DIAGNÓSTICO ATAQUE DoS

DHCP STARVATION
Fecha: 19 de Septiembre de 2017
V1.0

1. Descripción de la Falla

Los dispositivos de los clientes no logran obtener direccionamiento IP, la situación se presenta en momentos
aleatorios en los segmentos de red de los clientes en Clínica Suba y Clínica Calle 48.

2. Descripción del ataque identificado

Se identifica un ataque de tipo DoS (Denegación de Servicio) llamado “DHCP Starvation”, El cual inunda con
peticiones DHCP_REQUEST al servidor DHCP, con direcciones MAC falseadas y con el objetivo de agotar su
espacio de direcciones asignables. El objetivo es que el servidor DHCP no sea capaz de responder a otros
clientes, dejando de otorgarles direcciones IP.

3. Diagnóstico efectuado

Se toma como referencia la sede de Clínica Calle 48 para efectuar el diagnóstico conforme las siguientes
pruebas y validaciones:

 Verificaciones Servidor DHCP

Se evidencia en el monitor del servidor DHCP que el direccionamiento IP está siendo otorgado a
direcciones MAC falsas no válidas marcadas como “BAD_ADDRESS”:

1
 DIAGNÓSTICO ATAQUE DoS
DHCP STARVATION
Fecha: 19 de Septiembre de 2017
V1.0

 Verificaciones Orion

Se refleja el mismo comportamiento del servidor DHCP en el monitor de Orión con las mismas MAC
falsas:

 Validación tablas arp y mac address en switches L2 y L3

Las MAC falsas no se evidencian en las tablas ARP y MAC-ADDRESS de ninguno de los switches de la
sede, por lo tanto, no es posible identificar el puerto origen del ataque.

 Se habilitó port-security en todos los puertos de acceso de los clientes, sin embargo, la falla persiste.

 Se captura de tráfico en VLAN 4 (Snifer) mientras se replicaba la falla, sin embargo no se han logrado
detectar muestras de las MAC falsas ni el origen de las mismas.

4. Plan de acción temporal

 Eliminar de la cache en el servidor DHCP, todas las direcciones IP otorgadas a equipos cuyo nombre sea
BAD_ADDRESS, con el fin de liberar el scope.

5. Recomendaciones

 Se recomienda que por parte de Cafam, se ejecute un escaneo de antivirus en los PCs de los usuarios de
las sedes afectadas y lo mismo para el Servidor DHCP.

2
 DIAGNÓSTICO ATAQUE DoS
DHCP STARVATION
Fecha: 19 de Septiembre de 2017
V1.0

6. Pruebas pendientes:

 Habilitar DHCP Snooping: Para esta actividad estamos replicando un ambiente de pruebas y realizando un
levantamiento de información preciso para aplicarlo a través de un plan de trabajo que permita minimizar
el impacto operativo.