Jak nazywa się atak w sieci lokalnej polegający na próbie podszycia się pod kogoś innego?
A. Flood ping
B. Phishing
C. Spoofing
D. DDoS
Opracowane na podstawie zadania CKE, styczeń 2021 (arkusz E.13-SG-21.01): Klucz CKE wskazywał phishing; podszywanie się pod inne urządzenie lub użytkownika w sieci lokalnej to spoofing.
Spoofing to nazwa ataku polegającego na podszywaniu się pod inny host, użytkownika albo usługę w sieci. W sieci lokalnej bardzo często chodzi o ARP spoofing, czyli sytuację, w której atakujący rozsyła fałszywe komunikaty ARP i przekonuje inne komputery, że jego adres MAC należy np. do bramy domyślnej. Wtedy ruch może przechodzić przez komputer napastnika, co umożliwia podsłuch, modyfikację pakietów albo przeprowadzenie ataku typu man-in-the-middle. Spoofing może też dotyczyć adresu IP, MAC, DNS czy nawet nagłówków poczty. Moim zdaniem to jedno z tych pojęć, które warto dobrze zapamiętać, bo często pojawia się w praktyce administracyjnej. Dobre praktyki obrony to m.in. segmentacja sieci VLAN, port security na przełącznikach, DHCP snooping, Dynamic ARP Inspection, uwierzytelnianie IEEE 802.1X oraz monitorowanie nietypowych zmian w tablicach ARP. W realnej firmie samo hasło do Wi-Fi nie wystarcza, bo w sieci LAN nadal ktoś może próbować udawać inne urządzenie.
W tym pytaniu kluczowe jest słowo podszycia się, bo ono prowadzi do pojęcia spoofingu. DDoS oznacza rozproszony atak odmowy usługi, gdzie wiele komputerów lub botów zasypuje cel ogromną liczbą żądań, aby przeciążyć łącze, serwer albo aplikację. To jest atak na dostępność usługi, a nie typowe udawanie innego hosta w sieci lokalnej. Phishing też polega trochę na podszywaniu się, ale głównie w warstwie socjotechnicznej: fałszywy e-mail, strona logowania podobna do banku, wiadomość od rzekomego administratora. W pytaniu chodzi jednak o mechanizm sieciowy, a nie oszukiwanie użytkownika treścią komunikatu. Flood ping to zalewanie hosta pakietami ICMP echo request, czyli coś bliskiego prostemu DoS-owi, często używane do przeciążania lub testowania odporności, ale nie do przejęcia tożsamości urządzenia. Typowy błąd myślowy polega na tym, że każde zagrożenie w sieci wrzuca się do jednego worka jako hakowanie. W praktyce administrator musi rozróżniać cel ataku: dostępność, poufność, integralność albo podszywanie się. Spoofing dotyczy właśnie fałszowania tożsamości, np. adresu MAC, IP, ARP lub DNS, dlatego w sieciach firmowych stosuje się zabezpieczenia na przełącznikach, kontrolę dostępu i monitoring anomalii. Z mojego doświadczenia, dobrze jest kojarzyć spoofing z pytaniem: kto tu udaje kogoś innego?