VLAN ホッピング.

トランク ネゴシエーションや 802.1Q 二重タグを悪用し、ホストが本来属さない VLAN にフレームを送受信できるようにするスイッチへの攻撃。 サイバーセキュリティの 攻撃と脅威 カテゴリに属します。

トランク ネゴシエーションや 802.1Q 二重タグを悪用し、ホストが本来属さない VLAN にフレームを送受信できるようにするスイッチへの攻撃。

VLAN ホッピングは、802.1Q タグによる L2 セグメンテーションを悪用します。主な変種は二つで、スイッチ スプーフィングではアクセス ポートで DTP を介してトランクを成立させ、許可されたすべての VLAN にアクセスできます。ダブル タギングでは、外側にトランクのネイティブ VLAN、内側に被害 VLAN を指定した 802.1Q ヘッダ二段重ねのフレームを送信し、最初のスイッチが外側タグを剥がしたあと内側 VLAN に転送されます。通常は片方向の通信ですが偵察や DoS には十分です。対策は DTP の無効化(switchport mode access、switchport nonegotiate)、専用かつ未使用のネイティブ VLAN、ネイティブ VLAN の明示的なタグ付け、ユーザー ポートでのトランク運用回避です。

VLAN ホッピング に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: スイッチ スプーフィング, 802.1Q ダブル タギング, Q-in-Q ホッピング。