چطور بفهمیم سوئیچ سیسکو قربانی حمله Broadcast یا DoS شده است؟

مدیریت شبکه‌های سازمانی همیشه با چالش‌های امنیتی همراه است. یکی از مشکلاتی که بسیاری از مدیران شبکه با آن روبه‌رو می‌شوند، حمله Broadcast و حمله DoS است. این نوع حملات می‌توانند کل شبکه را فلج کنند، ارتباط کاربران را مختل نمایند و در نهایت بهره‌وری سازمان را کاهش دهند. در این مقاله به‌طور کامل بررسی می‌کنیم که چگونه می‌توان این حملات را روی سوئیچ سیسکو تشخیص داد و چه اقداماتی باید برای مقابله فوری انجام داد.

حمله Broadcast چیست؟

در یک شبکه اترنت، بسته‌های Broadcast به‌طور پیش‌فرض برای همه دستگاه‌ها ارسال می‌شوند. اگر تعداد این بسته‌ها به‌طور غیرعادی زیاد شود، شبکه دچار Broadcast Storm می‌شود. در چنین حالتی منابع پردازشی سوئیچ و پهنای باند لینک‌ها به شدت درگیر شده و عملکرد شبکه کاهش می‌یابد.

نشانه‌های اصلی حمله Broadcast:

• بالا رفتن ناگهانی مصرف CPU در سوئیچ
• افت شدید سرعت شبکه
• قطع و وصل شدن مکرر ارتباطات کاربران
• پر شدن لاگ سوئیچ با پیام‌های تکراری مربوط به ترافیک Broadcast

حمله DoS چیست؟

حمله DoS (Denial of Service) با هدف از کار انداختن یک سرویس یا دستگاه انجام می‌شود. در این نوع حملات، مهاجم با ارسال حجم زیادی از درخواست‌ها یا بسته‌ها منابع پردازشی یا پهنای باند دستگاه را اشباع می‌کند تا سرویس از دسترس خارج شود.

تفاوت اصلی حمله DoS با Broadcast در این است که:

• حمله Broadcast ناشی از اشباع شدن شبکه با بسته‌های پخش‌شده است.
• حمله DoS معمولاً هدفمند بوده و روی منابع خاصی مانند CPU یا جدول MAC آدرس سوئیچ تمرکز دارد.

نشانه‌های حمله Broadcast و حمله DoS روی سوئیچ سیسکو

برای اینکه بفهمیم سوئیچ سیسکو قربانی این حملات شده است، باید به چند شاخص مهم توجه کنیم:

• افزایش غیرعادی استفاده از CPU: دستور بررسی:
  show processes cpu sorted
  اگر پردازش مربوط به ARP Input یا IP Input بیش از حد نرمال باشد، احتمال وجود حمله Broadcast وجود دارد.
• پر شدن جدول MAC آدرس‌ها: دستور بررسی:
  show mac address-table count
  اگر جدول پر شده یا تعداد آدرس‌ها به‌طور غیرعادی بالا باشد، نشانه حمله MAC Flooding است که به نوعی حمله DoS محسوب می‌شود.
• افزایش چشمگیر ترافیک اینترفیس‌ها: دستور بررسی:
  show interfaces counters errors show interfaces utilization
  خطاها و ترافیک غیرعادی به‌ویژه در حالت Broadcast می‌تواند دلیل حمله باشد.
• پیام‌های هشدار در لاگ سیستم: دستور بررسی:
  show logging
  در زمان حملات، لاگ دستگاه پر از خطاها و پیام‌های هشدار مرتبط با ترافیک غیرعادی می‌شود.
• افت شدید کیفیت سرویس: کاربران از کندی شبکه، قطع شدن ارتباطات VoIP یا عدم دسترسی به منابع داخلی شکایت می‌کنند.

دستورات تشخیص سریع در سوئیچ سیسکو

برای یک بررسی مرحله‌ای می‌توان از این دستورات استفاده کرد:

• بررسی مصرف CPU:
  show processes cpu history
• مشاهده تعداد بسته‌های Broadcast/Multicast:
  show interfaces | include broadcast
• بررسی وضعیت Spanning Tree (برای جلوگیری از Loop و Broadcast Storm):
  show spanning-tree detail
• تحلیل جریان ترافیک:
  show platform port-asic statistics
• مشاهده لاگ‌های سیستمی:
  show logging | include CPUHOG

اقدامات فوری در هنگام حمله

وقتی مطمئن شدید که سوئیچ قربانی حمله Broadcast یا حمله DoS شده است، باید اقدامات فوری انجام دهید:

1. ایزوله کردن پورت آلوده: پورت مشکوک را به حالت shut ببرید:
   interface FastEthernet 0/10 shutdown
2. فعال کردن Storm Control: برای جلوگیری از Broadcast Storm
   interface FastEthernet 0/10 storm-control broadcast level 5.00 storm-control multicast level 5.00
3. استفاده از Port Security: برای محدود کردن تعداد MAC آدرس‌ها
   switchport port-security switchport port-security maximum 2 switchport port-security violation shutdown
4. فعال کردن BPDU Guard و Root Guard: برای جلوگیری از حملات مبتنی بر STP
   spanning-tree bpduguard enable spanning-tree guard root
5. مانیتورینگ لحظه‌ای با NetFlow یا SNMP
   این کار کمک می‌کند منبع ترافیک غیرعادی سریع‌تر شناسایی شود.

بهترین روش‌های پیشگیرانه

برای جلوگیری از تکرار چنین حملاتی روی سوئیچ‌های سیسکو باید سیاست‌های امنیتی مشخصی اعمال شوند:

• استفاده از Storm Control روی همه پورت‌های Access
• محدود کردن تعداد MAC آدرس‌ها با Port Security
• قرار دادن ACL برای فیلتر کردن ترافیک مشکوک
• استفاده از Private VLAN در شبکه‌های بزرگ
• مانیتورینگ مستمر لاگ‌ها و مصرف CPU
• به‌روزرسانی IOS سوئیچ برای رفع حفره‌های امنیتی

سناریوی واقعی از حمله Broadcast

فرض کنید در یک شبکه شرکتی، کاربر به اشتباه یک دستگاه Loopback ایجاد می‌کند و باعث می‌شود که بسته‌های Broadcast به صورت بی‌پایان در شبکه بچرخند. ناگهان CPU سوئیچ به ۹۹٪ می‌رسد، کاربران VoIP شکایت می‌کنند و دسترسی به سرورها قطع می‌شود.
تنها راه حل فوری، شناسایی پورت عامل مشکل و اجرای دستور shutdown روی آن است. سپس باید Storm Control روی همه پورت‌ها فعال گردد تا این اتفاق دوباره رخ ندهد.

تفاوت Broadcast Attack و DoS در Cisco Switch

ویژگی	حمله Broadcast	حمله DoS
هدف	اشباع کل شبکه با ترافیک پخش	از کار انداختن سرویس یا منابع خاص
نشانه اصلی	افزایش ترافیک Broadcast و Multicast	پر شدن جدول MAC یا مصرف ۱۰۰٪ CPU
روش تشخیص	show processes cpu, show interfaces	show mac address-table, show logging
اقدام فوری	فعال‌سازی Storm Control	Port Security، ایزوله‌سازی پورت

سوالات پرتکرار (FAQ)

1. چطور بفهمم حمله Broadcast باعث کندی شبکه شده یا مشکل سخت‌افزاری است؟
   با بررسی مصرف CPU و شمارش بسته‌های Broadcast روی اینترفیس‌ها می‌توان تفاوت را تشخیص داد.
2. آیا همه سوئیچ‌های سیسکو از Storm Control پشتیبانی می‌کنند؟
   خیر، فقط مدل‌های Enterprise این قابلیت را دارند.
3. Port Security در مقابل DoS تا چه حد مؤثر است؟
   در حملات MAC Flooding بسیار مؤثر است، اما برای حملات CPU-based کافی نیست.
4. آیا ACL می‌تواند Broadcast Attack را متوقف کند؟
   ACL به‌طور مستقیم Broadcast را مسدود نمی‌کند، اما می‌تواند برخی الگوهای غیرعادی را فیلتر کند.
5. چه زمانی باید پورت مشکوک را shutdown کنم؟
   زمانی که CPU درگیر شده و شبکه عملاً غیرقابل استفاده است.
6. آیا Loop در شبکه همان حمله Broadcast محسوب می‌شود؟
   Loop یکی از عوامل ایجاد Broadcast Storm است، اما همیشه به‌صورت عمدی حمله نیست.
7. SNMP چگونه در شناسایی حمله کمک می‌کند؟
   با SNMP می‌توانید گراف مصرف CPU و پهنای باند را لحظه‌ای بررسی کنید.
8. آیا حمله DoS روی سوئیچ سیسکو می‌تواند باعث ریست شدن دستگاه شود؟
   بله، در برخی مدل‌ها مصرف بیش از حد منابع منجر به Reload دستگاه می‌شود.
9. چطور از بروز مجدد Broadcast Storm جلوگیری کنیم؟
   با فعال‌سازی Storm Control و طراحی درست توپولوژی شبکه.
10. آیا ارتقاء IOS می‌تواند امنیت در برابر DoS را افزایش دهد؟
    بله، چون بسیاری از آسیب‌پذیری‌های مربوط به DoS در نسخه‌های جدیدتر رفع می‌شوند.

جمع‌بندی

تشخیص به‌موقع حمله Broadcast و حمله DoS روی سوئیچ‌های سیسکو حیاتی است. با مشاهده نشانه‌هایی مانند افزایش مصرف CPU، ترافیک غیرعادی روی اینترفیس‌ها و پر شدن جدول MAC می‌توان سریعاً متوجه حمله شد. استفاده از دستورات مانیتورینگ و فعال‌سازی قابلیت‌هایی مانند Storm Control، Port Security و BPDU Guard بهترین راهکارهای مقابله فوری هستند.
در نهایت، پیشگیری همیشه بهتر از درمان است؛ طراحی درست شبکه، مانیتورینگ مداوم و اعمال سیاست‌های امنیتی باعث می‌شود شبکه شما در برابر این نوع حملات مقاوم‌تر باشد.