From: xf0r3m Date: Fri, 20 Sep 2024 16:43:06 +0000 (+0200) Subject: Zakończenie redagowania rozdziału 10, modułu 2, kurs Cisco CCNA. X-Git-Url: https://gitweb.morketsmerke.org/?a=commitdiff_plain;h=4b11a54506693029e3d0eb80c28143829a0c94fd;p=mmdev.git Zakończenie redagowania rozdziału 10, modułu 2, kurs Cisco CCNA. --- diff --git a/articles/terminallog/Cisco_-_CCNA.html b/articles/terminallog/Cisco_-_CCNA.html index 7c2d9bd..e810450 100755 --- a/articles/terminallog/Cisco_-_CCNA.html +++ b/articles/terminallog/Cisco_-_CCNA.html @@ -8801,10 +8801,11 @@ R3(config-if)#standby 1 ip 192.168.20.100 będziemy musieli się zmierzyć będą to:

- Ataki najczęsciej, choć nie jest reguła, będą pochodzić z zewnątrz. + Ataki najczęsciej, choć nie jest to reguła, będą pochodzić z zewnątrz. Dlatego też musimy wykorzystać dobrej jakości rozwiązania, takie jak:

2.10.3. Zagrożenia warstwy 2

@@ -8890,34 +8892,34 @@ R3(config-if)#standby 1 ip 192.168.20.100 pewne obawy co do bezpieczeństwa transmisji jak i samego połączenia. Istnieje kilka ataków, które mogą zaistnieć w naszej sieci. Działania te głównie skupiają się wokół przełącznika, a urządzenia Cisco - posiadają odpowiednie środki zapobiegawcze możliwe do skonfigurowania - na tych urządzenia. + posiadają odpowiednie środki zapobiegawcze mogą spowodować, że będą + one niewrażliwego na te zagrożenia.

Oczywiście nasze starania mogą nie być wystarczające szczególnie wtedy gdy protokoły nie będą wystarczająco zabezpieczone. Zaleca się - porzucenia protokołów nie posiadających żadnych sensownych + porzucenie protokołów nie posiadających żadnych sensownych zabezpieczeń, na rzecz bezpieczniejszych wersji, korzystających z warstwy TLS czy wykorzystanie protokołów pochodnych od SSH. Innym czynnikiem może być wydzielenie odrębnej sieci VLAN dla zarządzania @@ -8956,7 +8958,11 @@ R3(config-if)#standby 1 ip 192.168.20.100 zawierającej pole 802.1Q z identyfikatorem natywnego VLAN-u, jak i drugie pole 802.1Q zawierające identyfikator docelowej sieci VLAN. Domyślnie natywną siecią VLAN, jest VLAN 1. Natomiast id - konkretnej sieci VLAN, jest zapisany w adresie IP hosta. + konkretnej sieci VLAN, jest zapisany w adresie IP hosta. W momencie + osiągniecia pierwszego przełącznika, pierwszy znacznik zostaje zdjęty + (przez VLAN natywny, przysyłany jest ruch nietagowany), + natomiast drugi przełącznik zauważy tag i przekaże te ramki + do odpowiedniej sieci VLAN.

Ochrona przed tego typu czynnościami, wymaga od nas wykonania czynności, @@ -8990,7 +8996,7 @@ R3(config-if)#standby 1 ip 192.168.20.100 wybranie portu z którego mogą przychodzić odpowiedzi z serwera DHCP oraz nałożenie limitów na ilość zapytań. Komunikatów DHCP DISCOVER. Ciekawym faktem jest to, że uruchomienie tej funkcjonalności pozwala - na zamienić przełącznik, działający w warstwie 2 w nieco bardziej + nam zamienić przełącznik, działający w warstwie 2 w nieco bardziej inteligente urządzenie, które musi spojrzeć aż do pola danych w przesyłanych ramkach.

@@ -8999,12 +9005,12 @@ R3(config-if)#standby 1 ip 192.168.20.100 fałszowanie są do siebie bardzo zbliżone w metodach do ich przeprowadzania. Można by nawet rzec, że identyczne. Protokołu ARP używa się w celu uzyskania adresu MAC na podstawie adresu IP. - Zadaniem atakującego jest albo wysyłanie fałszywych odpowiedzi na + Zadaniem atakującego jest wysyłanie fałszywych odpowiedzi na zapytanie ARP, przez co najczęściej host straci połączenie z innymi - w sieci. Przy czym tutaj warto powiedzić, że te wysyłanie odpowiedzi + w sieci. Przy czym tutaj warto powiedzieć, że te wysyłanie odpowiedzi musi być ciągłe. Inaczej po zaprzestaniu wysyłania tych odpowiedzi, - komunikacja po kilku minutach wrócić do normy. Tego typu działanie - jest właśnie, zatruciem ARP. Fałszowowanie ma na celu najczęściej + komunikacja po kilku minutach wróci do normy. Tego typu działanie + jest właśnie, zatruciem ARP. Fałszowanie ma na celu najczęściej zmianę trasy ruchu sieciowego, więc tutaj używa się komunikatu gratisowego ARP, który jest częścią standardu ARP. Jego wykorzystanie różni się tym, że przy normalnej komunikacji @@ -9025,7 +9031,7 @@ R3(config-if)#standby 1 ip 192.168.20.100

Atak fałszowania adresów, może pozwolić atakującemu na przejście przez zaporę sieciową. Atak ten polega na wygenrowaniu zarówno ramek i jak - i pakietów IP ze sfałszowanymi informacjami. Dodatkowo pamiętając + i pakietów IP ze sfałszowanymi adresami. Dodatkowo pamiętając jak działają przełączniki, to możebyć wielce prawdopodbne, otrzymamy odpowiedź na sfałszowany adres, gdyż przełącznik zapisze w tablicy MAC, że ten komputer jest podłączony do takiego portu. @@ -9038,7 +9044,7 @@ R3(config-if)#standby 1 ip 192.168.20.100 Ostatnim omawianym atakiem jest atak na STP. Intruz może chcieć manipulować protokołem w celu wymuszenia zmiany mostu głównego, aby moc przechwytywać ruch z sieci. Dokonuje on tego po przez wysłanie - komunikatu BPDU, zawierającego BID o bardzo niskim piorytecie. Wówczas + komunikatu BPDU, zawierającego BID o bardzo wysokim piorytecie. Wówczas trasy zostaną ponownie przeliczone, a atakujący uzyska dostęp do naszej transmisji.

@@ -9050,9 +9056,20 @@ R3(config-if)#standby 1 ip 192.168.20.100 blokowany w stan err-disabled, po tym jak kolwiek komunikacja zostanie zaprzestana z hostem podłączonym do niego.

+

+ Innym zagrozniem nie wyrządzającym szkody bezpośrednio hostom jest + rozpoznanie CDP. CDP to własnościowy protokół Cisco + wykorzystywany do konfiguracji urządzeń tego producenta. Urządzenia + mają domyślnie włączony ten protokołu i wymieniają miedzy sobą + informacje za jego pomocą. CDP jest pomocnym protokołem jednak przesyła + zbyt wiele informacji w sposób niebezpieczny. Jedną z nich jest + jest natywna sieć VLAN. Dlatego zaleca się wyłącznie jego oraz + jego otwartego odpowiednika - LLDP + (Link-Layer Discovery Protocol). +

Podsumowanie

- W tym rozdziale zapoznaliśmy się koncepcjami bezpieczeństwa wartswy + W tym rozdziale zapoznaliśmy się koncepcjami bezpieczeństwa warstwy drugiej. Dowiedzieliśmy się jak są rodzaje ataków i środki zaradcze. Na koniec szerzej omówiliśmy każdy z rodzajów ataków, aby mieć ich obraz podczas konfiguracji.