Maîtrise de l‘Audit des Risques des Systèmes
d‘Information avec Préparation CISA
TP2 : Attaques protocolaires
MAC Flooding avec MACOF et quelques contre-mesures majeures
Macof est un membre de l'ensemble d'outils de combinaison Dsniff et est principalement utilisé pour
inonder le commutateur sur un réseau local avec des adresses MAC. La raison en est que le
commutateur régule le flux de données entre ses ports. Il surveille activement (cache) l'adresse MAC
sur chaque port, ce qui l'aide à transmettre les données uniquement à la cible prévue. C'est la
principale différence entre un switch et un hub passif. Un concentrateur passif n'a pas de mappage et
diffuse donc les données de ligne sur chaque port de l'appareil. Les données sont généralement
rejetées par toutes les cartes réseau, à l'exception de celle à laquelle elles étaient destinées.
Cependant, dans un réseau centralisé, il est très facile de renifler les données en plaçant une carte
réseau en mode promiscuité. Cela permet à cet appareil de collecter simplement toutes les données
passant par un réseau centralisé. Bien que ce soit agréable pour un pirate informatique, la plupart des
réseaux utilisent des commutateurs, qui restreignent intrinsèquement cette activité. Macof peut
inonder un commutateur avec des adresses MAC aléatoires. C'est ce qu'on appelle l'inondation MAC.
Cela remplit la table CAM du commutateur, ainsi les nouvelles adresses MAC ne peuvent pas être
enregistrées, et le commutateur commence à envoyer tous les paquets à tous les ports, il commence
donc à agir comme un hub, et ainsi nous pouvons surveiller tout le trafic qui le traverse.
Macof peut inonder un commutateur avec des adresses MAC aléatoires. C'est ce qu'on appelle
l'inondation MAC. Cela remplit la table CAM du commutateur, ainsi les nouvelles adresses MAC ne
peuvent pas être enregistrées, et le commutateur commence à envoyer tous les paquets à tous les
ports, il commence donc à agir comme un hub, et ainsi nous pouvons surveiller tout le trafic qui le
traverse.
Dr. Mohamed EL GHAZOUANI Page 1 sur 11
Pour ce faire :
Lancer GNS3, puis on doit activer GNS3 VM :
Après le téléchargement de l’IOS d’un routeur, ajouter une nouvelle template :
Dr. Mohamed EL GHAZOUANI Page 2 sur 11
Dr. Mohamed EL GHAZOUANI Page 3 sur 11
Après l’ajout de NM-16ESW, le Routeur fonctionne comme un Switch.
Puis ajouter un cloud :
Dr. Mohamed EL GHAZOUANI Page 4 sur 11
Configurer le Cloud1 pour qu’il se connecte à l’interface VMnet1 (de la machine Kali Linux) :
Connecter Cloud1 VMnet1 avec l’interface Fastethernet1/0 du R1 :
Dr. Mohamed EL GHAZOUANI Page 5 sur 11
Dans VMWare, configurer la carte réseau comme suit :
Puis configurer la carte réseau eth0 da la machine Kali avec l’adresse IP [Link] et la masque
[Link] :
Dr. Mohamed EL GHAZOUANI Page 6 sur 11
Par la suite configurer l’interface virtuelle vlan 1 du switch (R1) avec une adresse IP dans le même
réseau que la machine Kali : [Link] [Link] :
Dr. Mohamed EL GHAZOUANI Page 7 sur 11
Test de ping entre le switch et la machine Kali :
Le ping marche bien.
On affiche la table CAM du switch :
On passe maintenant à utiliser Macof pour inonder le switch avec des adresses MAC aléatoires :
Dr. Mohamed EL GHAZOUANI Page 8 sur 11
On remarque le switch est inondé par des adresses MAC aléatoire :
Dr. Mohamed EL GHAZOUANI Page 9 sur 11
Contre-mesures Certaines des principales contre-mesures contre les inondations MAC :
Port Security : Limite le nombre d'adresses MAC se connectant à un seul port sur le commutateur :
La fonction s’active en encodant une première fois la commande switchport port-security en
configuration d’interface :
On peut fixer le nombre d’adresses MAC autorisées, ici par exemple 10 :
Les adresses MAC autorisées peuvent être fixées :
Mode de “violation” :
Une “Violation” est une action prise en cas de non-respect d’une règle port-security.
Dr. Mohamed EL GHAZOUANI Page 10 sur
11
Mode protect : dès que la “violation” est constatée, le port arrête de transférer le trafic des adresses
non autorisées sans envoyer de message de log.
Mode restrict : dès que la “violation” est constatée, le port arrête de transférer le trafic des adresses
non autorisées et transmet un message de log.
Mode shutdown : dès que la “violation” est constatée, le port passe en état err-disabled (shutdown)
et un message de log est envoyé.
Dr. Mohamed EL GHAZOUANI Page 11 sur
11
