MoyenneChoix unique

Question d'entraînement 100-150

Quelle fonctionnalité Cisco est utilisée pour empêcher les attaques de l'homme du milieu (Man-in-the-Middle) qui reposent sur la corruption du cache ARP des hôtes connectés ?

Choisissez la meilleure réponse.

Bonne réponse

BDynamic ARP Inspection

Explication

L'usurpation ARP (ARP spoofing) permet aux attaquants d'associer leur adresse MAC à l'adresse IP d'une passerelle par défaut, interceptant ainsi efficacement le trafic. L'inspection ARP dynamique (DAI) utilise la base de données DHCP snooping pour valider les paquets ARP, garantissant que seuls les mappages légitimes sont autorisés. Il s'agit d'une fonctionnalité de sécurité essentielle dans les commutateurs modernes pour empêcher l'interception du trafic interne, garantissant la confidentialité et l'intégrité des données entre les hôtes du même domaine de couche 2.

Pourquoi chaque option est juste ou fausse

Fausse

DHCP Snooping

Le DHCP snooping bloque les serveurs DHCP malveillants et construit une table de liaison de l'adresse IP, de l'adresse MAC, du VLAN et du port de chaque client. Cette table est celle qu'utilise l'inspection ARP dynamique (DAI) pour vérifier les paquets ARP, le snooping est donc un prérequis, mais à lui seul, il n'inspecte jamais le trafic ARP et ne peut pas empêcher un hôte d'envoyer des réponses ARP falsifiées. Activez les deux, la DAI fournissant la protection ARP.

Juste

Dynamic ARP Inspection

L'inspection ARP dynamique intercepte les paquets ARP sur les ports non fiables et vérifie chaque association IP-à-MAC de l'expéditeur par rapport à la table de liaison DHCP snooping ou aux listes de contrôle d'accès (ACL) ARP statiques pour les adresses fixes. Les réponses falsifiées, telles qu'un attaquant revendiquant l'adresse de la passerelle, sont supprimées et consignées, de sorte que les caches ARP des hôtes ne peuvent pas être empoisonnés. Les liaisons montantes sont marquées comme fiables et les ports non fiables sont limités en débit pour stopper les inondations ARP.

Fausse

Port Security

La sécurité des ports limite les adresses MAC autorisées à envoyer du trafic sur un port et leur quantité. Un attaquant utilisant une seule adresse MAC autorisée peut toujours envoyer des réponses ARP falsifiées revendiquant l'adresse IP d'un autre appareil, car la sécurité des ports ne regarde pas les revendications IP-à-MAC à l'intérieur des paquets ARP. La validation de ces revendications est le rôle de l'inspection ARP dynamique.

Fausse

IP Source Guard

IP Source Guard utilise la même table de liaison pour filtrer le trafic IP dont l'adresse IP ou MAC source ne correspond pas à celle assignée au port, empêchant ainsi l'usurpation d'adresse IP. Les paquets ARP ne sont pas des paquets IP, il ne les inspecte donc pas et ne peut pas arrêter l'empoisonnement du cache ARP. Il complète l'inspection ARP dynamique, ainsi que le DHCP snooping, dans le cadre de la sécurité de premier saut.

Pour aller plus loin

Le protocole ARP n'a pas d'authentification : les hôtes acceptent les réponses ARP, même non sollicitées (ARP gratuit), et mettent à jour leur cache ARP. Un attaquant sur le même VLAN peut donc envoyer des réponses falsifiées affirmant que l'adresse IP de la passerelle par défaut appartient à l'adresse MAC de l'attaquant. Les victimes envoient alors leur trafic à l'attaquant, qui peut le lire ou le modifier et le transmettre, une attaque de l'homme du milieu également appelée empoisonnement ARP ou usurpation ARP. L'inspection ARP dynamique (DAI) est la fonctionnalité de commutateur conçue pour arrêter cela, ce qui explique pourquoi l'option B est correcte. Avec DAI activé sur un VLAN (« ip arp inspection vlan 10 »), le commutateur intercepte les paquets ARP sur les ports non fiables et vérifie que chaque association IP-à-MAC de l'expéditeur correspond à une entrée valide, généralement provenant de la table de liaison DHCP snooping, ou de listes de contrôle d'accès (ACL) ARP statiques pour les hôtes avec des adresses fixes. Les paquets ARP invalides sont supprimés et consignés. Les liaisons montantes (uplinks) et les ports faisant face à d'autres commutateurs sont configurés comme fiables (« ip arp inspection trust »), et la limitation du débit (rate limiting), de 15 paquets par seconde par défaut sur les ports non fiables, empêche les inondations ARP. Les distracteurs sont des fonctionnalités connexes qui fonctionnent aux côtés de DAI. Le DHCP snooping bloque les serveurs DHCP malveillants et construit la table de liaison dont DAI dépend, il s'agit donc d'un prérequis, mais en soi, il n'inspecte pas le trafic ARP. IP Source Guard utilise la même table pour filtrer le trafic IP provenant d'adresses source usurpées, et non ARP. La sécurité des ports limite quels ou combien d'adresses MAC peuvent utiliser un port, mais une seule adresse MAC d'attaquant peut toujours envoyer des réponses ARP falsifiées. Vérifiez avec « show ip arp inspection » et les statistiques qu'il rapporte.

À propos de ces questions d'entraînement

Cette question fait partie des questions d'entraînement 100-150 originales de Courseiva, rédigées pour apprendre et jamais copiées d'examens réels ou de dumps.

Traduite de l'original anglais avec l'IA et vérifiée pour le sens. Les codes d'examen, les commandes et les noms de produits sont conservés tels qu'ils apparaissent à l'examen.