A segurança de switches é fundamental para proteger a infraestrutura de rede contra ameaças internas e externas. Em uma LAN, o switch é o dispositivo central que conecta hosts, servidores e outros dispositivos, e sua vulnerabilidade pode comprometer toda a rede. Nesta aula, vamos explorar quatro mecanismos essenciais: Port Security, VLANs, DHCP Snooping e Spanning Tree Protocol (STP). Cada um deles desempenha um papel específico na mitigação de riscos, desde o controle de acesso físico até a prevenção de ataques como ARP spoofing e loops de camada 2.

Antes de mergulharmos nos detalhes, é importante entender que a segurança de LANs não é apenas sobre configuração, mas também sobre monitoramento e boas práticas. Um switch mal configurado pode ser a porta de entrada para ataques como MAC flooding, VLAN hopping ou DHCP starvation. Portanto, dominar essas técnicas é essencial para qualquer profissional de segurança ou administrador de redes.

Port Security

Port Security é um recurso dos switches que permite restringir quais dispositivos podem se conectar a uma porta específica, com base no endereço MAC. Ele é usado para evitar que dispositivos não autorizados se conectem à rede, bem como para mitigar ataques de MAC flooding, onde um invasor envia uma enxurrada de quadros com endereços MAC falsos para sobrecarregar a tabela CAM do switch e transformá-lo em um hub.

Quando habilitada, a Port Security monitora o endereço MAC de origem dos quadros que chegam à porta. Você pode configurar um número máximo de endereços MAC permitidos e definir uma ação de violação (shutdown, restrict ou protect). A ação shutdown desabilita a porta, restrict descarta os quadros do MAC não autorizado e registra logs, e protect simplesmente descarta sem registrar. A configuração típica envolve definir o máximo de MACs, como 1 ou 2, e a ação de segurança.

Exemplo de configuração em um switch Cisco (IOS):

interface GigabitEthernet0/1
 switchport mode access
 switchport port-security
 switchport port-security maximum 1
 switchport port-security mac-address sticky
 switchport port-security violation shutdown

Nesse exemplo, a porta permite apenas um endereço MAC (aprendido dinamicamente e "grudado" na configuração), e qualquer violação desliga a porta. O modo sticky faz com que o switch aprenda o MAC do primeiro dispositivo e o associe permanentemente à porta até que seja removido manualmente.

É importante lembrar que a Port Security não é uma solução completa: ela pode ser contornada por ataques de spoofing de MAC, mas adiciona uma camada de defesa. Em ambientes com alta rotatividade de dispositivos (como redes corporativas com muitos visitantes), é preciso balancear segurança e usabilidade.

VLAN

VLANs (Virtual Local Area Networks) segmentam a rede em domínios de broadcast lógicos, independentemente da localização física. Isso melhora a segurança ao isolar grupos de dispositivos, reduzir o tráfego de broadcast e limitar o acesso entre diferentes departamentos ou níveis de confiança. Por exemplo, você pode criar VLANs separadas para funcionários, convidados e servidores, e controlar o tráfego entre elas usando firewalls ou ACLs.

Do ponto de vista de segurança, as VLANs são essenciais para implementar o princípio do menor privilégio: cada usuário ou dispositivo só acessa os recursos necessários. Além disso, VLANs ajudam a mitigar ataques como VLAN hopping, em que um invasor tenta acessar outras VLANs explorando o protocolo DTP (Dynamic Trunking Protocol) ou usando frames 802.1Q duplos.

Para configurar VLANs em um switch Cisco, você cria a VLAN, atribui portas de acesso e configura portas trunk para interconectar switches. Exemplo:

vlan 10
 name Funcionarios
vlan 20
 name Convidados
interface FastEthernet0/1
 switchport mode access
 switchport access vlan 10
interface FastEthernet0/2
 switchport mode access
 switchport access vlan 20
interface GigabitEthernet0/1
 switchport mode trunk
 switchport trunk allowed vlan 10,20

Nesse exemplo, as portas Fa0/1 e Fa0/2 estão associadas às VLANs 10 e 20, respectivamente. A porta Gig0/1 é um trunk que transporta tráfego das duas VLANs para outro switch. Para segurança, é recomendável desabilitar o DTP (comando switchport nonegotiate) e configurar trunks manualmente, além de limitar as VLANs permitidas no trunk.

Além disso, é importante considerar o uso de VLANs privadas (PVLANs) para isolar portas dentro da mesma VLAN, útil em ambientes como DMZ ou redes de convidados, onde os hosts não devem se comunicar diretamente.

DHCP Snooping

DHCP Snooping é um recurso de segurança que filtra mensagens DHCP na rede, garantindo que apenas servidores DHCP confiáveis possam fornecer endereços IP. Ele previne ataques como DHCP starvation (exaurir o pool de endereços) e DHCP spoofing (falsificar um servidor DHCP para fornecer configurações maliciosas, como gateway ou DNS).

O DHCP Snooping funciona classificando as portas do switch como confiáveis (trusted) ou não confiáveis (untrusted). Portas conectadas a servidores DHCP legítimos são marcadas como trusted; as demais portas, que se conectam a hosts, são untrusted. O switch inspeciona as mensagens DHCP e descarta aquelas que não são permitidas, como mensagens de servidor vindas de portas untrusted.

Além disso, o DHCP Snooping mantém uma tabela de vinculação (binding table) que associa endereço MAC, IP, portas e VLANs, usada por outros recursos como o IP Source Guard e o Dynamic ARP Inspection (DAI). Exemplo de configuração em Cisco:

ip dhcp snooping vlan 10,20
ip dhcp snooping
interface GigabitEthernet0/1
 ip dhcp snooping trust
interface FastEthernet0/1
 ip dhcp snooping limit rate 10

Nesse exemplo, o DHCP Snooping está habilitado nas VLANs 10 e 20. A porta Gig0/1 é confiável (conectada ao servidor DHCP) e a porta Fa0/1 tem limite de taxa de 10 pacotes por segundo, o que ajuda a mitigar ataques de flooding.

É crucial configurar corretamente as portas confiáveis para evitar derrubar o servidor DHCP legítimo. Além disso, o DHCP Snooping deve ser combinado com IP Source Guard para impedir que um host use um IP que não foi atribuído pelo servidor.

STP

O Spanning Tree Protocol (STP) é um protocolo de camada 2 que previne loops em redes com switches redundantes. Ele cria uma topologia lógica em árvore, bloqueando portas redundantes e garantindo que haja apenas um caminho ativo entre dois switches. Sem STP, loops podem causar tempestades de broadcast, que consomem toda a largura de banda e tornam a rede inutilizável.

Do ponto de vista de segurança, o STP também é importante porque pode ser explorado por invasores para causar negação de serviço (DoS) ou para interceptar tráfego. Por exemplo, um invasor pode enviar BPDUs (Bridge Protocol Data Units) para se tornar a raiz da árvore e redirecionar o tráfego. Para mitigar isso, existem extensões como o BPDU Guard e o Root Guard.

BPDU Guard desabilita portas que recebem BPDUs em portas de acesso, impedindo que um switch não autorizado se conecte. Root Guard impede que uma porta se torne a raiz da árvore, protegendo a topologia. Além disso, o STP pode ser configurado com PortFast em portas de acesso para acelerar a transição para o estado de encaminhamento.

Exemplo de configuração de STP com proteções em Cisco:

spanning-tree vlan 1 root primary
interface GigabitEthernet0/1
 spanning-tree bpduguard enable
 spanning-tree guard root
interface FastEthernet0/1
 spanning-tree portfast

No exemplo, o switch é configurado como raiz primária para a VLAN 1. A porta Gig0/1 tem BPDU Guard e Root Guard habilitados, e a porta Fa0/1 é configurada como PortFast (normalmente para um host).

É fundamental entender que o STP é um protocolo complexo e suas proteções devem ser configuradas com cuidado para não interromper a redundância. Em redes modernas, o Rapid Spanning Tree Protocol (RSTP) e o Multiple Spanning Tree Protocol (MSTP) são preferidos por sua convergência mais rápida.

Boas Práticas e Observações Finais

Além das configurações específicas, algumas boas práticas ajudam a fortalecer a segurança da sua LAN: mantenha os switches atualizados com os patches de segurança, desabilite portas não utilizadas, use autenticação 802.1X para controle de acesso à rede, e monitore logs e alertas. A combinação de Port Security, VLANs, DHCP Snooping e STP com outras medidas cria uma defesa em profundidade.

Lembre-se de que a segurança é um processo contínuo. Teste suas configurações em um ambiente de laboratório antes de aplicar em produção e revise regularmente as políticas de segurança. Documente todas as configurações e mantenha um inventário de dispositivos e portas.

Referências

Exercícios

  1. Explique o objetivo da Port Security e descreva três ações de violação possíveis em switches Cisco.

    2. ✓ Resposta: A Port Security restringe a quantidade de endereços MAC que podem acessar uma porta, evitando acesso não autorizado e ataques de MAC flooding. As três ações de violação são: shutdown (desabilita a porta), restrict (descarta quadros e gera log) e protect (descarta quadros sem log).
  2. Como as VLANs melhoram a segurança de uma rede? Cite dois exemplos de ataques que podem ser mitigados com o uso de VLANs.

    3. ✓ Resposta: VLANs segmentam a rede em domínios de broadcast, isolando tráfego entre grupos. Isso reduz a superfície de ataque e mitiga ataques como VLAN hopping (acesso a outras VLANs) e broadcast storms (tempestades de broadcast).
  3. Descreva o funcionamento do DHCP Snooping e explique como ele previne ataques de DHCP spoofing.

    4. ✓ Resposta: O DHCP Snooping classifica portas como confiáveis (trusted) e não confiáveis (untrusted). Mensagens de servidor DHCP originadas de portas untrusted são descartadas, impedindo que um servidor DHCP falso forneça configurações maliciosas. Ele também mantém uma tabela de vinculação para rastrear IPs e MACs.
  4. Qual é a função do Spanning Tree Protocol (STP) e por que ele é importante para a segurança? Mencione duas proteções adicionais ao STP.

    5. ✓ Resposta: O STP previne loops de camada 2, que podem causar broadcast storms e indisponibilidade. Para segurança, proteções como BPDU Guard desabilitam portas que recebem BPDUs inesperadas, e Root Guard impede que uma porta se torne raiz, evitando manipulação da topologia.
  5. Considere um cenário em que você precisa proteger uma porta de acesso conectada a um servidor DHCP legítimo. Quais recursos você habilitaria e por quê?

    6. ✓ Resposta: Para uma porta conectada a um servidor DHCP, você deve habilitar o DHCP Snooping e marcar essa porta como confiável (trusted), garantindo que as mensagens do servidor sejam aceitas. Também é recomendável usar Port Security com um MAC fixo (sticky) para evitar que outro dispositivo seja conectado. Se possível, configurar IP Source Guard para validar o IP atribuído.