MediaOpción múltiple

Pregunta de práctica de 100-150

¿Qué función de Cisco se utiliza para evitar ataques de tipo Man-in-the-Middle que se basan en corromper la caché ARP de los hosts conectados?

Elige la mejor respuesta.

Respuesta correcta

BDynamic ARP Inspection

Explicación

El ARP spoofing permite a los atacantes asociar su dirección MAC con la dirección IP de una pasarela predeterminada (default gateway), interceptando eficazmente el tráfico. Dynamic ARP Inspection (DAI) utiliza la base de datos de DHCP snooping para validar los paquetes ARP, asegurando que solo se permitan las asignaciones legítimas. Esta es una característica de seguridad crítica en los conmutadores modernos para evitar la interceptación de tráfico interno, garantizando la privacidad y la integridad de los datos entre hosts en el mismo dominio de Capa 2.

Por qué cada opción es correcta o incorrecta

Incorrecta

DHCP Snooping

DHCP snooping bloquea servidores DHCP maliciosos y construye una tabla de enlaces de la dirección IP, dirección MAC, VLAN y puerto de cada cliente. Esa tabla es la que utiliza Dynamic ARP Inspection para verificar los paquetes ARP, por lo que el snooping es un requisito previo, pero por sí solo nunca inspecciona ARP y no puede evitar que un host envíe respuestas ARP falsificadas. Habilite ambos, con DAI proporcionando la protección ARP.

Correcta

Dynamic ARP Inspection

Dynamic ARP Inspection intercepta paquetes ARP en puertos no confiables y compara cada emparejamiento de IP a MAC del remitente con la tabla de enlaces de DHCP snooping, o con ACL de ARP estáticas para direcciones fijas. Las respuestas falsificadas, como un atacante que reclama la dirección de la pasarela, se descartan y se registran, por lo que las cachés ARP de los hosts no se pueden envenenar. Los enlaces troncales se marcan como confiables y los puertos no confiables tienen una limitación de velocidad para detener las inundaciones ARP.

Incorrecta

Port Security

Port security limita qué direcciones MAC pueden enviar tráfico en un puerto y cuántas. Un atacante que use una sola dirección MAC permitida aún puede enviar respuestas ARP falsificadas que reclaman la dirección IP de otro dispositivo, porque port security no analiza las afirmaciones de IP a MAC dentro de los paquetes ARP. Validar esas afirmaciones es tarea de Dynamic ARP Inspection.

Incorrecta

IP Source Guard

IP Source Guard utiliza la misma tabla de enlaces para filtrar el tráfico IP cuya dirección IP de origen o dirección MAC no coincide con la asignada al puerto, lo que evita la suplantación de direcciones IP (IP spoofing). Los paquetes ARP no son paquetes IP, por lo que no los inspecciona y no puede detener el envenenamiento de la caché ARP. Complementa a Dynamic ARP Inspection, junto con DHCP snooping, como parte de la seguridad de primer salto (first-hop security).

Para profundizar

El protocolo ARP no tiene autenticación: los hosts aceptan respuestas ARP, incluso las no solicitadas (gratuitous ARP), y actualizan su caché ARP. Por lo tanto, un atacante en la misma VLAN puede enviar respuestas falsificadas afirmando que la dirección IP de la pasarela predeterminada pertenece a la dirección MAC del atacante. Las víctimas envían entonces su tráfico al atacante, quien puede leerlo o modificarlo y reenviarlo, un ataque de tipo Man-in-the-Middle también llamado envenenamiento ARP o ARP spoofing. Dynamic ARP Inspection (DAI) es la función de conmutador diseñada para detener esto, por lo que la opción B es correcta. Con DAI habilitado en una VLAN ('ip arp inspection vlan 10'), el conmutador intercepta paquetes ARP en puertos no confiables y comprueba que cada emparejamiento IP a MAC del remitente coincida con una entrada válida, normalmente de la tabla de enlaces de DHCP snooping, o de ACL de ARP estáticas para hosts con direcciones fijas. Los paquetes ARP no válidos se descartan y se registran. Los enlaces troncales (uplinks) y los puertos que miran hacia otros conmutadores se configuran como confiables ('ip arp inspection trust'), y la limitación de velocidad (rate limiting), de 15 paquetes por segundo por defecto en puertos no confiables, previene las inundaciones ARP (ARP floods). Los distractores son funciones relacionadas que trabajan junto con DAI. DHCP snooping bloquea servidores DHCP maliciosos y construye la tabla de enlaces de la que depende DAI, por lo que es un requisito previo, pero por sí solo no inspecciona ARP. IP Source Guard utiliza la misma tabla para filtrar el tráfico IP de direcciones de origen suplantadas, no ARP. Port security limita qué direcciones MAC o cuántas pueden usar un puerto, pero la dirección MAC de un solo atacante aún puede enviar respuestas ARP falsificadas. Verifique con 'show ip arp inspection' y las estadísticas que informa.

Sobre estas preguntas de práctica

Esta es una de las preguntas de práctica originales de 100-150 de Courseiva, escrita para aprender y nunca copiada de exámenes reales ni de dumps.

Traducida del original en inglés con IA y revisada para comprobar el sentido. Los códigos de examen, los comandos y los nombres de productos se mantienen tal como aparecen en el examen.