Les protocoles d'export de flux, Cisco NetFlow, sFlow et l'IPFIX standardisé par l'IETF, font résumer par les routeurs et les commutateurs les conversations qui les traversent (source, destination, ports, protocole, nombre d'octets et de paquets) et exportent ces enregistrements vers un collecteur en UDP. Pour un attaquant, les données de flux constituent une carte toute faite des communications du réseau : qui parle à qui, sur quels services, et dans quelle mesure, ce qui est une reconnaissance de grande valeur obtenue sans toucher aux hôtes. Récolter cette carte depuis un collecteur exposé ou son stockage révèle la structure et les relations de l'environnement. Et comme la voie d'export est de l'UDP non authentifié, un attaquant capable d'émettre vers le collecteur falsifie des enregistrements de flux pour injecter du faux trafic, masquer des flux réels, ou tromper la supervision de capacité et de sécurité construite sur ces données.
Sous-thèmes#
- Récolte des données du collecteur : lire la carte du trafic depuis un collecteur.
- Falsification d'enregistrements de flux : falsifier les enregistrements de flux exportés.