MAC Flooding nedir? Nasıl önlenir?

MAC Flooding nedir?

MAC Flooding, bir anahtarın MAC adres tablosunu (CAM tablosu) taşırmayı amaçlayan bir ağ saldırısıdır. Bu tablo, MAC adreslerinin fiziksel bağlantı noktalarına eşlenmesini izlemek için kullanılır, bu da cihazın verileri tüm bağlantı noktalarına göndermek yerine yalnızca gerekli bağlantı noktasına iletmesini sağlar. AlexHost hizmetleri, ağ açıklarını önlemeye ve sisteminizin güvenliğini artırmaya yönelik önlemler de dahil olmak üzere bu tür saldırılara karşı altyapı koruması sağlar.

MAC flooding saldırısında, bir saldırgan ağa sahte veya rastgele kaynak MAC adreslerine sahip çok sayıda paket gönderir. Bu, anahtarın MAC adres tablosunun hızla dolmasına neden olur. Tablo kapasitesine ulaştığında, anahtar artık MAC adreslerini belirli bağlantı noktalarına eşleyemez ve bir hub’ın çalışma şekline benzer şekilde, gelen trafiği tüm bağlantı noktalarından dışarı akıtmaya başladığı bir başarısız açık moda girer.

Bu davranış saldırganın şunları yapmasına olanak tanır:

• Trafiği engellemek: Anahtar artık trafiği tüm bağlantı noktalarına yayınladığından, saldırgan aslında diğer ana bilgisayarlar için olan verileri yakalayabilir.
• Ortadaki adam (MITM) saldırıları gerçekleştirebilir: Saldırganlar, yayınlanan trafiği yakalayarak verileri manipüle etmeye veya analiz etmeye çalışabilir ve potansiyel olarak oturum açma kimlik bilgileri veya kişisel veriler gibi hassas bilgilere erişebilir.

MAC Taşması Nasıl Önlenir?

MAC flooding saldırılarının önlenmesi, anahtarlar üzerinde çeşitli ağ güvenlik önlemlerinin ve yapılandırmalarının uygulanmasını içerir. İşte en etkili yöntemler:

1. Bağlantı Noktası Güvenliğini Kullanın

Port güvenliği, bir porttan öğrenilebilecek MAC adreslerinin sayısını sınırlamak için yönetilen anahtarlarda yapılandırılabilen bir özelliktir. MAC flooding saldırılarını önlemenin en etkili yollarından biridir.

• MAC Adresi Sınırı Ayarlama: Anahtarı, bağlantı noktası başına yalnızca belirli sayıda MAC adresine izin verecek şekilde yapılandırabilirsiniz. Örneğin, bir bağlantı noktası bir iş istasyonuna bağlıysa, sınırı bir veya iki MAC adresi olarak ayarlayabilirsiniz.
• Yapışkan MAC Adresleme: Bu özellik, anahtarın belirli bir bağlantı noktasına bağlı MAC adreslerini otomatik olarak öğrenip hatırlamasını ve bunları anahtar yapılandırmasında saklamasını sağlar. Bu, yetkisiz cihazların o bağlantı noktasında kullanılmasını önleyebilir.
• İhlaller için Eylemler: MAC adresi sınırı aşılırsa bağlantı noktasını kapatma, trafiği kısıtlama veya uyarı oluşturma gibi eylemleri yapılandırın.

Örnek Yapılandırma (Cisco Switch):

Bu yapılandırma, Cisco anahtarında bağlantı noktası güvenliğini ayarlar, en fazla iki MAC adresine izin verir ve yapışkan öğrenme özelliğini kullanır.

2. VLAN Segmentasyonunu Etkinleştir

VLAN’ların (Sanal Yerel Alan Ağları) kullanılması ağınızın farklı bölümlerinin izole edilmesine yardımcı olarak MAC flooding saldırısının kapsamını en aza indirir. Saldırı belirli bir VLAN’a yönelikse, diğer VLAN’lardaki cihazları etkilemeyecektir.

• Hassas Cihazları Ayırın: Örneğin, sunucuları, yönetim arayüzlerini ve kritik cihazları kendi VLAN’larında tutun.
• Özel VLAN’lar kullanın: Özel VLAN’lar, bir VLAN içindeki trafiği izole ederek daha da ince ayrıntı sağlar.

Ağı bölümlere ayırarak yayın alanını sınırlandırır ve böylece bir MAC flooding saldırısından etkilenebilecek cihaz sayısını azaltırsınız.

3. DHCP Snooping’i Uygulama

DHCP snooping, güvenilen ve güvenilmeyen bağlantı noktalarındaki DHCP trafiğini izleyerek belirli saldırı türlerini önlemeye yardımcı olan bir güvenlik özelliğidir. Öncelikle DHCP sahtekarlık saldırılarına karşı koruma sağlamak için kullanılsa da, bir ağdaki IP adreslerinin atanmasını kontrol etmeye de yardımcı olur.

• Güvenilen Bağlantı Noktaları: DHCP sunucularına bağlı bağlantı noktalarını güvenilir olarak belirleyin.
• Güvenilmeyen Bağlantı Noktaları: İstemcilere bağlı bağlantı noktalarını güvenilmeyen olarak belirleyin. Bu şekilde, bir saldırgan sahte bir DHCP sunucusu tanıtmaya veya MAC taşması yapmaya çalışırsa, tespit edilebilir ve engellenebilir.

DHCP gözetlemeyi bağlantı noktası güvenliğiyle birlikte etkinleştirerek ağınızı çeşitli saldırılara karşı daha da güvenli hale getirebilirsiniz.

4. Yönetilen Anahtarları Kullanın

Yönetilen anahtarlar, MAC flooding saldırılarına karşı koruma sağlayabilen gelişmiş güvenlik özellikleri sunar. Bu anahtarlar tipik olarak bağlantı noktası güvenliği, VLAN’lar ve izleme seçeneklerini içerir.

• Erişim Kontrol Listeleri (ACL’ler): MAC veya IP adreslerine göre trafiği kısıtlamak için ACL’leri yapılandırarak ek kontrol katmanları sağlayın.
• İzleme ve Günlüğe Kaydetme: Yönetilen anahtarlar genellikle daha iyi izleme ve günlük tutma özelliklerine sahiptir, bu da bir MAC flooding girişimine işaret edebilecek olağandışı etkinlikleri tespit etmenize olanak tanır.

5. Dinamik ARP Denetimini (DAI) Etkinleştir

Dinamik ARP Denetimi, ARP sahteciliği saldırılarını önlemek için DHCP gözetleme ile birlikte çalışır, ancak aynı zamanda anormal MAC adresi etkinliğinin tespit edilmesine de yardımcı olur. ARP paketlerini DHCP snooping veritabanına karşı doğrulayarak, DAI bir MAC flooding saldırısının etkilerini tespit edebilir ve azaltabilir.

6. Ağ Trafiğini Düzenli Olarak İzleyin

Ağ trafiğinin sürekli izlenmesi, olası MAC flood saldırılarının önemli hasara yol açmadan önce tespit edilmesine yardımcı olabilir. Wireshark, SNMP tabanlı izleme ve saldırı tespit sistemleri (IDS) gibi araçlar ağ yöneticilerini olağandışı seviyelerde yayın trafiği veya yeni MAC adreslerinde hızlı bir artış konusunda uyarabilir.

• Uyarıları Ayarlayın: Ağ izleme araçlarınızı, MAC tablosu boyutu belirli bir eşiğe ulaştığında veya olağandışı miktarda yayın trafiği olduğunda uyarı gönderecek şekilde yapılandırın.

7. Daha Büyük MAC Tablolarına Sahip Anahtarlara Yükseltme

Mümkünse, daha büyük MAC adres tablolarına sahip anahtarlar kullanın, çünkü bu bir saldırganın tabloyu hızlı bir şekilde doldurmasını zorlaştıracaktır. Ancak bu tek başına bir çözüm değildir, çünkü kararlı saldırganlar hala daha büyük tabloları ele geçirebilir, ancak bir saldırıyı tespit etmek ve yanıtlamak için size daha fazla zaman kazandırabilir.

Sonuç

MAC flooding, bir ağdaki verilerin gizliliğini ve bütünlüğünü tehlikeye atabilecek ciddi bir ağ güvenliği tehdididir. Port güvenliği, VLAN segmentasyonu, DHCP snooping ve diğer güvenlik önlemlerini uygulayarak MAC flooding ile ilişkili riskleri etkili bir şekilde azaltabilirsiniz. Önemli olan, birden fazla güvenlik stratejisini birleştirmek ve olası saldırıların erken tespitini ve önlenmesini sağlamak için ağ etkinliğini düzenli olarak izlemektir.