Menaces et vecteurs d'attaque
Définition
Une menace est un acteur ou un événement susceptible d'exploiter une vulnérabilité pour porter atteinte à un actif; un vecteur est le chemin concret emprunté (câble, e-mail, session Wi-Fi, mise à jour logicielle). L'exploitation devient attaque quand un exploit, morceau de code ou de procédure, combine les deux. Le vocabulaire officiel du blueprint 200-301 distingue threat, vulnerability, exploit et mitigation.
Contexte
Le thème 5.1 demande de définir ces concepts clés et le thème 1.1.c d'identifier le rôle des pare-feu de nouvelle génération et des IPS. L'examen ne fait pas taper d'attaque: il présente un symptôme (table MAC instable, deux passerelles par ARP, utilisateur piégé) et demande de nommer la technique et la contre-mesure. Les signatures à reconnaître tiennent en une page.
Menaces du plan de commutation
Un switch apprend les MAC en source de chaque trame et remplit sa table CAM. Trois attaques abusent ce mécanisme.
Le MAC flooding envoie des milliers de trames à sources distinctes par seconde: la table saturée, le switch inonde le VLAN en broadcast, l'attaquant renifle ce qu'il ne voit plus. Contre-mesure: port security avec un nombre maximal de MAC par port. L'ARP spoofing, ou ARP poisoning, envoie de fausses réponses ARP gratuitaires pour associer l'IP de la passerelle à la MAC de l'attaquant: le trafic des voisins transite par sa machine, un man-in-the-middle. Contre-mesure: dynamic ARP inspection nourri par DHCP snooping. Le CDP et LLDP mal exploités révèlent modèles, IOS et adresses de management; no cdp run sur les interfaces côté utilisateur ferme la fuite.
| Attaque | Niveau | Effet visible | Parade |
|---|---|---|---|
| MAC flooding | L2 | Inondation, table CAM saturée | Port security, maximum 1 à 5 MAC |
| ARP spoofing | L2 | Trafic détourné, MITM | DAI, IP source guard |
| VLAN hopping par double tag | L2 | Trames dans un VLAN interdit | Trunk tous les ports en off, native VLAN dédié |
| DHCP starvation | L2/L3 | Baux épuisés, clients sans IP | Rate-limit DHCP sur les ports untrusted |
| Rogue DHCP server | L2 | Passerelle fausse, DNS détourné | DHCP snooping, ports trusted |
Le VLAN hopping double tag envoie une trame portant deux étiquettes 802.1Q: le switch d'accès retire la première, la deuxième est lue comme native et la trame atterrit dans un VLAN fermé. La variante par switch volé est le passthrough: l'attaquant branche son propre switch, négocie un trunk et lit tous les VLANs. On s'en protège en forçant switchport nonegotiate, en désactivant le trunking négociable (switchport mode access) et en plaçant le native VLAN hors usage.
Menaces du plan de routage et de transport
Les attaques de déni de service saturent une ressource. Un DDoS utilise un botnet: des milliers d'hôtes zombie envoient des SYN (SYN flood), de l'UDP sur un port fermé, ou amplifient un service ouvert. L'amplification DNS ou NTP multiplie la bande passante: la requête fait 60 octets, la réponse 4000; l'attaquant spoofe l'IP de la victime et le reflet fait le travail. Une attaque volumétrique sature le lien Internet; une attaque de protocole épuise les tables de sessions du pare-feu; une attaque applicative, HTTP POST lents, consomme les workers d'un serveur web. Les contre-mesures se répartissent entre l'opérateur (filtrage uRPF, scrubbing), le pare-feu (limites de rate, SYN cookie) et l'hébergeur (CDN, Anycast).
Le routeur lui-même s'écoute: les protocoles de routage sans authentification acceptent des voisins fabriqués et empoisonnent les tables. La mitigation est l'authentification des voisinages (MD5 ou SHA-256 en keychain OSPF), la ACL de contrôle de plan de contrôle (CoPP) et la désactivation des services inutiles (HTTP, small-servers, finger).
Menaces humaines et du poste de travail
Le phishing imite un site ou un expéditeur pour soutirer des identifiants; le spear phishing cible une personne nommée avec un dossier préparé. Le whaling vise la direction. Le vishing passe par téléphone, l'USB drop attack laisse une clé infectée sur un parking en espérant la curiosité. Un watering hole empoisonne un site que la cible visite d'habitude: pas besoin d'atteindre la victime directement, on l'attend chez son fournisseur d'information habituel. Le ransomware chiffre le disque et réclame une rançon: ses vecteurs les plus fréquents restent un hameçonnage, un RDP exposé sans MFA ou un patch manqué (EternalBlue, CVE-2017-0144, a infecté des centaines de milliers d'hôtes non mis à jour en quelques heures en mai 2017).
On classe enfin les menaces en deux familles: homme contre machine (ingénierie sociale, vol d'équipement, sabotage) et machine contre machine (malware, botnets, attaques automatisées par script). Les programmes de sensibilisation et les contrôles physiques relèvent du thème 5.2.
Exemple concret
Un cabinet de 45 postes, VLAN 10 data, VLAN 20 voix. Un stagiaire branche un mini-switch TP-Link sous son bureau. Sans protection, son switch négocie un trunk, sa table CAM apprend 4000 MACs, et en 12 minutes il récupère par ARP spoofing le trafic d'un tiers du plateau. Après durcissement: ports accès forcés, switchport nonegotiate, DAI activé sur VLAN 10 et 20, port security à 3 MAC avec violation shutdown, et 802.1X pour les PC. Le même geste produit un err-disable immédiat du port et une alerte syslog.