説明

二重タグ付け攻撃: この攻撃では、攻撃側のコンピュータが 2 つの 802.1Q タグを持つフレームを生成します。最初のタグはトランク ポートのネイティブ VLAN (この場合は VLAN 10) と一致し、2 番目のタグは攻撃対象のホストの VLAN (VLAN 20) と一致します。攻撃者からのパケットがスイッチ A に到達すると、スイッチ A は最初の VLAN 10 のみを認識し、それがスイッチ A のネイティブ VLAN 10 と一致するため、この VLAN タグは削除されます。スイッチ A は、同じネイティブ VLAN 10 を持つすべてのリンクにフレームを転送します。スイッチ B は、VLAN 20 のタグが付いたフレームを受信するため、このタグを削除して被害者のコンピュータに転送します。注: この攻撃は、トランク (2 つのスイッチ間) のネイティブ VLAN が攻撃者と同じである場合にのみ機能します。このタイプの攻撃を軽減するには、VLAN アクセス コントロール リスト (VACL、VLAN 内のすべてのトラフィックに適用されます。VACL を使用して、特定の被害者/サーバーへの攻撃者のトラフィックをドロップできます) を使用するか、プライベート VLAN を実装します。ARP 攻撃 (ARP ポイズニング/スプーフィングなど) は、悪意のあるアクターがローカル エリア ネットワーク経由で偽の ARP メッセージを送信するタイプの攻撃です。ARP は、ARP 要求が受信されなかった場合でもホストからの不当な応答を許可します。これは、レイヤー 2 の ARP に基づく攻撃です。ダイナミック ARP インスペクション (DAI) は、ネットワーク内の ARP パケットを検証するセキュリティ機能であり、このタイプの攻撃を軽減するために使用できます。