Jak zabić całą sieć jednym kablem

Dzień jak każdy inny

Był spokojny dzień.

Czyli taki dzień, w którym dział IT zaczyna się niepokoić, bo skoro nic się nie pali, to znaczy, że wszechświat dopiero się rozpędza.

I wtedy dostajemy zgłoszenia:

• internet działa wolno,
• system się zawiesza,
• drukarki znikają,
• ERP laguje,
• Teams umiera,
• a ping wygląda jak zapis EKG człowieka po trzech energetykach.

Klasyczne:

sieć chyba coś muli.

Objawy końca cywilizacji

Po kilku minutach sytuacja eskaluje.

Switch monitoring zaczyna wyć jak alarm przeciwlotniczy.

Porty migają tak szybko, jakby próbowały wejść w nadświetlną.

CPU switchy:

100%

Transfer:

kosmos

Broadcast traffic:

absolutny armagedon

Cała sieć zaczyna zachowywać się jak organizm po przedawkowaniu kofeiny:

• DHCP ledwo oddycha,
• ARP flood zalewa segmenty,
• urządzenia gubią się nawzajem,
• a pakiety latają w kółko jak zagubione dusze w czyśćcu Ethernetu.

I wtedy już wiadomo.

Broadcast Storm

Dla ludzi spoza IT:

Broadcast storm to moment, w którym sieć wpada w pętlę i zaczyna wysyłać pakiety broadcastowe w nieskończoność.

Switch:

• dostaje pakiet,
• rozsyła go wszędzie,
• ten wraca,
• więc rozsyła go jeszcze raz,
• i jeszcze,
• i jeszcze,
• aż infrastruktura dostaje cyfrowego udaru.

To trochę jakbyś w biurze krzyknął:

KTO MA DŁUGOPIS?

…a potem wszyscy przez godzinę przekazywali to dalej coraz głośniej.

Polowanie na źródło zła

Zaczynamy śledztwo.

Sprawdzamy:

• switche,
• uplinki,
• logi,
• porty,
• MAC address table,
• wszystko.

Jeden switch wygląda szczególnie źle.

Port zapchany broadcastami jak Wisła po roztopach.

Idziemy tropem kabla.

I docieramy do stanowiska jednej z koleżanek.

Informatyczna pętla śmierci

Pytamy:

Czy było coś ostatnio podłączane?

Odpowiedź:

Tak, internet sobie podłączałam.

I tutaj mózg administratora wykonuje bardzo powolny obrót.

Patrzę pod biurko.

Floorbox.

Dwa porty sieciowe.

I kabel.

Jeden koniec kabla wpięty do pierwszego portu.

Drugi…

…do drugiego portu.

Nie do komputera.

Nie do laptopa.

Nie do telefonu.

DO DRUGIEGO PORTU W TYM SAMYM FLOORBOKSIE.

Czyli w praktyce:

sieć została połączona sama ze sobą.

Ethernetowy ouroboros.

Cyfrowy odpowiednik włożenia przedłużacza do samego siebie, żeby zrobić więcej prądu.

Techniczna ekstaza switcha

I tutaj zaczyna się piękna część techniczna.

Oba porty we floorboksie prowadziły do tego samego switcha.

Switch zobaczył więc pętlę Layer 2.

A ponieważ:

• nie było STP,
• albo było źle skonfigurowane,
• albo życie po prostu nienawidzi administratorów…

…broadcasty zaczęły krążyć w nieskończoność.

Każdy pakiet:

• wracał,
• był kopiowany,
• floodowany dalej,
• wracał ponownie,
• i namnażał się szybciej niż plotki w księgowości.

MAC address table switcha dostała schizofrenii:

• MAC raz na porcie 1,
• za sekundę na porcie 2,
• potem znowu na porcie 1,
• potem wszędzie naraz.

Switch praktycznie dostał ataku paniki.

Zabójstwo infrastruktury przy użyciu jednego kabla

Najlepsze jest to, że z perspektywy użytkownika wszystko wyglądało logicznie.

Były dwa gniazdka.

Był kabel.

No to trzeba połączyć.

Przecież od tego są kabelki.

I cyk.

Jednym ruchem:

• zatkana sieć,
• zabity broadcast domain,
• zamordowany switch,
• i pół firmy zastanawia się, czemu internet muli.

Morał działu IT

Po latach pracy wiem już jedno.

Najgroźniejszym narzędziem w firmie nie jest:

• ransomware,
• exploit zero-day,
• ani root access.

Najgroźniejszy jest człowiek z kablem Ethernet i pewnością siebie.

Bo czasami wystarczy jeden przewód…

…żeby infrastruktura weszła w tryb:

while(true) { panic(); }