Что такое сервер Rogue DHCP?
Хотя из-за своей простоты DHCP кажется безобидным сервером, он обладает потенциальным недостатком в плане информационной безопасности. Что произойдет, если компьютерные злоумышленники попытаются внедрить в сеть сервер DHCP с дефектами с целью передачи недостоверной информации клиентам DHCP? Информация подобного рода может включать в себя следующее.
Недействительные IP-адреса, например уже используемые где-либо. В этом случае возникнут конфликты адресов со всеми вытекающими сбоями сетевой работы и прочими проблемами.
Не действительную информацию маршрутизации, например IP-адрес дефектного маршрутизатора или службы маршрутизации, выполняющийся на компьютере, контролируемом хакером.
Недействительную информацию DNS, например дефектные или фиктивные серверы DNS. При этом клиент потеряет способность разрешать доменные имена либо фиктивный сервер будет рассматриваться как заслуживающий доверия узел.
Как видно, фиктивный сервер DHCP может спровоцировать большое количество сетевых сбоев, потому что очень многое зависит от корректной сортировки IP-адресов и прав аренды. К счастью, существуют способы защиты от проблем фиктивных серверов DHCP и/или их предотвращения
Сетевое зондирование. Отправьте различные типы пакетов DHCP для определения местоположения серверов DHCP в сети. Если отвечающий сервер DHCP не соответствует перечисленным в списке известных IP-адресов (или другому выбранному способу управления доступом), то следует предупредить об этом администратора и/или избегать использования такого сервера.
Использование систем обнаружения атак (вторжении). Сконфигурируйте систему обнаружения атак для регистрации пакетов UDP на портах 67/68 и предупреждения о подозрительном трафике.
Конфигурирование маршрутизатора и коммутатора. Ограничьте пропускание UDP пакетов портами 67/68 на маршрутизаторах и коммутаторах.
Следует помнить о том, что работа служб DHCP может прерываться на короткое время в процессе работы сети, особенно если никакие из компьютеров не перемещались и срок аренды достаточно продолжителен. Однако лучше использовать процесс мониторинга, а не обращаться к администратору при каждом сбое в работе служб DHCP.