RT

Sieci komputerowe

CYB-03 — Ochrona warstwy drugiej

Cyberbezpieczeństwo

Kontrolowane wdrożenie i sprawdzenie zabezpieczeń portów przełącznika Cisco IOS/IOS XE z pełnym rollbackiem każdej zmiany.

120–150 minCisco IOS / IOS XEizolowane LAB-CYBERochrona L2raport

Cele ćwiczenia

Od obserwacji do udokumentowanego wniosku

  • Zbudowanie odizolowanej topologii przełączanej i udokumentowanie stanu bazowego przed zmianami.
  • Włączenie Port Security, DHCP Snooping, DAI, IP Source Guard, BPDU Guard i Storm Control na właściwych portach.
  • Wywołanie wyłącznie zatwierdzonych, krótkich naruszeń w LAB-CYBER i powiązanie ich z licznikami oraz logami.
  • Rozróżnienie portów zaufanych i niezaufanych oraz zależności bindingów DHCP od DAI i IP Source Guard.
  • Cofnięcie każdego etapu i potwierdzenie powrotu legalnej komunikacji do stanu bazowego.
  • Przygotowanie raportu zawierającego własne wyniki, dowody i ograniczenia bez gotowych odpowiedzi.

Wymóg bezwzględny

Autoryzacja, izolacja i bezpieczne granice

Ćwiczenie wolno wykonywać wyłącznie na przełącznikach i hostach przeznaczonych do LAB-CYBER oraz objętych zgodą prowadzącego. Żadne łącze nie może prowadzić do sieci uczelni, firmy, domu ani Internetu.

Nie podłączaj obcego serwera DHCP, generatora ruchu ani dodatkowego przełącznika. DHCP-TEST, SW-TEST i GEN-TEST są urządzeniami laboratoryjnymi przygotowanymi lub zatwierdzonymi przez prowadzącego.

Konfiguruj urządzenie przez konsolę lokalną. Nie wykonuj ćwiczenia przez port, który będzie obejmowany IP Source Guard, BPDU Guard albo Storm Control. Przed każdym naruszeniem prowadzący potwierdza identyfikator scenariusza, port, czas i procedurę przerwania.

Granice bezpiecznego CYB-03
DozwoloneNiedozwoloneNatychmiastowe przerwanie
własne urządzenia LAB-CYBER i konsola lokalnasieć produkcyjna, uplink kampusowy, domowy routergdy pojawi się nieznany MAC, VLAN lub adres
pojedynczy, krótki scenariusz z tabelilosowe progi, trwała pętla, nieograniczony generatorgdy rośnie CPU, tracisz konsolę lub wpływ przekracza badany port
obserwacja logów i licznikówukrywanie źródła, obchodzenie kontroli, spoofing poza laboratoriumgdy nie można wskazać aktywnego rollbacku

Oddzielna infrastruktura

Topologia, adresacja i obsługa platformy

Elementy topologii CYB-03
ElementTypPort / VLANRolaOgraniczenie
SW-LABzarządzany przełącznik Ciscourządzenie badanekonsola lokalnabez połączenia z siecią produkcyjną
PC-Aklient DHCPGi1/0/1, VLAN 10legalny host i bindingtylko LAB-CYBER
PC-B / PC-Cdwa kontrolowane hostyGi1/0/2, VLAN 10test limitu MACpodłączane pojedynczo
SW-TESTdrugi przełącznik laboratoryjnyGi1/0/3, VLAN 10kontrolowane BPDUpodłączany dopiero w scenariuszu
GEN-TESTzatwierdzone źródło ruchuGi1/0/4, VLAN 10krótki test Storm Controllimit czasu i przepływności
DHCP-SRVlegalny serwer DHCPGi1/0/24, VLAN 10jedyny port trustedpula 10.10.10.0/24
DHCP-TESTserwer testowy prowadzącegozamiast GEN-TEST na Gi1/0/4kontrolowana odpowiedź DHCPwyłączony poza scenariuszem
Adresacja i VLAN-y CYB-03
ElementVLANAdresacjaUwagi
VLAN klientów1010.10.10.0/24zakres wyłącznie laboratoryjny
DHCP-SRV1010.10.10.2/24legalny serwer; konfiguracja stała
PC-A10z DHCPadres ma pojawić się w binding database
PC-B / PC-C10z DHCP lub adres zatwierdzonynie używaj danych produkcyjnych
VLAN parkingowy999braknieużywane porty, jeżeli prowadzący rozszerzy ćwiczenie

Wymagania wstępne

  • Ukończone podstawy przełączania i ochrony L2, VLAN, ARP oraz DHCP.
  • Przełącznik Cisco IOS/IOS XE albo autoryzowany emulator z potwierdzoną obsługą badanych funkcji.
  • Dostęp przez port konsolowy, legalny serwer DHCP oraz możliwość fizycznego odłączenia wszystkich urządzeń testowych.
  • Zsynchronizowany czas lub zanotowana różnica czasu, aby powiązać polecenia z logami.

Packet Tracer może nie implementować wszystkich poleceń i liczników tak samo jak konkretny Catalyst. Brak komendy jest wynikiem audytu możliwości platformy, a nie powodem do wpisywania przypadkowych zamienników.

Kontrola obsługi i polecenia weryfikacyjne
MechanizmKontrola ogólnaKontrola szczegółowaCo zapisać
Port Securityshow port-securityshow port-security interface Gi1/0/2liczba secure MAC i naruszeń
DHCP Snoopingshow ip dhcp snoopingshow ip dhcp snooping bindingVLAN, trust, rate limit i binding
DAIshow ip arp inspectionshow ip arp inspection statisticsVLAN, port trusted i odrzucenia ARP
IP Source Guardshow ip verify sourceshow ip source bindingfiltr na porcie i źródło bindingu
BPDU Guardshow spanning-tree summaryshow interfaces status err-disabledstan portu i przyczyna err-disable
Storm Controlshow storm-controlshow storm-control interface Gi1/0/4próg, bieżący stan i akcja

Najpierw dowody

Stan bazowy i plan cofnięcia

Nie zapisuj konfiguracji testowej do startup-config. Zapisz wynik poleceń w terminalu i, jeżeli platforma na to pozwala, skopiuj bieżący running-config do osobnego pliku w pamięci urządzenia. Użycie configure replace jest dopuszczalne tylko po wcześniejszym teście prowadzącego na tym modelu.

enable terminal length 0 show clock show version show running-config show interfaces status show vlan brief show mac address-table show spanning-tree summary show port-security show ip dhcp snooping show ip dhcp snooping binding show ip arp inspection show ip verify source show storm-control show logging copy running-config flash:lab06-base.cfg

Warunki rozpoczęcia

  • Prowadzący zatwierdził mapę portów i potwierdził brak łącza do sieci zewnętrznej.
  • Dostęp konsolowy działa niezależnie od interfejsów testowych.
  • Wiadomo, które funkcje i polecenia obsługuje użyta platforma.
  • Legalna dzierżawa DHCP, ping w VLAN 10 i stan STP zostały zapisane przed zmianami.
  • Dla każdego scenariusza wskazano osobę wydającą polecenie STOP i aktywny rollback.

Cisco IOS / IOS XE

Minimalna konfiguracja bazowa

Nazwy interfejsów są przykładowe. Przed wklejeniem zastąp je portami z zatwierdzonej mapy. Nie używaj interface range, dopóki nie sprawdzisz każdego portu osobno.

configure terminal vlan 10 name LAB-CLIENTS vlan 999 name PARKING interface GigabitEthernet1/0/1 description LAB-PC-A-DHCP switchport mode access switchport access vlan 10 spanning-tree portfast no shutdown interface GigabitEthernet1/0/2 description LAB-PC-B-PORT-SECURITY switchport mode access switchport access vlan 10 spanning-tree portfast no shutdown interface GigabitEthernet1/0/3 description LAB-SW-TEST-BPDU switchport mode access switchport access vlan 10 spanning-tree portfast no shutdown interface GigabitEthernet1/0/4 description LAB-TEST-UNTRUSTED switchport mode access switchport access vlan 10 spanning-tree portfast no shutdown interface GigabitEthernet1/0/24 description LAB-DHCP-SRV switchport mode access switchport access vlan 10 no shutdown end show vlan brief show interfaces status show spanning-tree vlan 10

Przed kolejnym etapem PC-A musi otrzymać adres od DHCP-SRV. Jeżeli legalna komunikacja nie działa, nie włączaj zabezpieczeń; najpierw popraw konfigurację bazową.

Scenariusz PS-01

Port Security: jeden legalny adres MAC

Tryb restrict odrzuca ruch nieznanego MAC, zwiększa licznik i generuje powiadomienie bez automatycznego wyłączania całego portu. Dzięki temu test jest mniej zakłócający niż domyślny tryb shutdown.

configure terminal interface GigabitEthernet1/0/2 switchport port-security switchport port-security maximum 1 switchport port-security violation restrict switchport port-security mac-address sticky end ! Podłącz PC-B i wygeneruj zwykły ping w VLAN 10. show port-security interface GigabitEthernet1/0/2 show port-security address show logging | include PORT_SECURITY|PSECURE ! Po zapisaniu legalnego MAC odłącz PC-B i, za zgodą prowadzącego, ! podłącz PC-C. Nie zmieniaj tożsamości urządzeń poza LAB-CYBER. show port-security interface GigabitEthernet1/0/2 show logging | include PORT_SECURITY|PSECURE

Rollback PS-01

! Najpierw odłącz PC-C i ponownie podłącz PC-B. configure terminal interface GigabitEthernet1/0/2 no switchport port-security mac-address sticky no switchport port-security maximum no switchport port-security violation no switchport port-security end show port-security interface GigabitEthernet1/0/2 show mac address-table interface GigabitEthernet1/0/2

Scenariusz DHCP-01

DHCP Snooping: trust, limit i bindingi

Port do DHCP-SRV jest jedynym portem trusted. Porty klientów i DHCP-TEST pozostają untrusted. Nie rozwiązuj problemu z dzierżawą przez oznaczenie portu klienta jako trusted.

configure terminal ip dhcp snooping ip dhcp snooping vlan 10 interface GigabitEthernet1/0/24 ip dhcp snooping trust interface GigabitEthernet1/0/1 ip dhcp snooping limit rate 15 interface GigabitEthernet1/0/2 ip dhcp snooping limit rate 15 interface GigabitEthernet1/0/3 ip dhcp snooping limit rate 15 interface GigabitEthernet1/0/4 ip dhcp snooping limit rate 15 end ! Odnów dzierżawę PC-A, następnie zapisz: show ip dhcp snooping show ip dhcp snooping binding show ip dhcp snooping statistics

Po potwierdzeniu legalnego bindingu prowadzący na maksymalnie 30 sekund włącza DHCP-TEST na Gi1/0/4, a PC-A odnawia dzierżawę. Student nie konfiguruje serwera testowego. Zapisz statystyki i logi, wyłącz DHCP-TEST oraz potwierdź, że klient nadal otrzymuje konfigurację od DHCP-SRV.

Rollback DHCP-01

! DHCP-TEST musi być wyłączony i odłączony. configure terminal interface GigabitEthernet1/0/24 no ip dhcp snooping trust interface GigabitEthernet1/0/1 no ip dhcp snooping limit rate interface GigabitEthernet1/0/2 no ip dhcp snooping limit rate interface GigabitEthernet1/0/3 no ip dhcp snooping limit rate interface GigabitEthernet1/0/4 no ip dhcp snooping limit rate exit no ip dhcp snooping vlan 10 no ip dhcp snooping end show ip dhcp snooping show ip dhcp snooping binding

Nie wykonuj rollbacku DHCP Snooping przed etapem DAI/IPSG. Powyższa procedura służy do cofnięcia etapu albo zakończenia laboratorium; przy normalnej kolejności zachowaj DHCP Snooping i poprawny binding PC-A.

Scenariusze DAI-01 i IPSG-01

DAI oraz IP Source Guard: jeden mechanizm naraz

Dynamic ARP Inspection i IP Source Guard wykorzystują bindingi utworzone przez DHCP Snooping. Najpierw zapisz poprawny wpis PC-A. Host ze statycznym adresem nie może być objęty egzekwowaniem bez zatwierdzonego statycznego bindingu lub innego rozwiązania właściwego dla platformy.

DAI-01

configure terminal ip arp inspection vlan 10 interface GigabitEthernet1/0/24 ip arp inspection trust end show ip dhcp snooping binding show ip arp inspection show ip arp inspection statistics ! Na PC-A, wyłącznie za zgodą prowadzącego, zapisz dzierżawę, ! a następnie ustaw na chwilę inny adres 10.10.10.X/24. ! Wykonaj pojedynczy ping do DHCP-SRV, po czym natychmiast przywróć DHCP. show ip arp inspection statistics show logging | include ARP|SW_DAI
! Rollback DAI-01 po przywróceniu DHCP na PC-A configure terminal interface GigabitEthernet1/0/24 no ip arp inspection trust exit no ip arp inspection vlan 10 end show ip arp inspection

IPSG-01

! DHCP Snooping i poprawny binding PC-A nadal muszą działać. configure terminal interface GigabitEthernet1/0/1 ip verify source end show ip source binding show ip verify source ! Potwierdź legalny ping. Następnie prowadzący zatwierdza chwilową ! zmianę źródłowego IP PC-A na adres nieobecny w bindingu. ! Wykonaj jeden ping i natychmiast przywróć DHCP. show ip verify source show logging | include SOURCE|SECURITY
! Rollback IPSG-01 po przywróceniu DHCP na PC-A configure terminal interface GigabitEthernet1/0/1 no ip verify source end show ip verify source show ip dhcp snooping binding

Jeżeli oba mechanizmy byłyby włączone podczas jednego testu, sam brak pinga nie wskazałby, który filtr zadziałał. Dlatego DAI wyłączamy i weryfikujemy przed rozpoczęciem IPSG-01.

Scenariusz BPDU-01

BPDU Guard na porcie urządzenia końcowego

Gi1/0/3 jest portem edge z PortFast i nie powinien otrzymywać BPDU. SW-TEST podłącz dopiero po zatwierdzeniu przez prowadzącego. Nie łącz dwóch portów tego samego przełącznika i nie twórz pętli.

configure terminal interface GigabitEthernet1/0/3 spanning-tree portfast spanning-tree bpduguard enable end show spanning-tree interface GigabitEthernet1/0/3 detail ! Teraz podłącz jedno łącze do SW-TEST i odczekaj na BPDU. show interfaces status err-disabled show interfaces GigabitEthernet1/0/3 status show logging | include BPDU|ERR_DISABLE|SPANTREE

Rollback BPDU-01

! Najpierw fizycznie odłącz SW-TEST. configure terminal interface GigabitEthernet1/0/3 shutdown no spanning-tree bpduguard enable no shutdown end show interfaces GigabitEthernet1/0/3 status show spanning-tree interface GigabitEthernet1/0/3 detail

Scenariusz SC-01

Storm Control z limitem czasu i przepływności

Najpierw zmierz zwykły ruch i dobierz próg wspólnie z prowadzącym. Poniższe wartości są przykładem laboratoryjnym, nie ustawieniem produkcyjnym. Użyj akcji alarmowej zamiast automatycznego wyłączenia portu, jeżeli platforma ją obsługuje.

show interfaces GigabitEthernet1/0/4 counters show storm-control interface GigabitEthernet1/0/4 configure terminal interface GigabitEthernet1/0/4 storm-control broadcast level 1.00 0.50 storm-control action trap end show storm-control interface GigabitEthernet1/0/4 ! Prowadzący uruchamia zatwierdzony GEN-TEST na maksymalnie 10 sekund. ! Student obserwuje konsolę, licznik portu i natychmiast wydaje STOP. show storm-control interface GigabitEthernet1/0/4 show interfaces GigabitEthernet1/0/4 counters show logging | include STORM|storm

Rollback SC-01

! Najpierw zatrzymaj i odłącz GEN-TEST. configure terminal interface GigabitEthernet1/0/4 no storm-control action no storm-control broadcast level end show storm-control interface GigabitEthernet1/0/4 show interfaces GigabitEthernet1/0/4 counters

Jeżeli platforma nie obsługuje akcji trap, nie zastępuj jej automatycznie akcją shutdown. Zakończ scenariusz na weryfikacji konfiguracji i opisz ograniczenie.

Stan końcowy

Pełne przywrócenie i kontrola legalnego ruchu

Rollback jest częścią każdego scenariusza, nie awaryjnym dodatkiem wykonywanym dopiero na końcu.

  1. Zatrzymaj i odłącz DHCP-TEST, GEN-TEST oraz SW-TEST. Przywróć DHCP na PC-A.
  2. Wyłącz IP Source Guard, DAI, DHCP Snooping, Port Security, BPDU Guard i Storm Control zgodnie z procedurami etapów.
  3. Porównaj show running-config ze stanem bazowym. Gdy prowadzący wcześniej przetestował tę funkcję, może użyć configure replace flash:lab06-base.cfg force; w przeciwnym razie wykonaj ręczny rollback.
  4. Potwierdź stan portów, VLAN 10, STP, brak aktywnych filtrów oraz pusty lub oczekiwany stan liczników.
  5. Odnów dzierżawę PC-A i wykonaj zwykły test połączenia do DHCP-SRV.
  6. Nie wykonuj copy running-config startup-config. O usunięciu pliku flash:lab06-base.cfg decyduje prowadzący.
show running-config show interfaces status show vlan brief show spanning-tree vlan 10 show port-security show ip dhcp snooping show ip arp inspection show ip verify source show storm-control show logging show clock

Bez gotowych odpowiedzi

Wyniki, pytania i zadanie samodzielne

Miejsca na własne wyniki studenta CYB-03
EtapCzasStan przedZmiana / bodziecLog lub licznikRollback i test końcowy
Stan bazowy
PS-01
DHCP-01
DAI-01
IPSG-01
BPDU-01
SC-01
Stan końcowy
Plan kontrolowanych scenariuszy CYB-03
IDMechanizmKontrolowany bodziecOczekiwana obserwacja do sprawdzeniaRollback
PS-01Port Securityzamiana PC-B na PC-C po nauczeniu jednego MACwzrost Security Violation i odrzucenie obcego MAC w trybie restrictprzywróć PC-B; usuń konfigurację port-security zgodnie z procedurą
DHCP-01DHCP Snoopingkrótkie włączenie DHCP-TEST na porcie untrustedodrzucona odpowiedź serwera testowego; legalny DHCP-SRV nadal obsługuje klientawyłącz DHCP-TEST; usuń rate limit/trust i funkcję tylko po zapisaniu wyników
DAI-01DAIzatwierdzona, chwilowa niezgodność IP-MAC klientaodrzucony ARP na porcie untrusted i wzrost licznika DAIprzywróć DHCP na kliencie; następnie wyłącz DAI według procedury
IPSG-01IP Source Guardzmiana źródłowego IP PC-A na adres nieobecny w bindingulegalny binding działa, niezgodne źródło nie przechodziprzywróć DHCP przed wykonaniem no ip verify source
BPDU-01BPDU Guardpodłączenie SW-TEST do portu edgeGi1/0/3 przechodzi w err-disabled i pojawia się log BPDU Guardodłącz SW-TEST, sprawdź przyczynę, wykonaj shutdown/no shutdown
SC-01Storm Controlzatwierdzony generator przez maksymalnie 10 sekundpróg broadcast zostaje przekroczony; log/trap lub licznik zależy od platformyzatrzymaj generator i usuń próg oraz akcję

Pytania kontrolne

  1. Dlaczego tylko port prowadzący do legalnego serwera DHCP może być trusted?
  2. Jakie dane zawiera binding DHCP Snooping i które dwa mechanizmy mogą z niego korzystać?
  3. Dlaczego host ze statycznym adresem wymaga jawnego planu przed włączeniem DAI lub IP Source Guard?
  4. Czym różni się tryb restrict Port Security od domyślnego trybu shutdown?
  5. Dlaczego BPDU Guard stosuje się na porcie edge, a nie na prawidłowym łączu między przełącznikami?
  6. Dlaczego próg Storm Control trzeba dobrać do baseline zamiast kopiować wartość z przykładu?
  7. Które polecenia potwierdzają, że legalny klient nadal działa po włączeniu ochrony?
  8. Jak odróżnić przyczynę blokady DAI od blokady IP Source Guard?
  9. Dlaczego log naruszenia nie jest samodzielnym dowodem intencjonalnego ataku?
  10. Jakie dowody trzeba zebrać przed rollbackiem, aby raport był powtarzalny?

Zadanie samodzielne

Przygotuj dla fikcyjnego przełącznika LAB-CYBER macierz czterech portów: rola, VLAN, źródło DHCP, stan trust, oczekiwany binding, Port Security, ochrona STP, próg Storm Control, polecenie weryfikacyjne oraz rollback. Nie wpisuj konfiguracji do urządzenia produkcyjnego. Uzasadnij każde pole trusted i każdy wyjątek dla hosta statycznego.

Od objawu do źródła

Najczęstsze problemy

Gdy legalny ruch przestaje działać, zatrzymaj scenariusz i cofnij ostatnią zmianę zamiast włączać kolejne wyjątki.

Najczęstsze problemy CYB-03
ObjawMożliwa przyczynaPierwszy bezpieczny krok
Polecenie jest niedostępneobraz, licencja albo model nie obsługuje funkcjinie szukaj przypadkowego zamiennika; zapisz show version i zgłoś prowadzącemu
Klient nie otrzymuje adresu po włączeniu DHCP Snoopingbłędny port trusted, VLAN albo obsługa Option 82sprawdź topologię, bindingi, statystyki i politykę serwera; nie oznaczaj portu klienta jako trusted
DAI odrzuca legalny ARPbrak bindingu, host statyczny lub błędny VLANwyłącz egzekwowanie w tym etapie i najpierw odtwórz poprawny binding
IP Source Guard blokuje cały ruch PC-Abrak wpisu DHCP lub niezgodny port/VLANwykonaj no ip verify source z konsoli i odbuduj binding przez DHCP
Port po teście BPDU nie wracanadal odbiera BPDU albo pozostaje err-disabledodłącz SW-TEST, sprawdź przyczynę, dopiero potem shutdown/no shutdown
Storm Control nie zgłasza zdarzeniaruch nie przekroczył progu lub platforma inaczej raportujenie zwiększaj ruchu bez zgody; zapisz próg, licznik i ograniczenie platformy
Kilka mechanizmów blokuje ten sam testetapy nie zostały rozdzielonewróć do baseline i włączaj tylko mechanizm badany w danym scenariuszu

Dokumentacja studenta

Szablon raportu i kryteria zaliczenia

Szablon raportu — CYB-03

Kryteria techniczne i raport

  • Topologia była fizycznie lub logicznie odizolowana od sieci produkcyjnej, a zakres autoryzacji zapisano w raporcie.
  • Stan bazowy obejmuje konfigurację, wersję platformy, tablicę MAC, STP, DHCP, ARP, logi i czas urządzenia.
  • Port trusted wskazano wyłącznie w kierunku legalnego DHCP-SRV, a porty klientów pozostały untrusted.
  • Binding PC-A został udokumentowany przed uruchomieniem DAI i IP Source Guard.
  • Każdy scenariusz wykonano oddzielnie, zapisując czas, komendę weryfikacyjną, licznik lub log i ograniczenie wniosku.
  • Po każdym scenariuszu wykonano przypisany rollback i test legalnej komunikacji.
  • Nie zapisano konfiguracji testowej do startup-config i nie pozostawiono serwera DHCP-TEST ani generatora ruchu.
  • Raport zawiera własne wyniki studenta i nie zawiera gotowych odpowiedzi ani danych z obcej sieci.

Kontrola bezpieczeństwa

  • Nie podłączono laboratorium do sieci produkcyjnej ani Internetu.
  • Nie użyto niezatwierdzonego serwera DHCP, przełącznika ani generatora ruchu.
  • Każdy bodziec miał limit czasu, właściciela i procedurę STOP.
  • Po ćwiczeniu przywrócono legalny DHCP i usunięto konfigurację egzekwującą.
  • Logi i raport nie zawierają danych cudzych urządzeń ani sieci.
Lista: Sieci komputerowe
CYB-02 — Analiza anomalii w WiresharkuCYB-04 — Podatności i ryzyko