Test de l'attaque DOS — MAC Flooding

Étude du comportement d'un commutateur face à une saturation de table MAC

Le MAC Flooding consiste à surcharger la table CAM d'un commutateur avec des milliers d'adresses MAC. Dès que celle-ci est saturée, le commutateur passe dans le mode de secours « fail open » où tous les ports se retrouvent dans le VLAN natif — il se comporte alors comme un simple HUB.

Il est alors aisé pour l'attaquant d'avoir accès à des VLANs normalement non accessibles. L'outil Macof de Kali Linux permet de mener ce genre d'attaque.

Ces commandes donnent les valeurs de référence avant l'attaque.

! Afficher la durée de vie des adresses MAC (aging-time)
show mac address-table aging-time

! Afficher le nombre d'adresses MAC enregistrées
show mac address-table count

! Afficher toute la table CAM
show mac address-table

Pour rendre les observations plus visibles, on ajuste la durée de conservation des adresses MAC à 10 minutes (600 secondes). Cela garantit que les adresses injectées restent assez longtemps pour être analysées.

conf t
mac address-table aging-time 600
! 600 secondes = 10 minutes

Depuis PC0, on mesure le délai de communication avec le routeur. La stabilité du ping indique le comportement normal du réseau avant l'attaque.

Ping en boucle vers le routeur (laisser tourner en arrière-plan)
C:\> ping 192.168.10.254 -t

Analyse CPU du switch avant l'attaque

! Historique CPU : 60s / 60min / 72h
show processes cpu history

# Inonder le switch avec 1 000 000 d'adresses MAC via eth0
macof -i eth0 -n 1000000

# Variante avec moins d'adresses pour un test rapide
macof -i eth0 -n 10000

Quand la table CAM est saturée, le switch passe en mode fail-open et diffuse tous les paquets sur tous les ports — comportement d'un HUB. Stopper macof après l'observation.

Vérifier la montée en charge CPU

! Observer les pics CPU liés au traitement intensif de trames
show processes cpu history

Consulter la table CAM saturée

! Voir les adresses MAC enregistrées (entrées DYNAMIC très nombreuses)
show mac address-table

! Comptage
show mac address-table count

Pour éviter qu'un port apprenne un nombre trop élevé d'adresses MAC, on active la sécurité de port (Port-Security). Cette fonction limite le nombre d'adresses autorisées et définit un comportement en cas de violation.

Configuration Port-Security sur Fa0/2

interface fastethernet 0/2
  switchport mode access              ! Obligatoire avant Port-Security
  switchport port-security             ! Active la sécurité
  switchport port-security maximum 3   ! Max 3 adresses MAC
  switchport port-security mac-address 74d4.35e1.fcb5  ! MAC autorisée
  switchport port-security violation restrict  ! Mode violation

Explication de chaque commande

Les 3 modes de violation

Vérification de Port-Security

! Vérifier la configuration Port-Security sur une interface
show port-security interface fastethernet 0/2

! Vue globale de tous les ports sécurisés
show port-security

! Voir les adresses MAC sécurisées apprises
show port-security address

• Le fonctionnement de la table MAC (CAM) d'un commutateur et ses limites
• Le comportement en mode fail-open (HUB) lors d'une saturation
• L'impact mesurable sur la latence (ping) et la charge CPU du commutateur
• L'importance des mesures de sécurité comme Port-Security pour protéger l'infrastructure
• Pourquoi une gestion stricte des ports d'accès est nécessaire en entreprise

BTS SIO SISR — Cyber-Sécurité — TP DOS MAC Flooding — Kali Linux + Cisco Switch