Sebenarnya teknik arp spoofing sudah dikenal sejak lama dan tool untuk melakukan teknik ini pun banyak beredar. Tetapi sepertinya si pembuat virus mulai menggunakan teknik ini dan ternyata memang banyak yang tidak menlindungi network layer 2 dengan semestinya.
Membangun Kemanan pada Switch (Layer 2)
- Port Security
Fungsinya:
- Menghindari attack pada CAM (content addressable memory) table. Apabila switch dihujani dengan mac address yang melebihi dari kemampunanya maka fungsi switch hilang dan menjadi hub sehingga semua lalu lintas traffic dapat dilihat oleh semua port
- Melindungi serangan DHCP starvation, yaitu habisnya lease address pada dhcp server sehigga user yang sebenarnya tidak mendapatkan ip address karena ip address sudah di "ambil" oleh attacker.
Contoh configurasi:
>>Interface commands
switchport port-security
switchport port-security maximum 1 vlan voice
switchport port-security maximum 1 vlan access
switchport port-security violation restrict
switchport port-security aging time 2
switchport port-security aging type inactivity
snmp-server enable traps port-security trap-rate 5
- DHCP Snooping
Fungsi:
Melindungi jaringan dari Rouge DHCP Server atau DHCP palsu dalam jaringan sehingga user mendapatkan ip address keliru dengan kemungkinan gateway yang dapat mengcopy semua data yang lewat.
Contoh configurasi:
>>Global Commands
ip dhcp snooping vlan 4,104
no ip dhcp snooping information option
ip dhcp snooping
>>Interface commands (untrusted client)
no ip dhcp snooping trust (Default)
ip dhcp snooping limit rate 10 (pps)
>>Interface Commands (trusted client)
Interface Commands
ip dhcp snooping trust
- Dynamic Arp Inspection (DAI)
Fungsi:
Berdasarkan ARP RFC, client dapat memberikan arp reply walaupun tidak diminta; ini disebut gratuitous ARP; host client dalam satu subnet dapat menyimpan informasi ini dalam ARP tablenya. Problemnya, semua client dapat mengclaim IP/MAC sesuka hati sehingga dapat disalah gunakan. Dengan fungsi DAI ini kita dapat menjaga arp tersebut berdasarkan dhcp snooping binding table.
Contoh Configuration:
>>Global Commands
ip dhcp snooping vlan 4,104
no ip dhcp snooping information option
ip dhcp snooping
ip arp inspection vlan 4,104
ip arp inspection log-buffer entries 1024
ip arp inspection log-buffer logs 1024 interval 10
>>Interface Commands
ip dhcp snooping trust
ip arp inspection trust
- IP Source Guard
Fungsi:
Sama dengan DAI tetapi IPSG tidak hanya melihat dynamic ARP melainkan seluruh paket.
Contoh Configuration:
>>Global Commands
ip dhcp snooping vlan 4,104
no ip dhcp snooping information option
ip dhcp snooping
>>Interface Commands
ip verify source vlan dhcp-snooping
Selengkapnya...
