco's IOS
Switch(config-if)#spanning-tree guard root

BPDU Filtering هذه الخاصية هي نفس الخاصية الأولى تماما والفرق الوحيد هو أن هذه الخاصية تتيح لك أن تحدد ماذا تريد للبورت أن يفعل في حال أستلم BPDU بعكس الـ BPDU Guard الذي سوف يقوم بأغلاق البورت بشكل مباشر وطريقة الأعداد هي كالتالي:
على البورت

Cisco's IOS
Switch(config-if)#spanning-tree bpdufilter enable

واذا أردت أن تقوم بتفعيل هذه الخاصية على كل البورتات التى تكون في حالة PortFast  أكتب الأمر التالي في الـ Config mode

Cisco's IOS
Switch(config)#spanning-tree portfast bpdufilter default

ودمتم بود

Print Friendly, PDF & Email

عن Ayman Alnaimi أيمن النعيمي

مهندس كمبيوتر سوري ومقيم حاليا في قطر , باحث ومطور للمحتوى العربي على الأنترنت, أهدف إلى رفع مستوى الأمة العربية ومساعدتها في النهضة العلمية, أغلب أهتماماتي في الشبكات وتحديدا الهاردوير منها وأقضى معظم وقتي في القراءة والدراسة والعمل وأؤمن بأن الثورة لو كانت لتكون فهي تبدأ بالقراءة ويليها الكتابة وبدون الآخيرة لن يكون هناك ثورة. للتواصل admin@networkset.net & networkset@hotmail.com

7 تعليقات

  1. thanks man for this tip 😉

  2. تسلم على التدوينة

  3. 🙂 جزاك الله خيرا 🙂

  4. جزاك الله الف خير على هذا الشرح المبسط والجميل

  5. شكرا يا بشمهندس

    بس بالنسبه لل
    BPDU Filtering

    طيب ايه الامر الهنكتبش عشان نحدد
    هو هيعمل ايه في حالة استقبل bpdu??

    وشكرا لمجهودك 🙂

  6. رائع يا بشمهندس

  7. الف الف شكر ياهندسه

اضف رد

لن يتم نشر البريد الإلكتروني . الحقول المطلوبة مشار لها بـ *

*

x

‎قد يُعجبك أيضاً

حل مشكلة error 27850 عند تنصيب Cisco VPN Client

مقال سريع لتوثيق مشكلة صادفتني وقمت بحلها بخطوتان وهي تنصيب برنامج سيسكو الخاص بالـ VPN ...

مقارنة بين أنظمة سيسكو IOS و IOS-XR و IOS-XE و NX-OS

في هذا المقال سوف نتعرف سوياً على جميع الأنظمة التشغيلية التى قامت سيسكو بتطويرها وهي ...

أكثر الشهادات طلباً في مجال الأمن والحماية

نستكمل اليوم الحديث عن أفضل الشهادات العلمية واليوم سوف يكون حديثنا عن شهادات الأمن والحماية ...