Sécurité des switchs : attaques de couche 2 et contre-mesures

Les attaques de couche 2 visent le réseau local lui-même : le switch, sa table d'adresses MAC, et les protocoles qui n'ont jamais prévu d'authentification (ARP, DHCP, STP). Elles demandent seulement d'être branché sur une prise ou connecté au Wi-Fi, et une panne matérielle peut produire exactement les mêmes symptômes. Ce chapitre décrit chaque attaque par son principe, ses symptômes et sa détection, puis les protections des switchs administrables : sécurité des ports, DHCP snooping, inspection ARP dynamique, protections STP, 802.1X et supervision SNMPv3. C'est le dossier A du sujet E7 SISR 2025.

Rappel : comment un switch apprend les adresses MAC

Un switch lit l'adresse MAC source de chaque trame qui arrive et note dans sa table d'adresses MAC (ou table CAM) : « cette adresse est derrière ce port ». Pour transmettre une trame, il cherche l'adresse de destination dans la table :

• adresse connue : la trame part sur un seul port ;
• adresse inconnue, ou diffusion (ff:ff:ff:ff:ff:ff) : la trame est inondée sur tous les ports du VLAN, sauf celui d'arrivée.

Cette table est stockée en mémoire, et sa taille est limitée (quelques milliers à quelques dizaines de milliers d'entrées selon le modèle). Les entrées non utilisées expirent au bout de 300 secondes par défaut. Le fonctionnement détaillé est dans le chapitre Ethernet du cours Réseaux.

Inondation de la table MAC (MAC flooding)

Principe. Une machine émet en rafale des trames avec des milliers d'adresses MAC source différentes, inventées. Le switch les apprend toutes, sa table se remplit, et il ne peut plus apprendre les adresses légitimes. Il inonde alors les trames destinées à ces adresses sur tous les ports : il se comporte comme un concentrateur (hub).

Conséquences. La disponibilité chute : la bande passante et le processeur du switch sont saturés, le réseau devient très lent, et l'inondation se propage aux autres switchs du VLAN, qui reçoivent eux aussi les trames inondées. La confidentialité est atteinte : chaque machine reçoit des trames qui ne lui sont pas destinées, et une capture de trames sur n'importe quel poste montre le trafic des autres, par exemple vers un serveur de fichiers.

Symptômes. Lenteur générale de tout un VLAN ; voyants des ports qui clignotent en permanence ; captures de trames sur un poste qui montrent des échanges entre d'autres machines ; table MAC pleine, avec un nombre d'adresses énorme sur un seul port d'accès.

Détection. Sur un switch Cisco, show mac address-table count donne le nombre d'entrées de la table et sa capacité ; show mac address-table interface Gi1/0/7 liste les adresses apprises sur un port. Un port d'accès, où se branche un seul poste, ne devrait porter qu'une ou deux adresses (un téléphone IP et le PC derrière lui). Les ports de liaison entre switchs (uplinks) en portent normalement beaucoup : toutes les machines situées derrière.

Usurpation ARP (ARP spoofing)

Principe. ARP traduit une adresse IP en adresse MAC, sans aucune vérification. Une machine malveillante envoie des réponses ARP non sollicitées qui affirment « l'adresse IP de la passerelle, c'est mon adresse MAC ». Les postes mettent à jour leur cache ARP et envoient leur trafic à l'attaquant, qui le relaie vers la vraie passerelle : il s'est placé au milieu (man-in-the-middle).

Conséquences. Atteinte à la confidentialité (lecture des échanges non chiffrés) et à l'intégrité (modification des échanges). La disponibilité peut aussi souffrir si l'attaquant ne relaie pas correctement.

Symptômes et détection. Dans le cache ARP d'un poste (arp -a sous Windows, ip neigh sous Linux), deux adresses IP différentes, dont la passerelle, ont la même adresse MAC ; l'adresse MAC de la passerelle change sans raison ; des avertissements de certificat apparaissent sur des sites habituellement sans problème. Un IDS ou un outil de surveillance ARP signale les changements d'association IP-MAC.

Faux serveur DHCP et épuisement du DHCP

Faux serveur DHCP (rogue DHCP). Une machine répond aux demandes DHCP plus vite que le vrai serveur et distribue une mauvaise passerelle ou un mauvais serveur DNS : tout le trafic, ou toutes les résolutions de noms, passent par elle. Cela arrive aussi par erreur, quand quelqu'un branche une box ou un routeur Wi-Fi personnel sur une prise du bureau.

Épuisement du DHCP (DHCP starvation). Une machine demande des baux avec des milliers d'adresses MAC inventées, jusqu'à vider la plage du serveur : les vrais postes n'obtiennent plus d'adresse.

Symptômes. Postes avec une passerelle ou un DNS inattendus (ipconfig /all), ou avec une adresse automatique en 169.254.x.x faute de bail ; plage DHCP pleine dans la console du serveur, avec des baux aux noms inconnus.

Saut de VLAN (VLAN hopping)

Le saut de VLAN permet d'envoyer du trafic dans un VLAN auquel on ne devrait pas avoir accès. Deux mécanismes existent :

• usurpation de switch : un port laissé en négociation automatique (protocole DTP de Cisco) accepte de devenir un lien d'agrégation (trunk) si l'appareil d'en face le demande, et donne alors accès à tous les VLAN ;
• double étiquetage : une trame porteuse de deux étiquettes 802.1Q, envoyée depuis le VLAN natif, voit sa première étiquette retirée par le premier switch et arrive dans le VLAN de la seconde étiquette (en sens unique).

Les deux se neutralisent par la configuration : ports d'accès forcés en mode access, négociation désactivée, VLAN natif des trunks réglé sur un VLAN inutilisé, aucun poste dans le VLAN 1.

Attaques contre le Spanning Tree

Le protocole STP élimine les boucles entre switchs en élisant un pont racine (root bridge). Un appareil qui envoie des messages STP (BPDU) avec une priorité très basse peut se faire élire racine : une partie du trafic passe alors par lui, et le réseau est perturbé pendant chaque recalcul. Une boucle accidentelle (un câble branché entre deux prises murales) provoque, elle, une tempête de diffusion qui paralyse le réseau en quelques secondes.

Les contre-mesures, sur un switch Cisco

Voici la configuration des ports d'accès d'un switch d'étage de Sorbier (ports 1 à 24, VLAN 10 des postes ; le port 48 remonte vers le switch de cœur) :

ip dhcp snooping
ip dhcp snooping vlan 10
no ip dhcp snooping information option
ip arp inspection vlan 10
!
interface range GigabitEthernet1/0/1 - 24
 description Postes du 1er etage
 switchport mode access
 switchport access vlan 10
 switchport nonegotiate
 switchport port-security
 switchport port-security maximum 2
 switchport port-security mac-address sticky
 switchport port-security violation shutdown
 ip dhcp snooping limit rate 15
 spanning-tree portfast
 spanning-tree bpduguard enable
!
interface GigabitEthernet1/0/48
 description Uplink vers le switch de coeur
 switchport mode trunk
 switchport trunk native vlan 999
 switchport trunk allowed vlan 10,99
 ip dhcp snooping trust
 ip arp inspection trust
!
interface range GigabitEthernet1/0/25 - 47
 description Ports inutilises
 switchport mode access
 switchport access vlan 998
 shutdown
!
errdisable recovery cause psecure-violation
errdisable recovery interval 600

Quelques explications ligne par ligne :

• maximum 2 : un PC, ou un téléphone IP et le PC branché derrière lui ;
• mac-address sticky : les adresses apprises sont inscrites dans la configuration ; après un copy running-config startup-config, elles survivent au redémarrage ;
• no ip dhcp snooping information option : empêche le switch d'ajouter l'option 82 aux requêtes DHCP : beaucoup de relais et de serveurs DHCP rejettent une requête qui porte cette option sans adresse de relais (giaddr à 0) ;
• ip dhcp snooping trust sur le port 48 seulement : c'est par là qu'arrivent les vraies réponses DHCP, relayées par le pare-feu. Une réponse DHCP qui arrive sur un port de poste est jetée ;
• limit rate 15 : au-delà de 15 messages DHCP par seconde sur un port, le port est coupé (protection contre l'épuisement) ;
• ip arp inspection vlan 10 : les appareils à adresse fixe du VLAN 10 (imprimantes .116 à .125) n'ont pas de bail dans la table du DHCP snooping ; on les déclare (ip source binding <adresse MAC> vlan 10 <adresse IP> interface <port>) ou on les autorise par une ACL ARP, sinon l'inspection jette leurs réponses ARP et ils deviennent injoignables ;
• VLAN 999 comme VLAN natif et VLAN 998 pour les ports inutilisés : deux VLAN « parking » où il n'y a personne ;
• errdisable recovery : un port coupé par la sécurité des ports se réactive seul au bout de 600 secondes. Sans cette ligne, un administrateur doit le réactiver à la main (shutdown puis no shutdown).

Les trois réactions de la sécurité des ports

Quand une adresse MAC de trop se présente sur un port, le switch applique le mode de violation choisi :

protect est silencieux : personne n'est prévenu, c'est le mode à éviter. restrict laisse travailler l'utilisateur légitime tout en alertant. shutdown isole complètement l'appareil fautif et alerte : c'est le mode adapté quand on veut neutraliser un équipement qui inonde le réseau, comme dans le sujet 2025. On le combine avec errdisable recovery si l'on accepte que le port revienne seul, ou sans, pour qu'un technicien aille voir ce qui est branché.

Pour vérifier :

show port-security
show port-security interface GigabitEthernet1/0/7
show port-security address
show interfaces status err-disabled
show ip dhcp snooping binding
show ip arp inspection statistics

802.1X : authentifier avant de brancher

La sécurité des ports limite le nombre d'appareils ; elle ne vérifie pas qui se branche. Le protocole 802.1X le fait : tant que l'appareil ne s'est pas authentifié auprès d'un serveur RADIUS (par un certificat machine ou un identifiant de l'annuaire), le port du switch ne laisse passer que les messages d'authentification. Une fois authentifié, l'appareil peut même être placé automatiquement dans son VLAN. Pour les imprimantes et les caméras qui ne savent pas faire de 802.1X, on utilise l'authentification par adresse MAC (MAB), moins sûre, limitée à un VLAN restreint. Le fonctionnement détaillé, commun au filaire et au Wi-Fi, est au chapitre 8.

Être alerté : traps SNMP et SNMPv3

Le sujet 2025 demande d'être alerté automatiquement si l'incident se reproduit. SNMP offre deux modes de supervision :

• l'interrogation (polling, UDP 161) : le serveur de supervision interroge chaque équipement à intervalle régulier, par exemple toutes les cinq minutes. Un événement survenu entre deux interrogations n'est vu qu'au passage suivant, et un switch saturé peut ne plus répondre ;
• le trap (UDP 162) : l'équipement envoie lui-même une notification au serveur au moment où l'événement se produit (violation de la sécurité des ports, port qui tombe, redémarrage). C'est plus réactif et cela ne charge pas le réseau en continu.

SNMPv1 et v2c protègent l'accès par une simple communauté, un mot de passe qui circule en clair : quiconque capture le trafic la lit, et une communauté en écriture permet de reconfigurer l'équipement. SNMPv3 ajoute deux mécanismes de sécurité :

Les trois niveaux de sécurité de SNMPv3 sont noAuthNoPriv, authNoPriv et authPriv ; seul authPriv est acceptable. Sur le switch, avec le serveur de supervision 192.168.10.180 :

snmp-server group SUPERVISION v3 priv
snmp-server user zabbix SUPERVISION v3 auth sha MotDePasseAuth-2026 priv aes 128 CleChiffrement-2026
snmp-server host 192.168.10.180 version 3 priv zabbix
snmp-server enable traps port-security
snmp-server enable traps snmp linkdown linkup

L'hygiène d'un switch administrable

• Administration en SSH uniquement (jamais Telnet, qui circule en clair), depuis le VLAN 99 seulement, avec des comptes nominatifs.
• Ports inutilisés désactivés et placés dans un VLAN parking.
• Aucun poste dans le VLAN 1, VLAN natif des trunks sur un VLAN inutilisé, liste des VLAN autorisés sur chaque trunk.
• Journaux envoyés au serveur syslog, heure synchronisée par NTP pour que les horodatages concordent.
• Configuration sauvegardée après chaque modification, et micrologiciel à jour : dans le sujet 2025, c'est un appareil au micrologiciel défectueux qui inondait le réseau.

Exercices

interface GigabitEthernet1/0/10
 switchport mode access
 switchport access vlan 30
 switchport nonegotiate
!
interface GigabitEthernet1/0/48
 switchport mode trunk
 switchport nonegotiate
 switchport trunk native vlan 999
 switchport trunk allowed vlan 10,30,99