port stealing attack

port stealing attack (tsz. port stealing attacks)

1. (informatika) A port stealing, vagyis portlopási támadás egy olyan hálózati támadás, amelyet elsősorban kapcsolt Ethernet-hálózatokon (Layer 2 switch-ekkel működő hálózatokon) lehet végrehajtani. A cél az, hogy a támadó elfogja egy másik gépnek szánt forgalmat, mégpedig úgy, hogy becsapja a switchet, és elhiteti vele, hogy a célgép MAC-címe hozzá tartozik.

A switch egy MAC-cím táblát (CAM table) tart fenn, amely azt jegyzi meg, hogy melyik MAC-cím melyik fizikai porton található.

1. A támadó hamis Ethernet keretet küld a hálózatra.
2. Ebben a keretben a forrás MAC-cím egy áldozat gép MAC-címe.
3. A switch azt hiszi, hogy az adott MAC-cím most a támadó portjához tartozik, ezért frissíti a tábláját.
4. Mostantól a switch az áldozatnak szánt csomagokat a támadónak fogja továbbítani.
5. A támadó:
   • lehallgathatja a forgalmat,
   • módosíthatja, majd visszaküldheti az áldozatnak (man-in-the-middle),
   • vagy egyszerűen eldobhatja a csomagokat (megtagadásos támadás, DoS).

• Áldozat MAC-címe: AA:BB:CC:DD:EE:FF
• Áldozat a 3-as porton lóg a switchen
• A támadó küld egy hamis csomagot:
  • Forrás MAC: AA:BB:CC:DD:EE:FF (meghamisítva)
• A switch most azt hiszi, hogy az AA:BB:CC:DD:EE:FF MAC-cím a támadó portján van (pl. 7-es port)
• Ezután az áldozatnak szánt csomagokat a támadónak továbbítja

• Port Security (pl. Cisco eszközökön): Meg lehet határozni, hogy hány MAC-cím lehet egy porton, vagy konkrét MAC-címeket lehet hozzárendelni.
• Sticky MAC: Automatikusan tanult MAC-címeket „ragaszt” a porthoz, és nem enged másikat.
• 802.1X: Port-alapú hitelesítés.
• ARP és DHCP védelem (pl. Dynamic ARP Inspection).
• Hálózati szegmentálás: Érzékeny rendszerek elválasztása.

Laborban kipróbálható például: - Ettercap - Scapy (Python) - GNS3 / Cisco Packet Tracer (szimulációhoz)

Portlopási támadások: Mechanizmusok, következmények, észlelés és enyhítés kapcsolt hálózatokban
1. Bevezetés Cél: Ez a jelentés átfogó technikai elemzést nyújt a portlopási támadásokról, amelyek a 2. réteg hálózati infrastruktúráját fenyegető súlyos biztonsági veszélyt jelentenek. A cél az, hogy meghatározza a támadás fogalmát, részletezze annak működését, feltárja a lehetséges következményeket, valamint bemutassa a modern Ethernet kapcsolt hálózatokban alkalmazható hatékony észlelési, megelőzési és enyhítési stratégiákat. Környezet: A mai hálózatok jelentős mértékben támaszkodnak az OSI modell 2. rétegén (adatkapcsolati réteg) működő Ethernet kapcsolókra, hogy hatékony kommunikációt biztosítsanak a helyi hálózaton (LAN) belül. A kapcsolók növelik a teljesítményt az elavult hub-alapú hálózatokhoz képest azáltal, hogy a forgalmat kizárólag a címzett portjára továbbítják a megtanult hardvercímek alapján. Azonban azok a mechanizmusok, amelyek ezt a hatékonyságot lehetővé teszik – különösen a hálózati topológia dinamikus tanulása –, kihasználhatóak rosszindulatú szereplők által. Fenyegetés áttekintése: A portlopás egy súlyos manipulációs támadás, amely a 2. réteg kapcsolási logikáját célozza meg. A támadás azáltal ássa alá a hálózati forgalom épségét, hogy félrevezeti a kapcsolót a hálózati eszközök fizikai helyzetéről. A támadók a kapcsoló MAC-cím (Media Access Control) táblájának manipulálásával érik el, hogy az egy legitim eszköz MAC-címét a támadó portjához társítsa. Ez a forgalomátirányítás lehetővé teszi különböző káros tevékenységek végrehajtását, például közbeékelődéses (Man-in-the-Middle, MITM) támadásokat, szolgáltatásmegtagadást (DoS), valamint érzékeny adatok elfogását. Relevancia: A portlopás megértése és elhárítása elengedhetetlen a hálózati integritás, bizalmasság és rendelkezésre állás fenntartása érdekében. Még az olyan hálózatok is sérülékenyek lehetnek, amelyek a magasabb rétegeken (hálózati, szállítási, alkalmazási) erős biztonsági védelemmel rendelkeznek, ha az alatta fekvő 2. réteg sebezhető. A támadás ezen a rétegen egy belépési pontként szolgálhat a hálózat mélyebb rétegeibe való behatolásra, az oldalsó mozgásra, és jogosultság-eszkalációra, amely akár a felhőben tárolt erőforrásokhoz is hozzáférést adhat. A 2. réteg protokolljaiban meglévő bizalmi mechanizmusok és automatizált folyamatok különösen álnok támadási lehetőségeket biztosítanak.

2. A 2. réteg alapjai a portlopás megértéséhez Cél: A portlopás működésének és következményeinek megértéséhez elengedhetetlen a 2. réteg fogalmainak ismerete. Ez a szakasz áttekinti az Ethernet kapcsolás, a MAC-címzés, a CAM-táblák és az ARP protokoll legfontosabb elemeit. Ethernet kapcsolás alapjai:
A hálózati kapcsolók alapvető 2. réteg eszközök, amelyek LAN-on belüli hálózati szegmenseket és végberendezéseket (számítógépeket, nyomtatókat, szervereket) kötnek össze. Több fizikai porttal rendelkeznek, amelyekhez eszközök Ethernet kábellel csatlakoznak. A kapcsoló elsődleges feladata az Ethernet-keretként ismert adatcsomagok intelligens továbbítása a célhardver-cím alapján. A kapcsolók “átlátszó híd”-ként működnek, azaz működésük a végberendezések számára szinte láthatatlan. Az eszközök anélkül kommunikálhatnak, hogy tudnának a kapcsolóról vagy annak működéséről. Ez a transzparencia leegyszerűsíti a hálózat beállítását és működését, ugyanakkor sebezhetőséget is teremt, mivel a kapcsoló belső logikája – különösen az automatikus tanulási mechanizmus – manipulálható anélkül, hogy a végpontok erről tudomást szereznének. MAC-címek:
Minden hálózati kártyának (NIC) van egy egyedi MAC-címe, amely a hardveres azonosító szerepét tölti be a 2. rétegben. Ezeket a címeket általában a gyártó rendeli hozzá az eszközhöz, és azokat beégetik a hardverbe. Egy szabványos 48 bites MAC-cím két részből áll: 24 bit a gyártót azonosító OUI (Organizationally Unique Identifier), és 24 bit a gyártó által hozzárendelt egyedi sorozatszám. Például a 00:05:85-el kezdődő MAC-címek a Juniper Networks eszközeihez tartoznak. Bár a MAC-címek elméletileg állandóak és egyediek, szoftveresen gyakran hamisíthatók (MAC spoofing). A portlopás végrehajtásához ez elengedhetetlen: a támadónak képesnek kell lennie olyan keretek küldésére, amelyek forrás MAC-címe megegyezik az áldozatéval. CAM-tábla (MAC-cím tábla):
A kapcsolók belső adatbázist, ún. CAM-táblát (Content Addressable Memory) tartanak fenn, amely a MAC-címek és a hozzájuk tartozó portok összerendelését tartalmazza. Ez a tábla dinamikusan épül fel MAC tanulás révén. A kapcsoló minden beérkező keretből kiolvassa a forrás MAC-címet, és hozzárendeli ahhoz a porthoz, amelyen a keret érkezett. Ezzel új bejegyzést hoz létre vagy frissít egy meglévőt a CAM-táblában. Ha egy ismert cél MAC-címhez már van bejegyzés, a kapcsoló kizárólag a hozzátartozó portra továbbítja a keretet – ezt nevezzük unicast továbbításnak. Ha nincs ilyen bejegyzés (ismeretlen unicast), vagy a keret broadcast/multicast típusú, akkor a kapcsoló minden portra kiküldi azt, kivéve azt, amelyiken érkezett. Ha egy MAC-címet a kapcsoló egy új porton lát, frissíti a táblát – ezt a mechanizmust használja ki a portlopás. A támadó folyamatosan hamisított kereteket küld az áldozat MAC-címével, így a kapcsoló azt hiszi, hogy az áldozat új portra költözött, és frissíti a bejegyzést. ARP protokoll:
Az IPv4-es hálózatokban az IP-címeket (3. réteg) a logikai kommunikációhoz, a MAC-címeket (2. réteg) pedig a fizikai továbbításhoz használják. Az ARP (Address Resolution Protocol) az IP-címeket dinamikusan leképezi MAC-címekre. Ha például az A gép el akarja érni a B gépet, de nem tudja a B gép MAC-címét, ARP-kérést küld (“Kié az IP B?”), amelyet minden eszköz megkap. A B gép válaszként visszaküldi a saját MAC-címét. Ezután az A gép el tudja küldeni az adatokat a megfelelő MAC-címre. A GARP (Gratuitous ARP) különleges típusú ARP, amelyet a hoszt saját maga küld kérés nélkül. A támadók kihasználhatják ezt: GARP-csomagokat küldhetnek az áldozat IP- és MAC-címével, de saját portjukról, így a kapcsoló frissíti a CAM-táblát, mintha az áldozat az új portra költözött volna.

Cél:
Ez a fejezet pontos technikai meghatározást ad a portlopás támadásról a 2. réteg hálózatbiztonságának kontextusában. Alapdefiníció:
A portlopás egy 2. rétegű hálózati támadás, amely során a támadó manipulálja egy hálózati kapcsoló CAM-tábláját (Content Addressable Memory), hogy egy legitim áldozati hoszt MAC-címét tévesen ahhoz a fizikai porthoz társítsa, amelyhez a támadó gépe csatlakozik. Ezt a manipulációt a támadó úgy éri el, hogy Ethernet-kereteket küld a hálózatra, amelyek forrás MAC-címként az áldozat MAC-címét tartalmazzák – ezek a keretek azonban fizikailag a támadó portjáról származnak. Cél:
A portlopási támadás közvetlen technikai célja, hogy megtévessze a kapcsoló továbbítási logikáját. A CAM-tábla bejegyzésének “megmérgezésével” a támadó azt szeretné elérni, hogy a kapcsoló az áldozatnak szánt hálózati forgalmat a saját portjára irányítsa át. Környezet:
A portlopás kizárólag egyetlen 2. rétegű broadcast tartományon belül működik – jellemzően egy kapcsolt Ethernet LAN szegmensen. A támadás célpontja a kapcsoló szokásos MAC-cím tanulási és kerettovábbítási folyamata. A kapcsolók megbíznak a bejövő keretek forrás MAC-címében, és ezen információk alapján építik ki a hálózati topológiáról alkotott dinamikus képüket – ezt a bizalmat használja ki a támadó a portlopás során.

Cél:
Ez a szakasz részletesen ismerteti a portlopás támadás konkrét technikai lépéseit és mechanizmusait. A kapcsoló tanulásának kihasználása:
A portlopás alapja a kapcsolók normál működésének – konkrétan a CAM-táblák dinamikus felépítésének és frissítésének – kihasználása. A kapcsolók a bejövő keretek forrás MAC-címéből tanulnak, és a keret érkezési portját hozzárendelik a CAM-táblában. Ha ugyanazt a MAC-címet egy másik portra érkező keretben látják, frissítik az információt – a támadók épp ezt használják ki. Kerethamisítás:
A támadás elindításához a támadónak speciálisan kialakított 2. rétegű kereteket kell készítenie és továbbítania. A legelterjedtebb technika a hamisított GARP (Gratuitous ARP) csomagok használata.

• Az Ethernet fejléc forrás MAC-címe: az áldozat MAC-címe.
  
• A cél MAC-cím: lehet a támadó saját címe, broadcast (FF:FF:FF:FF:FF:FF), vagy más.
  
• Az ARP-payload: az áldozat IP- és MAC-címét tartalmazza, mintha ő küldte volna.

Amikor a kapcsoló megkapja ezt a keretet a támadó portjáról, azt hiszi, hogy az áldozat átköltözött erre a portra, így frissíti a CAM-táblát – ez a manipuláció célja. Versenyhelyzet:
Az áldozat gépe jellemzően továbbra is aktív, és küldi a saját forgalmát. Minden alkalommal, amikor az áldozat küld egy keretet, a kapcsoló helyesen frissíti a CAM-táblát. Így létrejön egy versenyhelyzet a támadó és az áldozat között – az nyer, akinek a kerete utoljára érkezik. A támadó úgy tud dominálni, hogy elárasztja a hálózatot hamisított keretekkel, vagy jól időzíti azokat, így a kapcsoló gyakrabban látja az áldozat MAC-címét a támadó portján. Közbeékelődéses (MITM) ciklus (haladó technika):
Fejlettebb eszközök, mint az Ettercap, implementálják a következő ciklust:

1. Port ellopása: hamisított GARP-okkal manipulálja a CAM-táblát.
   
2. Adatfogadás: a kapcsoló a támadóhoz irányítja az áldozatnak szánt forgalmat.
   
3. Port visszaadása: a támadó leállítja az árasztást, és rákényszeríti a kapcsolót a CAM-tábla korrigálására (pl. ARP-kérést generál az áldozat felé).
   
4. Adattovábbítás: a támadó továbbítja a csomagot az áldozatnak.
   
5. Ismétlés: újraindítja a GARP-folyamatot.

Ez lehetővé teszi az átlátszó MITM működést, de sok ARP-forgalmat és CAM-tábla-frissítést generál, amit észlelni lehet.

Közbeékelődéses (MITM):
A legnagyobb veszély, hogy a támadó:

• Lehallgathat (pl. jelszavak, e-mailek, fájlok).
  
• Módosíthat adatokat, mielőtt az a címzetthez érne.
  
• Kártékony adatot fecskendezhet be.

Szolgáltatásmegtagadás (DoS):
A támadó egyszerűen eldobhatja az elfogott forgalmat, így az áldozat elveszti a hálózati kapcsolatát. A folyamatos hálózati árasztás a kapcsolót is túlterhelheti. Adatlehívás:
A támadó képes érzékeny adatok passzív elfogására. Felderítés:
Az elfogott forgalomból hálózati információkhoz, kommunikációs mintákhoz, IP-khez, topológiához juthat. További támadások alapja:
A pozíciót használhatja:

• DNS-spoofinghoz,
  
• Szekció-eltérítéshez,
  
• Malware-injektáláshoz.

Kritikus rendszerek elleni hatás:
Ipari protokollokat (pl. PROFINET) is érinthet a portlopás, így gépek, vezérlők (PLC-k), vagy ember-gép interfészek (HMI-k) is támadhatók.

MAC flapping:
Ha egy MAC-cím gyors egymásutánban különböző portokon jelenik meg, a kapcsoló ezt “MAC-flapként” naplózza. A gyakori MAC-flapping az egyik fő indikátor. ARP-figyelés:
A hamisított GARP-ok, ARP-válaszok kérések nélkül, szintén gyanúsak. Eszközök: arpwatch, Wireshark stb. Kapcsolói naplók elemzése:

• Portbiztonsági sértések,
  
• DAI-naplók (hamisított ARP-ok eldobása),
  
• MAC-mozgás naplózása.

Hibaelhárítás lépései:

1. Azonosítsd az áldozat MAC-címét.
   
2. Nézd meg, mely port(ok)hoz tartozik jelenleg.
   
3. Fizikailag kövesd a portokat – a gyanús porton lévő gép lehet a támadó.
   
4. Kapcsolódj le, elemezd, és rögzítsd a forgalmat bizonyítékként.

Portbiztonság (Port Security):

• MAC-cím korlátozás portonként (pl. max. 1 MAC).
  
• Statikus MAC-cím hozzárendelés.
  
• Sticky MAC learning – dinamikusan megtanult MAC-ek rögzítése.
  
• Sértés esetén:
  • shutdown: port letiltása,
    
  • restrict: csak a sértő csomagokat dobja, logol,
    
  • protect: nem logol – kerülendő.

Dinamikus ARP-ellenőrzés (DAI):

• Megvizsgálja az ARP-csomagokat, és csak a DHCP Snooping által rögzített IP–MAC párosokat engedi át.
  
• Megakadályozza a hamisított ARP-ok továbbjutását.

DHCP Snooping:

• Ellenőrzi a DHCP-forgalmat.
  
• Készít egy megbízható IP–MAC–VLAN–port adatbázist, amelyet DAI és IPSG használ.

IP Source Guard (IPSG):

• Port szinten engedélyezi vagy eldobja a forgalmat az IP és MAC alapján.
  
• Megakadályozza az IP-cím-hamisítást.

Statikus ARP:
Rögzített ARP-párosításokat használ – de nem skálázható, inkább kritikus rendszerekre ajánlott. Konfigurációs gyakorlatok:

• DTP tiltása (trunk-hamisítás elkerülése).
  
• Access portok egyértelmű beállítása.
  
• Nem használt portok letiltása, külön VLAN-ba helyezése.
  
• STP-védelem: BPDU Guard, Root Guard.
  
• MAC-mozgás korlátozása (ha elérhető).
  
• Fizikai védelem: hozzáférés-ellenőrzés a hálózati eszközökhöz.

MITM iroda LAN-on:
Ettercap használatával a támadó GARP-okat küld, manipulálja a CAM-táblát, elfogja az áldozat forgalmát, majd visszaküldi neki. Online játék DoS:
A támadó portlopással időszakosan eldobja vagy késlelteti a versenytárs forgalmát – teljesítményromlást okoz. Ipari rendszerek:
A támadó a PROFINET hálózaton elfogja és módosítja a PLC és HMI közti forgalmat – akár fizikai kárt vagy biztonsági problémát is okozva. Valós példa:
Egy VPN-eszköz tévesen asszociálódott a gateway MAC-címével, megszakítva az internetkapcsolatot – ARP/portlopási probléma volt.

Támadó eszközök:

• Ettercap – MITM és portlopás ciklus teljes támogatása.
  
• Scapy – Python alapú keretkészítő és tesztelő eszköz.
  
• arpspoof, Cain & Abel – főként ARP mérgezésre, de portlopásra is alkalmasak.

Védelmi eszközök:

• Kapcsolói OS-ek: Cisco IOS, Juniper Junos, ArubaOS.
  
• Funkciók: Port Security, DHCP Snooping, DAI, IPSG.
  
• Naplózás: Syslog, SNMP trap-ek.
  
• Külső monitorozás: SIEM-ek (pl. Splunk, QRadar), NMS-ek (pl. PRTG, Nagios).

Fenntartások:
A portlopás súlyos 2. rétegű támadás, amely megingathatja a teljes hálózati biztonságot. CAM-tábla manipulációval közbeékelődést, DoS-t, adatlopást és oldalirányú mozgást tesz lehetővé. Javaslatok:

• Port Security: limit = 1, sticky MAC, restrict vagy shutdown mód, auto-recovery.
  
• DHCP Snooping: aktiválás VLAN-onként, trusted portok konfigurálása.
  
• DAI: DHCP Snooping után aktiválva.
  
• IPSG: IP+MAC-alapú forgalomszűrés hozzáadása.
  
• Konfigurációs alapelvek: DTP tiltása, access port beállítások, nem használt portok letiltása, STP-védelem.
  
• Monitorozás és audit: Syslog, SIEM-ek használata, konfigurációk rendszeres ellenőrzése.
  
• Fizikai biztonság: hozzáférés korlátozása a hálózati eszközökhöz.

Zárógondolat:
A 2. réteg megbízhatósága alapja a hálózati biztonságnak – automatizmusait csak megfelelő biztonsági vezérlőkkel együtt szabad használni. A portlopás elleni védekezés nem csupán beállítás kérdése, hanem stratégiai biztonsági szükséglet.

• port stealing attack - Szótár.net (en-hu)
• port stealing attack - Sztaki (en-hu)
• port stealing attack - Merriam–Webster
• port stealing attack - Cambridge
• port stealing attack - WordNet
• port stealing attack - Яндекс (en-ru)
• port stealing attack - Google (en-hu)
• port stealing attack - Wikidata
• port stealing attack - Wikipédia (angol)