# data[].attributes.body
6.3.1 Verificar EtherChannel :

Verificar un EtherChannel implica revisar que los enlaces físicos estén correctamente agrupados y funcionando como un solo canal lógico para mejorar el rendimiento y la disponibilidad de la red. Para hacerlo, se pueden usar varios comandos en dispositivos Cisco. El comando show etherchannel summary ofrece un resumen de los EtherChannels configurados, mostrando si los enlaces están activos y qué protocolo se está utilizando (PAgP o LACP). También se puede verificar el estado de los puertos físicos con show interfaces, donde se observan estadísticas y errores.

# data[].attributes.body
10.3.2 Categorías de Ataques a Switches.

Los ataques a switches en la Capa 2 son más peligrosos hoy en día debido a la mayor vulnerabilidad de esta capa, que antes era más segura al estar bajo el control de una sola organización. Con el uso de BYOD y ataques más avanzados, las LAN se han vuelto más propensas a ser penetradas. Además de proteger las capas superiores, es fundamental que los profesionales de seguridad se enfoquen en la Capa 2, entendiendo su funcionamiento y las amenazas que enfrenta para mitigar los riesgos en la infraestructura LAN.

# data[].attributes.headline
modulo 11: configuraciones de seguridad del switch.

# data[].attributes.subject
modulo 11: configuraciones de seguridad del switch.

# data[].attributes.body
11.1.8 Verificar la seguridad del puerto:

Verificar la seguridad del puerto implica asegurarse de que los puertos abiertos en un sistema o red estén correctamente configurados para evitar accesos no autorizados y reducir vulnerabilidades. Esto incluye escanear y cerrar puertos innecesarios, configurar adecuadamente firewalls, emplear autenticación y cifrado en servicios expuestos, monitorear accesos sospechosos, mantener el software actualizado y deshabilitar servicios no esenciales. El objetivo es proteger los puntos de entrada de la red para prevenir posibles amenazas y ataques.

# data[].attributes.headline
Modulo 11.4.1 Inspección dinámica de ARP

# data[].attributes.subject
Modulo 11.4.1 Inspección dinámica de ARP

# data[].attributes.body
En un ataque típico el actor amenazante puede enviar respuestas ARP no solicitadas a otros hosts en la subred con la dirección MAC del actor amenazante y la dirección IP de la puerta de enlace predeterminada. Para evitar la suplantación de ARP y el envenenamiento por ARP resultante, un interruptor debe garantizar que solo se transmitan las Solicitudes y Respuestas de ARP válidas.

La inspección dinámica (DAI) requiere de DHCP snooping y ayuda a prevenir ataques ARP así:

No retransmitiendo respuestas ARP invalidas o gratuitas a otros puertos en la misma VLAN.

Intercepta todas las solicitudes y respuestas ARP en puertos no confiables.

Verificando cada paquete interceptado para un enlace IP-to-MAC válido.

Descarte y registro de respuestas no válidas de ARP para evitar el envenenamiento por ARP.

Error-disabling deshabilita la interfaz si se excede el número de DAI configurado de paquetes ARP.

# data[].attributes.body
La búsqueda en el internet por "Los ataques más recientes de red" proporciona la información actualizada de ataques actuales. Muy posiblemente, estos ataques envuelven una o más de las siguientes:

Negación de Servicio Distribuido(DDoS) - Esto es un ataque coordinado desde muchos dispositivos, llamados zombies, con la intención de degradar o detener acceso publico al sitio web y los recursos de una organización.

Filtración de Datos - Este es un ataque en el que los servidores de datos o los hosts de una organización han sido comprometidos con el fin de robar información confidencial.

Malware - Este es un ataque en el que los hosts de una organización son infectados con software malicioso que causa una serie de problemas.

# data[].attributes.body
En los inicios, Cisco desarrolló la tecnología EtherChannel como una técnica switch a switch LAN para agrupar varios puertos Fast Ethernet o gigabit Ethernet en un único canal lógico. Cuando se configura un EtherChannel, la interfaz virtual resultante se denomina “canal de puertos”.

# data[].attributes.headline
Módulo 6: Operación y Compatibilidad de EtherChannel

# data[].attributes.subject
Módulo 6: Operación y Compatibilidad de EtherChannel

# data[].attributes.body
EtherChannel permite combinar varios enlaces Ethernet físicos en un canal lógico único que proporciona tolerancia a fallos y balanceo de carga. Utilizando protocolos como PAgP y LACP, se asegura la compatibilidad y la negociación dinámica entre dispositivos, simplificando la configuración en redes de varios proveedores y ofreciendo una solución robusta para la continuidad del servicio en caso de fallos en alguno de los enlaces.

(Manuel Adrian Hernandez Moreno)

# data[].attributes.body
La seguridad en la Capa 2 es crucial para evitar la manipulación de las tramas de red, ya que los atacantes pueden explotar las configuraciones predeterminadas de los switches para acceder a la red interna. Para protegerse contra estos ataques, es necesario implementar medidas como la verificación de la integridad de las direcciones MAC y el control de acceso a los puertos de la red, de modo que solo los dispositivos autorizados puedan comunicarse dentro de la infraestructura LAN.

(Manuel Adrian Hernandez Moreno)

# data[].attributes.headline
Modulo 11: Configuraciones de Seguridad del Switch

# data[].attributes.subject
Modulo 11: Configuraciones de Seguridad del Switch

# data[].attributes.body
Un ataque de salto a VLAN puede ser lanzado en una de tres maneras: suplantación de mensajes DTP que hace que el switch entre en modo de enlace troncal, introducción de un switch dudoso y habilitación de enlaces troncales, o un ataque de doble encapsulado que toma ventaja de la operación del hardware en los switches.

(Manuel Adrian Hernandez Moreno)

# data[].attributes.headline
Modulo 11-Configuraciones de seguridad del Switch

# data[].attributes.subject
Modulo 11-Configuraciones de seguridad del Switch

# data[].attributes.body
Revisión de ataques de DHCP

El objetivo de un ataque de inanición de DHCP es crear una denegación de servicio(DoS) para la conexión de los clientes. Los ataques de suplantación de DHCP se pueden mitigar mediante el uso de detección DHCP en puertos confiables.

Los dispositivos que estén bajo el control administrativo del servidor DHCP como Switches, enrutadores y servidores, son fuentes confiables. Cualquier dispositivo más allá del cortafuegos fuera de su red son fuentes no confiables. Además, todos los puertos de acceso son tratados generalmente como fuentes no fiables.

Habilitar el DHCP Snooping

Paso 1. Habilite la inspección DHCP mediante el comando ip dhcp snooping de configuración global.

Paso 2. En puertos de confianza, use el comando de configuración de la interfaz ip dhcp snooping trust.

Paso 3: Limite la cantidad de mensajes de descubrimiento de DHCP que puede recibir por segundo en puertos no confiables mediante el ip dhcp snooping limit rate comando de configuración de la interfaz.

Paso 4. Habilite la inspección DHCP por VLAN, o por un rango de VLAN, utilizando el comando ip dhcp snooping vlan de la configuración global.

# data[].attributes.body
Amenazas de seguridad en la capa 2

Normalmente se tienen medidas de seguridad para proteger de la capa 3 a la 7 como VPNs, firewalls, dispositivos IPS,etc. Pero si la Capa 2 se ve comprometida, todas las capas superiores también se ven afectadas.

Así como existen diferentes métodos para poder atacar la capa 2(imagen anclada), también existen métodos para prevenirlos, como:

·         Seguridad de puertos

·         DHCP Snooping

·         Inspección ARP dinámica

·         Protección de IP de origen

Estas soluciones de Capa 2 no serán efectivas si los protocolos de administración no son seguros.

# data[].attributes.body
Para la configuración y la verificación del EtherChannel

La configuración de EtherChannel con LACP requiere tres pasos:

Paso 1. Especifique las interfaces que conforman el grupo EtherChannel mediante el interface range el comando de modo de configuración interface global.

Paso 2. Cree la interfaz port channel con el channel-group comando mode active identifier en el modo de configuración de interface range. El identificador especifica el número del grupo del canal.

Paso 3. Para cambiar la configuración de capa 2 en la interfaz de canal de puertos, ingrese al modo de configuración de interfaz de canal de puertos mediante el interface port-channel comando, seguido del identificador de la interfaz.

Para la verificación del etherchannel podemos aplicar diferentes comandos, uno de estos es “show interfaces port-channel” y agregamos el canal que queremos verificar

por ejemplo: "show interfaces port-channel 1"

# data[].attributes.headline
Módulo 11: Configuraciones de Seguridad del Switch

# data[].attributes.subject
Módulo 11: Configuraciones de Seguridad del Switch

# data[].attributes.body
11.2.1 Revisión de ataques a VLAN

Como una revisión rápida, un ataque de salto a una VLAN puede ser lanzado en una de 3 maneras:

La suplantación de mensajes DTP del host atacante hace que el switch entre en modo de enlace troncal. Desde aquí, el atacante puede enviar tráfico etiquetado con la VLAN de destino, y el conmutador luego entrega los paquetes al destino.

Introduciendo un switch dudoso y habilitando enlaces troncales. El atacante puede acceder todas las VLANs del switch victima desde el switch dudoso.

Otro tipo de ataque de salto a VLAN es el ataque doble etiqueta o doble encapsulado. Este ataque toma ventaja de la forma en la que opera el hardware en la mayoría de los switches.

# data[].attributes.headline
Módulo 10: Conceptos de Seguridad de LAN

# data[].attributes.subject
Módulo 10: Conceptos de Seguridad de LAN

# data[].attributes.body
10.2.1 Autenticación con una contraseña local

El método más simple de autenticación para acceso remoto consiste en configurar un inicio de sesión, combinando nombre de usuario y contraseña, a nivel de consola, lineas vty, y puertos auxiliares. Este método es el más simple de implementar, pero también el mas débil y menos seguro. Cualquier persona con la contraseña puede acceder al dispositivo.

SSH es un tipo de acceso remoto más seguro.

Requiere un nombre de usuario y una contraseña, que se encriptan durante la transmisión.

El nombre de usuario y la contraseña pueden ser autenticados por el método de base de datos local.

Proporciona más responsabilidad porque el nombre de usuario queda registrado cuando un usuario inicia sesión.

# data[].attributes.body
6.1.1 Añadidura de Enlaces:

Hay escenarios en los que se necesita más ancho de banda o redundancia entre dispositivos que lo que puede proporcionar un único enlace. Se pueden conectar varios enlaces entre dispositivos para aumentar el ancho de banda. Sin embargo, el STP, que está habilitado en dispositivos de capa 2 de forma predeterminada, bloqueará enlaces redundantes para evitar bucles de switching.

Se necesita una tecnología de agregación de enlaces que permita enlaces redundantes entre dispositivos que no serán bloqueados por STP. Esa tecnología se conoce como EtherChannel.

# data[].attributes.headline
Módulo 11: Configuraciones de seguridad del switch

# data[].attributes.subject
Módulo 11: Configuraciones de seguridad del switch

# data[].attributes.body
Mitigación de ataques por saturación de tabla de direcciones MAC

La forma más efectiva de prevenir ataques por saturación de la tabla de direcciones MAC es habilitar la seguridad de puertos (port security).

Con port security, se limita el número de direcciones MAC permitidas en cada puerto, ya sea configurándolas manualmente o permitiendo que el switch aprenda un número limitado de ellas de forma dinámica. Cuando un puerto con seguridad de puertos recibe una trama, compara la dirección MAC de origen con las direcciones seguras configuradas o aprendidas. Al restringir la cantidad de direcciones MAC a una por puerto, se controla la expansión no autorizada de la red.

# data[].attributes.headline
Módulo 10: Seguridad de LAN - Dispositivos de Seguridad

# data[].attributes.subject
Módulo 10: Seguridad de LAN - Dispositivos de Seguridad

# data[].attributes.body
Para proteger el perímetro de la red, se emplean varios dispositivos de seguridad:

VPN: Proporciona una conexión segura para usuarios remotos a través de redes públicas y puede integrarse en el firewall.

NGFW: Realiza inspección avanzada de paquetes, ofrece control de aplicaciones, prevención de intrusos, protección contra malware y filtrado de URL.

NAC: Maneja autenticación, autorización y registro (AAA), administrando políticas de acceso para diferentes usuarios y dispositivos. Un ejemplo es Cisco Identity Services Engine (ISE).

# data[].attributes.body
EtherChannel facilita la configuración al permitir ajustes en una sola interfaz para múltiples enlaces, asegurando coherencia y evitando configuraciones individuales.

Además, incrementa el ancho de banda sin necesidad de enlaces más rápidos y costosos.

Ofrece balanceo de carga y aparece como un único enlace lógico, lo que simplifica el trabajo de STP al bloquear solo el canal completo en caso de redundancia.

También brinda redundancia, ya que sigue funcionando si falla un enlace físico, sin necesidad de recalcular la topología.