MédiaMúltipla escolha

Questão de prática de 100-150

Qual recurso da Cisco é usado para evitar ataques de Man-in-the-Middle que dependem da corrupção do cache ARP dos hosts conectados?

Escolha a melhor resposta.

Resposta correta

BDynamic ARP Inspection

Explicação

O ARP spoofing permite que os atacantes associem seu endereço MAC ao endereço IP de um gateway padrão, interceptando efetivamente o tráfego. O Dynamic ARP Inspection (DAI) usa o banco de dados do DHCP snooping para validar pacotes ARP, garantindo que apenas mapeamentos legítimos sejam permitidos. Este é um recurso de segurança crítico em switches modernos para evitar a interceptação de tráfego interno, garantindo a privacidade e a integridade dos dados entre hosts no mesmo domínio de Camada 2.

Por que cada alternativa está certa ou errada

Incorreta

DHCP Snooping

O DHCP snooping bloqueia servidores DHCP maliciosos e constrói uma tabela de vinculação do endereço IP, endereço MAC, VLAN e porta de cada cliente. Essa tabela é o que o Dynamic ARP Inspection usa para verificar pacotes ARP, portanto o snooping é um pré-requisito, mas por si só ele nunca inspeciona o ARP e não pode impedir que um host envie respostas ARP falsificadas. Habilite ambos, com o DAI fornecendo a proteção ARP.

Correta

Dynamic ARP Inspection

O Dynamic ARP Inspection intercepta pacotes ARP em portas não confiáveis e verifica o pareamento IP-para-MAC de cada remetente em relação à tabela de vinculação do DHCP snooping ou ACLs ARP estáticas para endereços fixos. Respostas falsificadas, como um atacante reivindicando o endereço do gateway, são descartadas e registradas, para que os caches ARP dos hosts não possam ser envenenados. Os uplinks são marcados como confiáveis e as portas não confiáveis têm taxa limitada para interromper inundações de ARP.

Incorreta

Port Security

A segurança de porta limita quais endereços MAC podem enviar tráfego em uma porta e quantos. Um atacante usando um único endereço MAC permitido ainda pode enviar respostas ARP falsificadas reivindicando o endereço IP de outro dispositivo, porque a segurança de porta não analisa as reivindicações IP-para-MAC dentro dos pacotes ARP. Validar essas reivindicações é a função do Dynamic ARP Inspection.

Incorreta

IP Source Guard

O IP Source Guard usa a mesma tabela de vinculação para filtrar o tráfego IP cujo endereço IP ou MAC de origem não corresponde ao que foi atribuído à porta, evitando a falsificação de endereço IP. Pacotes ARP não são pacotes IP, portanto ele não os inspeciona e não pode impedir o envenenamento de cache ARP. Ele complementa o Dynamic ARP Inspection, juntamente com o DHCP snooping, como parte da segurança de primeiro salto.

Para se aprofundar

O ARP não possui autenticação: os hosts aceitam respostas ARP, mesmo as não solicitadas (gratuitous ARP), e atualizam seu cache ARP. Um atacante na mesma VLAN pode, portanto, enviar respostas falsificadas afirmando que o endereço IP do gateway padrão pertence ao endereço MAC do atacante. As vítimas então enviam seu tráfego para o atacante, que pode lê-lo ou modificá-lo e encaminhá-lo adiante, um ataque de homem no meio também chamado de envenenamento ARP ou ARP spoofing. O Dynamic ARP Inspection (DAI) é o recurso de switch criado para impedir isso, e é por isso que a opção B está correta. Com o DAI habilitado em uma VLAN ('ip arp inspection vlan 10'), o switch intercepta pacotes ARP em portas não confiáveis e verifica se cada par IP-para-MAC do remetente corresponde a uma entrada válida, normalmente da tabela de vinculação do DHCP snooping, ou de ACLs ARP estáticas para hosts com endereços fixos. Pacotes ARP inválidos são descartados e registrados. Os uplinks e as portas voltadas para outros switches são configurados como confiáveis ('ip arp inspection trust') e a limitação de taxa (rate limiting), 15 pacotes por segundo por padrão em portas não confiáveis, evita inundações de ARP. Os distratores são recursos relacionados que funcionam junto com o DAI. O DHCP snooping bloqueia servidores DHCP maliciosos e constrói a tabela de vinculação de que o DAI depende, portanto é um pré-requisito, mas por si só não inspeciona o ARP. O IP Source Guard usa a mesma tabela para filtrar o tráfego IP de endereços de origem falsificados, não o ARP. A segurança de porta limita quais ou quantos endereços MAC podem usar uma porta, mas um único endereço MAC de atacante ainda pode enviar respostas ARP falsificadas. Verifique com 'show ip arp inspection' e as estatísticas que ele relata.

Sobre estas questões de prática

Esta é uma das questões de prática originais de 100-150 da Courseiva, escrita para o aprendizado e nunca copiada de provas reais nem de dumps.

Traduzida do original em inglês com IA e conferida quanto ao sentido. Códigos de exame, comandos e nomes de produtos são mantidos como aparecem na prova.