VLAN 호핑(VLAN Hopping)에 대해 알아보겠습니다.

Ⅰ. VLAN 호핑(VLAN Hopping) 란?

 네트워크 스위치의 VLAN(가상 랜) 분리 구조를 우회하여, 공격자가 자신이 속하지 않은 VLAN으로 트래픽을 보내거나 수신하는 공격 기법입니다. 네트워크 보안에서 VLAN 격리 기능을 악용하여, 공격자가 자신이 속하지 않은 네트워크에 접근하는 심각한 위협입니다. VLAN은 서로 다른 네트워크 세그먼트를 격리하기 위한 기술로, 여러 개의 논리적인 네트워크를 하나의 물리적인 네트워크에서 분리하는 역할을 합니다. VLAN 호핑은 이 논리적 구분을 무너뜨리는 공격으로, 공격자는 불법적으로 다른 VLAN에 접근할 수 있습니다. 방어하기 위해서는 스위치 포트 설정을 강화하고, DTP와 같은 불필요한 기능을 비활성화해야 합니다. 네트워크 장비의 보안 설정을 지속적으로 점검하여 VLAN 호핑을 사전에 차단하는 것이 중요합니다.

Ⅱ. VLAN 호핑(VLAN Hopping) 공격 방식

VLAN 호핑 공격에는 두 가지 주요 기법이 있습니다: 스위치 트렁킹 오용과 이중 태깅(Double Tagging)입니다.

ⅰ. 스위치 트렁킹 오용 (Switch Trunking Exploitation)
 트렁킹 포트는 여러 VLAN을 오가는 트래픽을 처리하는 포트입니다. 이 포트는 네트워크 장치 간에 여러 VLAN의 트래픽을 동시에 전달하기 위해 사용됩니다. 공격자는 스위치 포트의 자동 트렁킹 협상(DTP, Dynamic Trunking Protocol)을 악용하여, 자신이 트렁킹 포트로 설정되도록 속입니다.
이를 통해 공격자는 여러 VLAN 간에 트래픽을 주고받을 수 있게 되고, 자신의 VLAN을 넘어 다른 VLAN의 트래픽에 접근하게 됩니다.

ⅱ. 스위치 트렁킹 오용 (Switch Trunking Exploitation) 공격 절차
① 공격자가 스위치에 연결된 일반 액세스 포트에서 트렁크 포트로 변경을 시도합니다.
② 스위치가 해당 포트를 트렁크로 인식하면, 여러 VLAN에 걸친 트래픽을 주고받을 수 있게 됩니다.
③ 공격자는 VLAN 태그를 조작하여 다른 VLAN의 데이터를 가로챌 수 있습니다.

ⅲ 이중 태깅(Double Tagging)
이중 태깅 공격은 VLAN 태깅 방식을 이용하여, 트래픽에 두 개의 VLAN 태그를 부착하는 방식으로 이루어집니다. 일반적으로 VLAN 태그는 802.1Q 태그를 사용하여 트래픽이 어떤 VLAN에 속해 있는지를 명시합니다. 공격자는 두 개의 VLAN 태그를 삽입한 패킷을 전송합니다. 첫 번째 태그는 공격자가 속한 VLAN을 나타내고, 두 번째 태그는 목표 VLAN을 나타냅니다. 첫 번째 스위치가 외부 태그(첫 번째 태그)를 제거하면, 내부 태그(두 번째 태그)가 활성화되어 해당 패킷이 목표 VLAN으로 전송됩니다.

 

ⅳ 이중 태깅(Double Tagging) 공격 절차
① 공격자는 두 개의 VLAN 태그가 포함된 패킷을 생성합니다. 첫 번째 태그는 공격자가 속한 VLAN, 두 번째 태그는 목표 VLAN입니다.
② 첫 번째 스위치가 도착하면, 외부 태그를 제거하고 내부 태그를 남긴 상태로 패킷을 목표 VLAN으로 전송합니다.
③ 패킷은 목표 VLAN에 도달하여, 그 안의 장치에 도달하게 됩니다.

Ⅲ. VLAN 호핑(VLAN Hopping) 공격 피해

VLAN 호핑 공격의 주요 피해는 네트워크 격리 실패와 보안 침해입니다.

ⅰ. 네트워크 격리 우회

 VLAN 호핑을 통해 공격자는 물리적으로 분리된 네트워크 세그먼트(VLAN)에 접근할 수 있습니다. 이는 네트워크 격리 정책을 우회하는 것으로, 민감한 정보에 접근하거나 내부 시스템을 공격할 수 있습니다.
ⅱ. 데이터 스니핑 및 조작

 공격자는 다른 VLAN의 트래픽을 스니핑할 수 있으며, 트래픽을 변조하거나 악성 코드를 전파할 수도 있습니다.
ⅲ. 서비스 방해(DoS)

 네트워크 내부의 트래픽을 제어하여 정상적인 서비스 제공을 방해하거나, 시스템을 과부하 상태로 만들 수 있습니다.

 

Ⅳ. VLAN 호핑(VLAN Hopping) 대응 방법

VLAN 호핑 공격을 방어하려면 스위치 설정 강화와 네트워크 설계 개선이 필요합니다. 

 

① DTP 비활성화
DTP(동적 트렁킹 프로토콜)를 비활성화하여 공격자가 트렁크 포트로 변경할 수 없도록 해야 합니다.
스위치 포트를 명시적으로 액세스 포트로 설정하고, 트렁킹 기능이 자동으로 활성화되지 않도록 설정합니다.

switchport mode access switchport nonegotiate

 

② 네이티브 VLAN 사용 금지
네이티브 VLAN은 트렁크 링크에서 태그가 없는 트래픽이 속하는 VLAN입니다. 이 VLAN을 악용하여 공격자가 다른 VLAN에 접근할 수 있습니다. 네이티브 VLAN을 사용하지 않거나, 네이티브 VLAN을 특별히 보안 강화된 VLAN으로 지정하여 공격 가능성을 줄일 수 있습니다.

switchport trunk native vlan [VLAN ID]

 

③ VLAN 태깅 제한
802.1Q VLAN 태그가 두 번 이상 붙지 않도록 설정하고, 이중 태깅을 방지하기 위한 포트 보안 기능을 설정합니다.
트렁크 포트가 필요하지 않은 경우에는 트렁크 포트를 차단하고, 태그가 없는 트래픽은 모두 거부합니다.

 

④ 포트 보안 (Port Security)
스위치에서 포트 보안 기능을 활성화하여 각 포트에서 수용할 수 있는 MAC 주소의 수를 제한하고, 허용되지 않은 MAC 주소의 트래픽을 차단합니다.

 

⑤ VLAN ACL(Access Control List) 적용
VLAN ACL을 설정하여 VLAN 간의 트래픽을 제어하고, 승인되지 않은 트래픽을 필터링합니다.
VLAN 간의 통신을 엄격히 제한하고, 불필요한 트래픽이 서로 다른 VLAN으로 유입되는 것을 차단합니다.