%Teilweise Erzeugt mit dem LaTeX-Generator: http://latex.sehnot.de

%Schriftgröße, Layout, Papierformat, Art des Dokumentes
\documentclass[10pt,oneside,a4paper]{scrartcl}

%Einstellungen der Seitenränder
\usepackage[left=2cm,right=2cm,top=1.5cm,bottom=1.5cm,includeheadfoot]{geometry}

%neue Rechtschreibung
\usepackage[ngerman]{babel}

%Umlaute ermöglichen
\usepackage[utf8]{inputenc}

%Gesamtseitenzahl
\usepackage{lastpage}

% Kopf- und Fußzeile
\usepackage[automark]{scrpage2}

%Quellcode-Listings
\usepackage{listings}

%Hyperlinks
\usepackage{hyperref}

% Schriftarten für fettes Monospace
%\usepackage[T1]{fontenc}
%\usepackage{lmodern}

% Häckchen
\usepackage{amssymb}% http://ctan.org/pkg/amssymb
\usepackage{pifont}% http://ctan.org/pkg/pifont

%Kopfzeile
\ihead{Cisco}
\chead{}
\ohead{http://kohnlehome.de/netz/lan-security.pdf}
\setheadsepline{0.5pt}

%Fußzeile
\setfootsepline{0.5pt}
\ifoot{Franz Kohnle}
\cfoot{Seite \thepage\ von  \pageref{LastPage}}
\ofoot{\today}

\pagestyle{scrheadings}

\begin{document}

% Überschrift 
\begin{center}
\LARGE % Schriftgröße
\bfseries % Fettdruck
\sffamily % Serifenlose Schrift
LAN Security
\end{center}

\section*{Übersicht}
\renewcommand{\arraystretch}{1.3}
\begin{tabular}{l | l}
\textbf{LAN Attack} & \textbf{Attack Mitigation}\\ \hline \hline
\textbf{MAC Table Attack} & \\
- MAC Address Flooding & Port Security\\\hline
\textbf{VLAN Attack} & \\
- VLAN Hopping & Mitigate VLAN Hopping\\
- VLAN Double Tagging & \\\hline
\textbf{DHCP Attack} & \\
- DHCP Starvation & Port Security, DHCP Snooping\\
- DHCP Spoofing & Port Security, DHCP Snooping\\\hline
\textbf{ARP Attack} & \\
- ARP Spoofing & DAI\\
- ARP Poisoning & DAI\\\hline
\textbf{Address Spoofing} & \\
- MAC Address Spoofing & IPSG\\
- IP Address Spoofing & IPSG\\\hline
\textbf{STP Attack} & \\
- STP Manipulation & BPDU Guard\\\hline
\textbf{Reconnaissance Attack} & \\
- CDP Reconnaissance & Deactivate CDP \\\hline
\end{tabular}

\section*{Port Security}
\href{http://kohnlehome.de/netz/port-security.pdf}{kohnlehome.de/netz/port-security.pdf}

\section*{Mitigate VLAN Hopping}
\begin{itemize}
\item Manually enable access ports (switchport mode access)
\item Manually enable trunk ports  (switchport mode trunk)
\item Disable DTP (switchport nonegotiate)
\item Set native VLAN other than VLAN 1
\item Disable unused ports, put them in an unused VLAN
\end{itemize}

\newpage

\section*{DHCP Snooping}
\begin{itemize}
\item DHCP-Server-Frames von Untrusted Ports werden nicht weitergeleitet $\Rightarrow$ kein DHCP-Spoofing
\item Die Anzahl von DHCP-Client-Frames auf Untrusted Ports kann limitiert werden $\Rightarrow$ kein DHCP-Starvation
\end{itemize}

\subsection*{1. Global UND für VLANS aktivieren}
\begin{verbatim}
SWITCH(config)# ip dhcp snooping                   # alle Ports auf Untrusted
SWITCH(config)# ip dhcp snooping vlan 5,10-12      # VLANs konfigurieren
\end{verbatim}

\subsection*{2. Trusted Ports festlegen}
\begin{verbatim}
SWITCH(config-if)# ip dhcp snooping trust          # Trusted Port
\end{verbatim}

\subsection*{3. (Optional) Untrusted Ports konfigurieren}
\begin{verbatim}
SWITCH(config-if)# ip dhcp snooping limit rate 6   # Untrusted Port: 6 packets per second
\end{verbatim}

\subsection*{4. Diagnose}
\begin{verbatim}
SWITCH# show ip dhcp snooping
SWITCH# show ip dhcp snooping binding
\end{verbatim}

\section*{DAI (Dynamic ARP Inspection)}
\begin{itemize}
\item Voraussetzung: DHCP Snooping
\item ARP-Frames auf Untrusted Ports werden überprüft
\begin{itemize}
\item QuellMAC: Vgl. Ethernet-Header - ARP-Daten
\item ZielMAC: Vgl. Ethernet-Header - ARP-Daten
\item IP: DHCP
\item Begrenzung der Anzahl von ARP-Requests
\end{itemize}
\end{itemize}

\subsection*{1. DHCP Snooping akitiveren}
\begin{verbatim}
SWITCH(config)# ip dhcp snooping                  
SWITCH(config)# ip dhcp snooping vlan 5,10-1
SWITCH(config-if)# ip dhcp snooping trust          # Trusted Port
\end{verbatim}

\subsection*{2. DAI für VLANs aktiveren}
\begin{verbatim}    
SWITCH(config)# ip arp inspection vlan 5,10-12  
\end{verbatim}

\subsection*{3. Trusted Ports festlegen}
\begin{verbatim}
SWITCH(config-if)# ip arp inspection trust         # Trusted Port
\end{verbatim}

\subsection*{4. (Optional) DAI Modus festlegen}
\begin{verbatim}
SWITCH(config)# ip arp inspection validate src-mac dst-mac ip
\end{verbatim}

\subsection*{5. Diagnose}
\begin{verbatim}
SWITCH# show ip arp inspection
SWITCH# show ip arp inspection interfaces
SWITCH# show ip arp inspection statistics
\end{verbatim}

\section*{IPSG (IP Source Guard)}
\begin{itemize}
\item Voraussetzung: DHCP Snooping
\item QuellMAC und QuellIP von eingehenden Frames in untrusted Ports werden mit der DHCP snooping database verglichen
\end{itemize}

\section*{BPDU Guard und Portfast}
\begin{itemize}
\item BPDU Guard: Switchport wird deaktiviert, sobald er ein Spanning-Tree-BPDU-Frame empfängt
\item Portfast: Switchport springt sofort in den Forwarding-Modus
\item Sollte an Edge-Ports konfiguriert werden 
\end{itemize}

\subsection*{1a. Konfiguration BPDU Guard}
\begin{verbatim}
SWITCH(config-if)# spanning-tree bpduguard enable
 oder
SWITCH(config)# spanning-tree bpduguard default
\end{verbatim}

\subsection*{1b. Konfiguration Portfast}
\begin{verbatim}
SWITCH(config-if)# spanning-tree portfast
 oder
SWITCH(config)# spanning-tree portfast default
\end{verbatim}

\subsection*{2. Diagnose}
\begin{verbatim}
SWITCH# show spanning-tree summary
\end{verbatim}


\section*{Deactivate CDP}
\begin{verbatim}
SWITCH(config)# no cdp run
 oder
SWITCH(config-if)# no cdp enable
\end{verbatim}



\end{document}
