Protokol DHCP (Dynamic Host Configuration Protocol) je jedním z hlavních protokolů sítě, který umožňuje automaticky konfigurovat síťové parametry zařízením připojeným k síti. Navzdory své důležitosti se však DHCP může také stát terčem útočníků, kteří mohou využít jeho zranitelnosti k získání neoprávněného přístupu nebo narušení sítě.
Naštěstí síťové zařízení Mikrotik má mnoho vestavěných mechanismů, které umožňují efektivní ochranu před útoky pomocí protokolu DHCP. Použití těchto metod zabrání mnoha běžným útokům a zajistí spolehlivost a stabilitu sítě.
Jednou z důležitých metod ochrany je omezení přístupu k serveru DHCP. Je třeba nakonfigurovat přístupové body tak, aby k serveru DHCP měla přístup pouze důvěryhodná zařízení. To lze provést zadáním seznamu MAC adres zařízení, kterým je povolen přístup k serveru DHCP.
Dodatečnou ochranu lze zajistit pravidelnou aktualizací firmwaru hardwaru Mikrotik. Vývojáři pravidelně vydávají aktualizace, které zahrnují opravy zranitelností a vylepšení zabezpečení. Proto je důležité být si vědomi nejnovějších verzí firmwaru a včas jej aktualizovat na svém hardwaru.
V tomto článku se podíváme podrobněji na tyto a další metody ochrany proti útokům pomocí protokolu DHCP na hardwaru Mikrotik. Pokyny uvedené v článku pomohou zajistit bezpečnost vaší sítě a chránit ji před možnými hrozbami.
Protokol DHCP
Pomocí protokolu DHCP se zařízení mohou připojit k síti a přijímat síťová nastavení dynamicky, aniž byste je museli ručně konfigurovat. Server DHCP poskytuje IP adresu a další nastavení zařízením a klientská zařízení automaticky přijímají tato nastavení a přizpůsobují se podle toho.
Výhody a použitelnost DHCP z něj činí jeden z nejběžnějších protokolů pro konfiguraci síťových zařízení, jako jsou počítače, směrovače, hotspoty Wi-Fi atd.
Protokol DHCP však může být také zranitelný vůči útokům, takže je důležité přijmout opatření k ochraně sítě a zařízení před možnými útoky protokolem DHCP.
Přehled útoků podle protokolu DHCP
Protokol DHCP (Dynamic Host Configuration Protocol) slouží k automatickému nastavení sítě zařízením připojeným k síti. Útoky protokolem DHCP mohou vést k vážným kompromitacím zabezpečení sítě a zařízení.
Jedním z nejčastějších útoků je útok "DHCP Starvation". Při tomto útoku vytvoří útočník velké množství požadavků DHCP s falešnými MAC adresami, aby vyčerpal fond volných IP adres serveru DHCP. Když jsou všechny adresy vyčerpány, server DHCP nebude schopen přiřadit novému klientovi IP adresu, což způsobí odmítnutí služby a nedostupnost sítě.
Dalším známým útokem je útok "DHCP Spoofing". Při tomto útoku se útočník falšuje pod server DHCP a posílá klientům falešné odpovědi DHCP tím, že jim poskytuje falešná nastavení sítě, jako jsou nesprávné servery DNS nebo brány. Klienti připojeni k falešnému serveru DHCP mohou být přesměrováni na škodlivé nebo falešné webové stránky, což může vést ke krádeži dat nebo infekci zařízení.
Dalším častým útokem je útok "DHCP Hijacking". Při tomto útoku útočník zachytí legitimní DHCP zprávy a upraví jejich obsah vložením škodlivého kódu nebo změnou nastavení sítě. To může vést k úniku nebo zničení dat, zachycení hesel nebo instalaci bekdorů do zařízení.
| Název útoku | Popis |
|---|---|
| DHCP Starvation | Útočník vyčerpá fond volných IP adres serveru DHCP |
| DHCP Spoofing | Útočník se falšuje pod DHCP serverem a poskytuje klientům falešná nastavení sítě |
| DHCP Hijacking | Útočník zachytí a upraví zprávy DHCP zavedením škodlivého kódu nebo změnou nastavení sítě |
ARP útoky
V procesu útoku ARP útočník přebírá roli serveru ARP a nahrazuje skutečné odpovědi ARP na své falešné odpovědi. To umožňuje útočníkovi přesměrovat provoz sítě do svých vlastních zařízení (jako je zachycení hesel, dat a dalších citlivých informací) nebo vytvořit síťovou zátěž narušením sítě.
K ochraně Mikrotik před útoky ARP lze použít následující metody a doporučení:
- Povolit ochranu proti útokům ARP na routeru Mikrotik. Chcete-li to provést, musíte nakonfigurovat pravidla filtrování paketů ARP, která umožní blokovat nežádoucí odpovědi ARP.
- Použijte protokol DHCP Snooping ke sledování a ochraně před útoky na protokol DHCP a útoky ARP na přepínačích Mikrotik.
- Nakonfigurujte směrovač Mikrotik tak, aby používal statické záznamy ARP, aby se zabránilo možnosti výměny odpovědí ARP.
- Nakonfigurujte limit životnosti ARP mezipaměti (ARP cache Timeout) na směrovači Mikrotik, abyste zabránili dlouhodobému ukládání falešných ARP odpovědí do mezipaměti.
- Pravidelně monitorujte a analyzujte tabulky ARP na směrovači Mikrotik pro detekci neoprávněných záznamů.
Použití těchto metod a doporučení výrazně zvýší bezpečnost Mikrotiku a ochrání síť před útoky ARP.
Spoofing-útoky
Dva hlavní typy spoofingových útoků na protokol DHCP:
- Spoofing klienta DHCP: útočník napodobuje práci klienta DHCP odesláním falešných požadavků DHCP libovolným způsobem. Server DHCP přiřazuje falešnému klientovi zdroje sítě, což může vést k zablokování zdrojů nebo narušení stability sítě pro jiná zařízení.
- Spoofing DHCP serveru: útočník vytvoří falešný server DHCP a pokusí se nahradit skutečný server v síti. Jiná zařízení v síti připojená prostřednictvím DHCP mohou získat neplatné IP adresy nebo nesprávná nastavení, což může způsobit narušení sítě nebo zachycení dat.
S škádlením a vetřelci je těžké bojovat, ale existuje několik metod ochrany proti spoofingovým útokům na protokol DHCP:
- Použití DHCP Snooping: tento mechanismus umožňuje konfigurovat porty přepínače pro důvěryhodná a nedůvěryhodná zařízení DHCP. Konfigurováním portů jako důvěryhodných lze zabránit odesílání požadavků DHCP z portů, které nejsou servery DHCP.
- Použití filtrů DHCP Option: konfigurace serveru DHCP k filtrování možností DHCP, které mohou útočníci použít k provádění spoofingových útoků. Můžete například omezit přístup k možnostem souvisejícím s výchozími IP adresami a bránou.
- Aktualizace softwaru: Neustálá aktualizace softwaru na zařízeních v síti, včetně serveru DHCP a klientů, umožňuje zabránit zranitelnostem, které mohou útočníci použít k provádění spoofingových útoků.
Použití těchto bezpečnostních metod umožňuje snížit riziko spoofingových útoků na protokol DHCP. Doporučuje se však také sledovat aktualizace a bezpečnostní doporučení od výrobce Mikrotik a dalších dodavatelů síťového hardwaru a konzultovat se zkušenými odborníky v oblasti zabezpečení sítě.