Estrategias de Defensa
Port Security: Limitar el número de direcciones MAC permitidas en cada puerto del switch para prevenir MAC flooding.
Implementación de VLANs: Segmentar la red en VLANs para limitar el alcance de cualquier ataque y mejorar la seguridad en el nivel de enlace de datos.
Dynamic ARP Inspection (DAI): Configurar los switches para verificar la validez de las respuestas ARP y prevenir ARP Spoofing.
Defensa Contra ARP Spoofing
Dynamic ARP Inspection (DAI): Implementar DAI en switches para verificar la autenticidad de los mensajes ARP antes de que sean aceptados. Esto ayuda a prevenir que los mensajes ARP falsos sean procesados.
Tablas ARP Estáticas: Configurar tablas ARP estáticas en dispositivos críticos, de modo que las asociaciones IP-MAC no puedan ser manipuladas fácilmente.
Monitoreo de Tráfico ARP: Utilizar herramientas de monitoreo para detectar y alertar sobre anomalías en el tráfico ARP, como múltiples cambios en la misma dirección MAC.
Seguridad de la red: capa de enlace de datos
El canal de comunicación que conecta los nodos adyacentes se conoce como enlaces, y para mover el datagrama desde el origen al destino, el datagrama debe moverse a través de un enlace individual. La responsabilidad principal de la capa de enlace de datos es transferir el datagrama a través de un enlace individual.
El protocolo de capa de enlace de datos define el formato del paquete intercambiado entre los nodos, así como las acciones como detección de errores, retransmisión, control de flujo y acceso aleatorio. Los protocolos de la capa de enlace de datos son Ethernet, Token Ring, FDDI y PPP.
Una característica importante de una capa de enlace de datos es que los datagramas pueden ser manejados por diferentes protocolos de capa de enlace en diferentes enlaces de una ruta. Por ejemplo, el datagrama es manejado por Ethernet en el primer enlace y por PPP en el segundo.
Hemos visto que el rápido crecimiento de Internet ha generado una gran preocupación por la seguridad de la red. Se han desarrollado varios métodos para proporcionar seguridad en la capa de aplicación, transporte o red de una red.
Muchas organizaciones incorporan medidas de seguridad en las capas superiores del sistema OSI, desde la capa de aplicación hasta la capa IP. Sin embargo, un área que generalmente se deja de lado es el fortalecimiento de la capa de enlace de datos. Esto puede exponer la red a una variedad de ataques y vulneraciones.
En este capítulo, analizaremos los problemas de seguridad en la capa de enlace de datos y los métodos para solucionarlos. Nuestro análisis se centrará en la red Ethernet.
Protección de la LAN virtual
En las redes locales, las redes de área local virtuales (VLAN) a veces se configuran como una medida de seguridad para limitar la cantidad de hosts susceptibles a ataques de capa 2. Las VLAN crean límites de red que el tráfico de difusión (ARP, DHCP) no puede cruzar.
Protección de la red LAN inalámbrica
Una red de área local inalámbrica es una red de nodos inalámbricos dentro de un área geográfica limitada, como un edificio de oficinas o un campus escolar. Los nodos pueden comunicarse por radio.
Medidas de seguridad en redes LAN inalámbricas
Las medidas de seguridad proporcionan medios para derrotar los ataques y gestionar los riesgos de las redes. Se trata de medidas técnicas, operativas y de gestión de la red. A continuación, describimos las medidas técnicas adoptadas para garantizar la confidencialidad, la disponibilidad y la integridad de los datos transmitidos a través de redes LAN inalámbricas.
En las redes LAN inalámbricas, todos los puntos de acceso deben estar configurados para brindar seguridad mediante cifrado y autenticación de clientes. Los tipos de esquemas utilizados en las redes LAN inalámbricas para brindar seguridad son los siguientes:
Privacidad equivalente a cableado (WEP)
Es un algoritmo de cifrado integrado en el estándar 802.11 para proteger las redes inalámbricas. El cifrado WEP utiliza el cifrado de flujo RC4 (Rivest Cipher 4) con claves de 40/104 bits y un vector de inicialización de 24 bits. También puede proporcionar autenticación de puntos finales.
Sin embargo, es el mecanismo de seguridad de cifrado más débil, ya que se han descubierto varios fallos en el cifrado WEP. WEP tampoco tiene protocolo de autenticación, por lo que no se recomienda su uso.
Protocolo 802.11i
En este protocolo se pueden aplicar numerosas y más potentes formas de cifrado. Se ha desarrollado para sustituir al débil esquema WEP. Proporciona un mecanismo de distribución de claves. Admite una clave por estación y no utiliza la misma clave para todas. Utiliza un servidor de autenticación independiente del punto de acceso.
802.11i se encuentra entre las normas 802.11g y 802.11n de la imagen. 802.11g y 802.11n son versiones muchos mas comunes de ver, siendo 802.11g muy antigua y 802.11n no tanto. Hoy en día lo comun es encontrarse con dispositivos 802.11ac y 802.11ax.
IEEE802.11i exige el uso de un protocolo denominado Counter mode with CBC-MAC Protocol (CCMP). CCMP garantiza la confidencialidad e integridad de los datos transferidos y la autenticidad del remitente. Se basa en el cifrado por bloques Advanced Encryption Standard (AES).
El protocolo IEEE802.11i tiene cuatro fases de funcionamiento.
STA y AP se comunican y descubren capacidades de seguridad mutuas, como algoritmos compatibles.
STA y AS se autentican mutuamente y juntos generan una clave maestra (MK). AP actúa como “paso a través”.
STA obtiene la clave maestra por pares (PMK). AS obtiene la misma PMK y la envía al AP.
STA y AP utilizan PMK para derivar la clave temporal (TK) que se utilizará para el cifrado de mensajes y la integridad de los datos.