Sécurité réseau - Couche de liaison de données

Nous avons vu que la croissance rapide d'Internet a soulevé une préoccupation majeure pour la sécurité des réseaux. Plusieurs méthodes ont été développées pour assurer la sécurité dans la couche application, transport ou réseau d'un réseau.

De nombreuses entreprises intègrent des mesures de sécurité aux couches OSI supérieures, de la couche application jusqu'à la couche IP. Cependant, un domaine généralement laissé sans surveillance est le renforcement de la couche de liaison de données. Cela peut ouvrir le réseau à une variété d'attaques et de compromis.

Dans ce chapitre, nous discuterons des problèmes de sécurité au niveau de Data Link Layer et des méthodes pour les contrer. Notre discussion sera centrée sur le réseau Ethernet.

Problèmes de sécurité dans la couche de liaison de données

La couche de liaison de données dans les réseaux Ethernet est très sujette à plusieurs attaques. Les attaques les plus courantes sont -

Usurpation d'ARP

Le protocole ARP (Address Resolution Protocol) est un protocole utilisé pour mapper une adresse IP sur une adresse de machine physique reconnaissable dans l'Ethernet local. Lorsqu'une machine hôte a besoin de trouver une adresse MAC (Media Access Control) physique pour une adresse IP, elle diffuse une requête ARP. L'autre hôte propriétaire de l'adresse IP envoie un message de réponse ARP avec son adresse physique.

Chaque machine hôte du réseau gère une table, appelée «cache ARP». Le tableau contient l'adresse IP et les adresses MAC associées d'un autre hôte sur le réseau.

Puisque ARP est un protocole sans état, chaque fois qu'un hôte reçoit une réponse ARP d'un autre hôte, même s'il n'a pas envoyé de requête ARP, il accepte cette entrée ARP et met à jour son cache ARP. Processus de modification du cache ARP d'un hôte cible avec une entrée falsifiée appelée empoisonnement ARP ou usurpation ARP.

L'usurpation ARP peut permettre à un attaquant de se faire passer pour un hôte légitime, puis d'intercepter des trames de données sur un réseau, de les modifier ou de les arrêter. Souvent, l'attaque est utilisée pour lancer d'autres attaques telles que l'homme du milieu, le détournement de session ou le déni de service.

Inondation MAC

Chaque commutateur dans l'Ethernet a une table de mémoire adressable par contenu (CAM) qui stocke les adresses MAC, les numéros de port de commutateur et d'autres informations. La table a une taille fixe. Dans l'attaque d'inondation MAC, l'attaquant inonde le commutateur d'adresses MAC à l'aide de paquets ARP falsifiés jusqu'à ce que la table CAM soit pleine.

Une fois le CAM inondé, le commutateur passe en mode de type concentrateur et commence à diffuser le trafic qui n'a pas d'entrée CAM. L'attaquant qui se trouve sur le même réseau, reçoit désormais toutes les trames qui n'étaient destinées qu'à un hôte spécifique.

Vol de port

Les commutateurs Ethernet ont la capacité d'apprendre et de lier des adresses MAC aux ports. Lorsqu'un commutateur reçoit du trafic d'un port avec une adresse source MAC, il lie le numéro de port et cette adresse MAC.

L'attaque de vol de port exploite cette capacité des commutateurs. L'attaquant inonde le commutateur avec des trames ARP forgées avec l'adresse MAC de l'hôte cible comme adresse source. Switch est dupe de croire que l'hôte cible est sur le port sur lequel un attaquant est connecté.

Désormais, toutes les trames de données destinées à l'hôte ciblé sont envoyées au port de commutation de l'attaquant et non à l'hôte cible. Ainsi, l'attaquant reçoit désormais toutes les trames qui n'étaient effectivement destinées qu'à l'hôte cible.

Attaques DHCP

Le protocole DHCP (Dynamic Host Configuration Protocol) n'est pas un protocole de liaison de données, mais les solutions aux attaques DHCP sont également utiles pour contrecarrer les attaques de couche 2.

DHCP est utilisé pour allouer dynamiquement des adresses IP aux ordinateurs pendant une période spécifique. Il est possible d'attaquer les serveurs DHCP en provoquant un déni de service sur le réseau ou en usurpant l'identité du serveur DHCP. Dans une attaque de famine DHCP, l'attaquant demande toutes les adresses DHCP disponibles. Cela entraîne un déni de service de l'hôte légitime sur le réseau.

Lors d'une attaque d'usurpation DHCP, l'attaquant peut déployer un serveur DHCP non autorisé pour fournir des adresses aux clients. Ici, l'attaquant peut fournir aux machines hôtes une passerelle par défaut rouge avec les réponses DHCP. Les trames de données de l'hôte sont désormais guidées vers la passerelle rouge où l'attaquant peut intercepter tous les paquets et répondre à la passerelle réelle ou les supprimer.

Autres attaques

En plus des attaques populaires ci-dessus, il existe d'autres attaques telles que la diffusion basée sur la couche 2, le déni de service (DoS), le clonage MAC.

Dans l'attaque de diffusion, l'attaquant envoie des réponses ARP usurpées aux hôtes du réseau. Ces réponses ARP définissent l'adresse MAC de la passerelle par défaut sur l'adresse de diffusion. Cela provoque la diffusion de tout le trafic sortant, permettant le reniflement par l'attaquant assis sur le même Ethernet. Ce type d'attaque affecte également la capacité du réseau.

Dans les attaques DoS basées sur la couche 2, l'attaquant met à jour les caches ARP des hôtes du réseau avec des adresses MAC inexistantes. L'adresse MAC de chaque carte d'interface réseau dans un réseau est censée être globalement unique. Cependant, il peut facilement être modifié en activant le clonage MAC. L'attaquant désactive l'hôte cible via une attaque DoS, puis utilise les adresses IP et MAC de l'hôte ciblé.

L'attaquant exécute les attaques pour lancer les attaques de niveau supérieur afin de mettre en péril la sécurité des informations circulant sur le réseau. Il peut intercepter toutes les trames et pourrait lire les données de trame. L'attaquant peut agir en tant qu'intermédiaire et modifier les données ou simplement supprimer l'image menant au DoS. Il peut détourner la session en cours entre l'hôte cible et d'autres machines et communiquer des informations totalement erronées.

Sécurisation des réseaux locaux Ethernet

Nous avons discuté de certaines attaques largement connues sur Data Link Layer dans la section précédente. Plusieurs méthodes ont été développées pour atténuer ces types d'attaques. Certaines des méthodes importantes sont -

Sécurité des ports

Il s'agit d'une fonction de sécurité de couche 2 disponible sur les commutateurs Ethernet intelligents. Cela implique de lier un port physique d'un commutateur à une ou plusieurs adresses MAC spécifiques. Tout le monde peut accéder à un réseau non sécurisé en connectant simplement l'hôte à l'un des ports de commutateur disponibles. Mais la sécurité des ports peut sécuriser l'accès à la couche 2.

Par défaut, la sécurité des ports limite le nombre d'adresses MAC d'entrée à un. Cependant, il est possible d'autoriser plusieurs hôtes autorisés à se connecter à partir de ce port via la configuration. Les adresses MAC autorisées par interface peuvent être configurées de manière statique. Une alternative pratique consiste à activer l'apprentissage d'adresse MAC "collant" où les adresses MAC seront apprises dynamiquement par le port de commutateur jusqu'à ce que la limite maximale du port soit atteinte.

Pour garantir la sécurité, la réaction au changement de la ou des adresses MAC spécifiées sur un port ou des adresses excédentaires sur un port peut être contrôlée de différentes manières. Le port peut être configuré pour arrêter ou bloquer les adresses MAC qui dépassent une limite spécifiée. La meilleure pratique recommandée consiste à arrêter le port. La sécurité des ports empêche l'inondation MAC et les attaques de clonage.

Surveillance DHCP

Nous avons vu que l'usurpation de DHCP est une attaque où l'attaquant écoute les requêtes DHCP de l'hôte sur le réseau et y répond avec une fausse réponse DHCP avant que la réponse DHCP autorisée ne parvienne à l'hôte.

La surveillance DHCP peut empêcher de telles attaques. La surveillance DHCP est une fonction de commutation. Le commutateur peut être configuré pour déterminer quels ports de commutateur peuvent répondre aux demandes DHCP. Les ports de commutateur sont identifiés comme des ports approuvés ou non approuvés.

Seuls les ports qui se connectent à un serveur DHCP autorisé sont configurés comme «approuvés» et autorisés à envoyer tous les types de messages DHCP. Tous les autres ports du commutateur ne sont pas approuvés et peuvent envoyer uniquement des requêtes DHCP. Si une réponse DHCP est vue sur un port non approuvé, le port est arrêté.

Prévention de l'usurpation d'ARP

La méthode de sécurité des ports peut empêcher l'inondation MAC et les attaques de clonage. Cependant, cela n'empêche pas l'usurpation ARP. La sécurité du port valide l'adresse source MAC dans l'en-tête de la trame, mais les trames ARP contiennent un champ source MAC supplémentaire dans la charge de données et l'hôte utilise ce champ pour remplir son cache ARP. Certaines méthodes pour empêcher l'usurpation ARP sont répertoriées comme suit.

  • Static ARP- L'une des actions recommandées consiste à utiliser des entrées ARP statiques dans la table ARP hôte. Les entrées ARP statiques sont des entrées permanentes dans un cache ARP. Cependant, cette méthode n'est pas pratique. De plus, il n'autorise pas l'utilisation de certains protocoles DHCP (Dynamic Host Configuration Protocol) car une adresse IP statique doit être utilisée pour tous les hôtes du réseau de couche 2.

  • Intrusion Detection System- La méthode de défense consiste à utiliser le système de détection d'intrusion (IDS) configuré pour détecter de grandes quantités de trafic ARP. Cependant, IDS a tendance à signaler des faux positifs.

  • Dynamic ARP Inspection- Cette méthode de prévention de l'usurpation ARP est similaire à la surveillance DHCP. Il utilise des ports approuvés et non approuvés. Les réponses ARP sont autorisées dans l'interface du commutateur uniquement sur les ports approuvés. Si une réponse ARP arrive au commutateur sur un port non approuvé, le contenu du paquet de réponse ARP est comparé à la table de liaison DHCP pour vérifier sa précision. Si la réponse ARP n'est pas valide, la réponse ARP est abandonnée et le port est désactivé.

Sécurisation du protocole Spanning Tree

Le protocole STP (Spanning Tree Protocol) est un protocole de gestion de liaison de couche 2. L'objectif principal de STP est de s'assurer qu'il n'y a pas de boucles de flux de données lorsque le réseau a des chemins redondants. En général, les chemins redondants sont conçus pour assurer la fiabilité du réseau. Mais ils peuvent former des boucles mortelles qui peuvent conduire à une attaque DoS dans le réseau.

Protocole Spanning Tree

Afin de fournir la redondance de chemin souhaitée, ainsi que pour éviter une condition de boucle, STP définit une arborescence qui couvre tous les commutateurs d'un réseau. STP force certaines liaisons de données redondantes dans un état bloqué et maintient d'autres liaisons dans un état de transfert.

Si une liaison dans l'état de transfert tombe en panne, STP reconfigure le réseau et redéfinit les chemins de données en activant le chemin de secours approprié. STP s'exécute sur des ponts et des commutateurs déployés dans le réseau. Tous les commutateurs échangent des informations pour la sélection du commutateur racine et pour la configuration ultérieure du réseau. Les unités de données de protocole de pont (BPDU) portent ces informations. Par l'échange de BPDU, tous les commutateurs du réseau élisent un pont / commutateur racine qui devient le point focal du réseau et contrôle les liaisons bloquées et transférées.

Attaques contre STP

  • Prendre le contrôle du pont racine. Il s'agit de l'un des types d'attaque les plus perturbateurs au niveau de la couche 2. Par défaut, un commutateur LAN prend à sa valeur nominale tout BPDU envoyé depuis un commutateur voisin. Incidemment, STP est fiable, sans état et ne fournit aucun mécanisme d'authentification sonore.

  • Une fois en mode d'attaque racine, le commutateur attaquant envoie un BPDU toutes les 2 secondes avec la même priorité que le pont racine actuel, mais avec une adresse MAC légèrement numériquement inférieure, ce qui garantit sa victoire dans le processus d'élection du pont racine. Le commutateur de l'attaquant peut lancer une attaque DoS soit en ne reconnaissant pas correctement les autres commutateurs provoquant l'inondation de BPDU, soit en soumettant les commutateurs à un dépassement de BPDUS en prétendant être root à un moment et en se rétractant rapidement.

  • DoS utilisant Flood of Configuration BPDU. Le commutateur attaquant ne tente pas de prendre le relais en tant que root. Au lieu de cela, il génère un grand nombre de BPDU par seconde, ce qui entraîne une utilisation très élevée du processeur sur les commutateurs.

Prévenir les attaques sur STP

Heureusement, la contre-mesure à une attaque de prise de contrôle root est simple et directe. Deux fonctionnalités aident à vaincre une attaque de prise de contrôle racine.

  • Root Guard- Root Guard restreint les ports de commutation à partir desquels le pont racine peut être négocié. Si un port «root-guard-enabled» reçoit des BPDU qui sont supérieurs à ceux que le pont racine actuel envoie, alors ce port est déplacé vers un état de racine incohérent et aucun trafic de données n'est transféré sur ce port. La protection racine est mieux déployée vers les ports qui se connectent à des commutateurs qui ne devraient pas prendre le relais en tant que pont racine.

  • BPDU-Guard- La protection BPDU est utilisée pour protéger le réseau contre les problèmes pouvant être causés par la réception de BPDU sur les ports d'accès. Ce sont les ports qui ne devraient pas les recevoir. La protection BPDU est mieux déployée vers les ports orientés utilisateur pour empêcher l'insertion d'un commutateur non autorisé par un attaquant.

Sécurisation du LAN virtuel

Dans les réseaux locaux, les réseaux locaux virtuels (VLAN) sont parfois configurés comme une mesure de sécurité pour limiter le nombre d'hôtes sensibles aux attaques de couche 2. Les VLAN créent des limites de réseau sur lesquelles le trafic de diffusion (ARP, DHCP) ne peut pas traverser.

Réseau local virtuel

Un réseau utilisant des commutateurs prenant en charge les capacités VLAN peut être configuré pour définir plusieurs VLAN sur une seule infrastructure LAN physique.

La forme courante de VLAN est un VLAN basé sur un port. Dans cette structure VLAN, les ports de commutateur sont regroupés en VLAN à l'aide d'un logiciel de gestion de commutateur. Ainsi, un seul commutateur physique peut agir comme plusieurs commutateurs virtuels.

L'emploi de VLAN assure l'isolation du trafic. Il divise le grand réseau de diffusion de couche 2 en réseaux de couche logique 2 plus petits et réduit ainsi la portée des attaques telles que l'ARP / DHCP Spoofing. Les trames de données d'un VLAN peuvent se déplacer depuis / vers des ports appartenant au même VLAN uniquement. Le transfert des trames entre deux VLAN se fait via le routage.

Les VLAN couvrent généralement plusieurs commutateurs, comme illustré dans le diagramme ci-dessus. La liaison entre les ports de jonction transporte les trames de tous les VLAN définis sur plusieurs commutateurs physiques. Par conséquent, les trames VLAN transmises entre les commutateurs ne peuvent pas être de simples trames au format Ethernet IEEE 802.1. Étant donné que ces trames se déplacent sur la même liaison physique, elles doivent maintenant transporter des informations d'ID de VLAN. Le protocole IEEE 802.1Q ajoute / supprime des champs d'en-tête supplémentaires aux trames Ethernet simples transmises entre les ports de jonction.

Lorsque le champ suivant les deux champs d'adresses IP est 0x8100 (> 1500), la trame est identifiée comme trame 802.1Q. La valeur de l'identificateur de protocole d'étiquette (TPI) à 2 octets est 81-00. Le champ TCI comprend des informations de priorité de 3 bits, un indicateur d'éligibilité à la suppression (DEI) de 1 bit et un ID de VLAN 12 bits. Ce champ de priorité de 3 bits et le champ DEI ne sont pas pertinents pour les VLAN. Les bits de priorité sont utilisés pour la fourniture de la qualité de service.

Lorsqu'une trame n'appartient à aucun VLAN, il existe un ID de VLAN par défaut auquel la trame est considérée comme associée.

Attaque sur VLAN et mesures de prévention

Dans une attaque par sauts de VLAN, un attaquant sur un VLAN peut accéder au trafic sur d'autres VLAN qui ne seraient normalement pas accessibles. Il contournerait un périphérique de couche 3 (routeur) lors de la communication d'un VLAN à un autre, ce qui irait à l'encontre du but de la création de VLAN.

Le saut VLAN peut être effectué par deux méthodes; Switch spoofing et double tagging.

Spoofing de commutateur

Cela peut se produire lorsque le port du commutateur, auquel l'attaquant est connecté, est en mode «jonction» ou en mode «négociation automatique». L'attaquant agit comme un commutateur et ajoute des en-têtes d'encapsulation 802.1Q avec des balises VLAN pour les VLAN distants cibles à ses trames sortantes. Le commutateur de réception interprète ces trames comme provenant d'un autre commutateur 802.1Q et transmet les trames dans le VLAN cible.

Les deux mesures préventives contre les attaques d'usurpation de commutateur sont de définir les ports de périphérie sur le mode d'accès statique et de désactiver la négociation automatique sur tous les ports.

Double marquage

Dans cette attaque, un attaquant connecté sur le port VLAN natif du commutateur ajoute deux balises VLAN dans l'en-tête de la trame. La première balise est du VLAN natif et la seconde est pour le VLAN cible. Lorsque le premier commutateur reçoit les trames de l'attaquant, il supprime la première balise car les trames du VLAN natif sont transmises sans balise sur le port de jonction.

  • Etant donné que la deuxième balise n'a jamais été supprimée par le premier commutateur, le commutateur de réception identifie la balise restante comme destination VLAN et transmet les trames à l'hôte cible dans ce VLAN. L'attaque par double marquage exploite le concept de VLAN natif. Puisque le VLAN 1 est le VLAN par défaut pour les ports d'accès et le VLAN natif par défaut sur les jonctions, c'est une cible facile.

  • La première mesure de prévention consiste à supprimer tous les ports d'accès du VLAN 1 par défaut, car le port de l'attaquant doit correspondre à celui du VLAN natif du commutateur. La deuxième mesure de prévention consiste à attribuer le VLAN natif sur tous les jonctions de commutateur à certains VLAN inutilisés, par exemple l'ID de VLAN 999. Enfin, tous les commutateurs doivent être configurés pour effectuer un marquage explicite des trames VLAN natives sur le port de jonction.

Sécurisation du LAN sans fil

Un réseau local sans fil est un réseau de nœuds sans fil dans une zone géographique limitée, telle qu'un immeuble de bureaux ou un campus scolaire. Les nœuds sont capables de communiquer par radio.

LAN sans fil

Le LAN sans fil est généralement implémenté en tant qu'extensions du LAN câblé existant pour fournir un accès au réseau avec la mobilité de l'appareil. Les technologies LAN sans fil les plus largement mises en œuvre sont basées sur la norme IEEE 802.11 et ses amendements.

Les deux principaux composants du LAN sans fil sont:

  • Access Points (APs)- Ce sont des stations de base pour le réseau sans fil. Ils émettent et reçoivent des fréquences radio pour communiquer avec les clients sans fil.

  • Wireless Clients- Ce sont des appareils informatiques équipés d'une carte d'interface réseau sans fil (WNIC). Les ordinateurs portables, les téléphones IP, les PDA sont des exemples typiques de clients sans fil.

De nombreuses organisations ont mis en place des réseaux locaux sans fil. Ces réseaux se développent de manière phénoménale. Il est donc crucial de comprendre les menaces dans les réseaux locaux sans fil et d'apprendre la mesure préventive commune pour assurer la sécurité du réseau.

Attaques dans le LAN sans fil

Les attaques typiques qui sont menées sur le LAN sans fil sont:

  • Eavesdropping - L'attaquant surveille passivement les réseaux sans fil pour les données, y compris les informations d'authentification.

  • Masquerading - L'attaquant se fait passer pour un utilisateur autorisé et obtient un accès et des privilèges sur les réseaux sans fil.

  • Traffic Analysis - L'attaquant surveille les transmissions via les réseaux sans fil pour identifier les modèles de communication et les participants.

  • Denial of Service - L'attaquant empêche ou restreint l'utilisation ou la gestion normale du LAN sans fil ou des périphériques réseau.

  • Message Modification/Replay - L'attaquant modifie ou répond à un message légitime envoyé via des réseaux sans fil en le supprimant, en l'ajoutant, en le modifiant ou en le réorganisant.

Mesures de sécurité dans le LAN sans fil

Les mesures de sécurité permettent de vaincre les attaques et de gérer les risques sur les réseaux. Il s'agit de la gestion du réseau, de l'exploitation et des mesures techniques. Nous décrivons ci-dessous les mesures techniques adoptées pour garantir la confidentialité, la disponibilité et l'intégrité des données transmises via les réseaux locaux sans fil.

Dans les réseaux locaux sans fil, tous les points d'accès doivent être configurés pour assurer la sécurité via le cryptage et l'authentification client. Les types de schémas utilisés dans le LAN sans fil pour assurer la sécurité sont les suivants:

Confidentialité équivalente câblée (WEP)

Il s'agit d'un algorithme de cryptage intégré à la norme 802.11 pour sécuriser les réseaux sans fil. Le cryptage WEP utilise le chiffrement de flux RC4 (Rivest Cipher 4) avec des clés 40 bits / 104 bits et un vecteur d'initialisation 24 bits. Il peut également fournir une authentification des points de terminaison.

Il s'agit cependant du mécanisme de sécurité de cryptage le plus faible, car un certain nombre de failles ont été découvertes dans le cryptage WEP. WEP n'a pas non plus de protocole d'authentification. Par conséquent, l'utilisation de WEP n'est pas fortement recommandée.

Protocole 802.11i

Dans ce protocole, de nombreuses formes de cryptage plus puissantes sont possibles. Il a été développé pour remplacer le schéma WEP faible. Il fournit un mécanisme de distribution de clés. Il prend en charge une clé par station et n'utilise pas la même clé pour tous. Il utilise un serveur d'authentification distinct du point d'accès.

IEEE802.11i impose l'utilisation d'un protocole appelé mode compteur avec protocole CBC-MAC (CCMP). CCMP assure la confidentialité et l'intégrité des données transférées et l'authenticité de l'expéditeur. Il est basé sur le chiffrement par bloc Advanced Encryption Standard (AES).

Le protocole IEEE802.11i comporte quatre phases de fonctionnement.

  • STA et AP communiquent et découvrent des capacités de sécurité mutuelle telles que les algorithmes pris en charge.

  • STA et AS s'authentifient mutuellement et génèrent ensemble la clé principale (MK). AP agit comme un «passage».

  • STA dérive la clé principale par paires (PMK). AS dérive le même PMK et envoie à AP.

  • STA, AP utilisent PMK pour dériver la clé temporelle (TK) à utiliser pour le cryptage des messages et l'intégrité des données.

Autres normes

  • Wi-Fi Protected Access(WPA) - Ce protocole implémente la majorité de la norme IEEE 802.11i. Il existait avant IEEE 802.11i et utilise l'algorithme RC4 pour le cryptage. Il a deux modes de fonctionnement. En mode «Entreprise», WPA utilise le protocole d'authentification 802.1x pour communiquer avec le serveur d'authentification, et par conséquent, les clés pré-maître (PMK) sont spécifiques à la station client. En mode «Personnel», il n'utilise pas 802.1x, PMK est remplacé par une clé pré-partagée, telle qu'elle est utilisée pour les environnements LAN sans fil de Small Office Home Office (SOHO).

    WPA comprend également un contrôle d'intégrité des messages sonores remplaçant le contrôle de redondance cyclique (CRC) qui était utilisé par la norme WEP.

  • WPA2- WPA2 a remplacé le WPA. WPA2 implémente tous les éléments obligatoires du schéma IEEE 802.11i. En particulier, il inclut la prise en charge obligatoire de CCMP, un mode de cryptage basé sur AES avec une sécurité renforcée. Ainsi, en ce qui concerne les attaques, WPA2 / IEEE802.11i fournit des solutions adéquates pour se défendre contre les faiblesses du WEP, les attaques man-in-the-middle, la contrefaçon de paquets et les attaques de relecture. Cependant, l'attaque DoS n'est pas traitée correctement et il n'y a pas de protocoles solides pour arrêter de telles attaques essentiellement parce que de telles attaques ciblent la couche physique comme interférer avec la bande de fréquences.

Sommaire

Dans ce chapitre, nous avons examiné les attaques et les techniques d'atténuation en supposant un réseau Ethernet commuté exécutant IP. Si votre réseau n'utilise pas Ethernet comme protocole de couche 2, certaines de ces attaques peuvent ne pas être applicables, mais il est probable que ce réseau soit vulnérable à différents types d'attaques.

La sécurité est aussi forte que le maillon le plus faible. En matière de mise en réseau, la couche 2 peut être un maillon très faible. Les mesures de sécurité de niveau 2 mentionnées dans ce chapitre contribuent grandement à protéger un réseau contre de nombreux types d'attaques.