Mengapa orang mengatakan kepada saya untuk tidak menggunakan VLAN untuk keamanan?

25

Sesuai judul, mengapa orang mengatakan kepada saya untuk tidak menggunakan VLAN untuk tujuan keamanan?

Saya memiliki jaringan, di mana memiliki beberapa VLAN. Ada firewall antara 2 VLAN. Saya menggunakan switch HP Procurve dan telah memastikan bahwa tautan switch-to-switch hanya menerima frame yang ditandai dan port host tidak menerima frame yang ditandai (Mereka bukan "VLAN Sadar"). Saya juga memastikan bahwa VLAN (PVID) asli dari trunk link tidak sama dengan salah satu dari 2 host VLAN. Saya juga telah mengaktifkan "Penyaringan Ingress". Selain itu, saya telah memastikan bahwa port host hanya anggota dari satu VLAN, yang sama dengan PVID masing-masing port. Satu-satunya port yang merupakan anggota dari beberapa VLAN adalah port trunk.

Dapatkah seseorang tolong jelaskan kepada saya mengapa hal di atas tidak aman? Saya percaya saya telah membahas masalah penandaan ganda ..

Terima kasih

Pembaruan: Kedua sakelar adalah Hp Procurve 1800-24G

networking security vlan lihat
sumber
1
Anda juga dapat mencoba bertanya di security.stackexchange.com , jika Anda ingin masukan dari pro keamanan ...
AviD
Ini pasti harus di security.se.
Mark E. Haase
@mease, pertanyaan tidak dapat dimigrasi setelah periode waktu tertentu. Pertanyaan ini terlalu lama untuk dimigrasi.
Zoredache

Jawaban:

18

Mengapa orang mengatakan kepada saya untuk tidak menggunakan VLAN untuk tujuan keamanan?

Ada risiko nyata, jika Anda tidak sepenuhnya memahami masalah potensial, dan mengatur jaringan Anda dengan benar untuk mengurangi risiko ke titik yang dapat diterima untuk lingkungan Anda. Di banyak lokasi, VLAN menyediakan tingkat pemisahan yang memadai antara dua VLAN.

Dapatkah seseorang tolong jelaskan kepada saya mengapa hal di atas tidak aman?

Sepertinya Anda telah mengambil semua langkah dasar yang diperlukan untuk mencapai pengaturan yang cukup aman. Tetapi saya tidak sepenuhnya akrab dengan peralatan HP. Anda mungkin telah melakukan cukup untuk lingkungan Anda.

Artikel yang bagus juga akan membahas tentang White Paper Cisco VLAN Security .

Ini termasuk daftar kemungkinan serangan terhadap Jaringan Berbasis VLAN. Beberapa di antaranya tidak memungkinkan pada beberapa sakelar, atau dapat dikurangi dengan desain infrastruktur / jaringan yang tepat. Luangkan waktu untuk memahaminya dan putuskan apakah risiko itu sepadan dengan usaha yang diperlukan untuk menghindarinya di lingkungan Anda.

Dikutip dari artikel.

  • MAC Flooding Attack
  • 802.1Q dan ISL Tagging Attack
  • Double-Encapsulated 802.1Q / Nested VLAN Attack
  • Serangan ARP
  • Serangan VLAN pribadi
  • Multicast Brute Force Attack
  • Serangan Spanning-Tree

Lihat juga:

Sakit kepala
sumber
1
Ya, saya membaca artikel itu sebelum memposting ini. Ini memang artikel yang sangat bagus. Sementara saya memahami semua risiko yang terlibat, buku putih hanya benar-benar berlaku untuk peralatan Cisco - setidaknya untuk bagian-bagian yang berhubungan dengan firmware kereta seperti banjir dan serangan ARP.
jtnire
10

Aman untuk nilai keamanan tertentu.

Bug dalam firmware, ubah pengaturan konfigurasi, kesalahan manusia dapat membuatnya tidak aman. Selama hanya sedikit orang yang memiliki akses ke konfigurasi sakelar dan sakelar sendiri maka tidak apa-apa di lingkungan bisnis umum.

Saya akan melakukan pemisahan fisik untuk data yang sangat sensitif.

Hubert Kario
sumber
1
Bukankah semua masalah itu berlaku untuk firewall layer-3 normal?
jtnire
Ya, dan VLAN harus dianggap seolah-olah terhubung ke router umum. Jaringan dengan data yang sangat sensitif tidak boleh dihubungkan ke hal lain. Jika keduanya memiliki akses Internet maka Anda OK.
Hubert Kario
2
+1 Anda telah memukul paku di kepala dengan kalimat pertama.
John Gardeniers
Bisakah Anda jelaskan kalimat pertama Anda? Karena saya mencoba menggunakan VLAN untuk tujuan keamanan, saya tidak bisa hanya berasumsi bahwa mereka tidak aman dan tidak menggunakannya untuk subnet aman :)
jtnire
1
Ini tidak menjawab pertanyaan sama sekali ... itu hanya basa-basi keamanan umum.
Mark E. Haase
4

Saya sepertinya ingat bahwa, di masa lalu, lebih mudah untuk melakukan VLAN hopping, jadi itu sebabnya "orang" mengatakan ini. Tapi, mengapa Anda tidak bertanya kepada "orang-orang" karena alasannya? Kami hanya bisa menebak mengapa mereka mengatakan itu kepada Anda. Saya tahu bahwa auditor HIPAA dan PCI OK dengan VLAN untuk keamanan.

mfinni
sumber
Sangat? Auditor PCi ok dengan itu? Oleh "orang-orang", saya hanya bermaksud membaca di internet :)
jtnire
6
Auditor PCI paling baik-baik saja dengan itu, yang mengejutkan mengingat beberapa dari mereka bisa datang dengan ketika memastikan suatu sistem aman! VLAN hanyalah alat untuk memisahkan domain broadcast pada Layer 2. Layer 3 dan yang lebih tinggi adalah kebohongan kerentanan yang serius. Pada saat seseorang sudah cukup dekat dengan sistem Anda untuk mengutak-atik VLAN, Anda punya masalah yang jauh lebih serius!
Niall Donegan
1
Untungnya saya tidak harus berurusan dengan nirkabel sehubungan dengan PCI DSS sehingga belum muncul. Saya biasanya berurusan dengan itu dalam kaitannya dengan lingkungan hosting tempat taksi yang dikunci bagus dan kabel kuno yang bagus.
Niall Donegan
1
Ya, saya berencana untuk meluncurkan VLAN di kabin saya untuk pelanggan terkelola saya. Switch akan dikunci di rak :) Saya kira VLAN banyak digunakan di lingkungan colo untuk berbagi switch, bukan?
jtnire
1
@ joire Ya, PCI DSS memang membutuhkan pemisahan fisik untuk WLAN. Jaringan Wireline berbeda.
sysadmin1138
2

Saya pikir inti masalahnya adalah bahwa vlan tidak aman karena Anda hanya memisahkan domain siaran, tidak benar-benar memisahkan lalu lintas. Semua lalu lintas dari banyak van masih mengalir di kabel fisik yang sama. Host dengan akses ke lalu lintas itu selalu dapat dikonfigurasikan ke mode promiscuous dan melihat semua lalu lintas di kabel.

Jelas penggunaan switch mengurangi risiko itu sedikit, karena switch mengendalikan data mana yang benar-benar muncul di port mana, namun risiko dasar masih ada.

Phil Hollenback
sumber
3
Maaf saya tidak mengerti ini. Karena switch mengontrol lalu lintas yang mengalir ke port tergantung pada keanggotaan VLAN mereka, menempatkan host ke mode promiscuous tidak akan melakukan apa-apa. Tentu, jika penyerang mendapatkan akses ke saluran utama, maka mode bebas memilih akan bekerja, namun hal yang sama dapat dikatakan jika penyerang mendapat akses ke kabel untuk segmen firewall fisik lain. Tolong koreksi saya kalau saya salah ..
jtnire
Nah, jika penyerang mendapat akses ke switch Anda melalui jaringan, mereka bisa melakukan hal-hal seperti mirror port dan mengumpulkan paket dari vlan lain, kan? Saya pikir masalahnya kembali ke fakta bahwa vlan adalah fitur yang dapat diprogram, sementara kabel terpisah dan lapisan perlindungan fisik.
Phil Hollenback
1
Tapi saya masih tidak mengerti bagaimana ini berbeda dari firewall Layer-3 biasa - mereka menggunakan perangkat lunak untuk memprogram juga. Tentu saja, saya sudah mencoba untuk mengurangi masalah ini dengan tidak menempatkan host yang tidak dipercaya pada VLAN manajemen, jadi beralih akses web gui tidak dimungkinkan.
jtnire