セキュリティの機能【スイッチ（レイヤ2）のセキュリティ機能】

CCNAの試験に向けて学習中。
復習に見返せるようにメモしていきます。
ほぼ自分の勉強メモです。
過度な期待はしないでください。

前回投稿記事
-
こちらの[セキュリティの機能](https://qiita.com/k-yasuhiro/private/e5e9872c56d9b6ac51ce)投稿記事の続きです。
<br>

2. スイッチのセキュリティの機能
-

#### 2-1.ポートセキュリティの概要
<font color="Red"><b>ポートセキュリティ<b></font>とは、主に「不正アクセス」を防ぐ為に利用されるスイッチの
セキュリティ機能です。

例えば、社員が自宅から持ってきたノートPCを、社内のケーブルに繋げた場合、
ノートPCは企業の管理下にはないので、ウィルス対策ソフトが入っているか、企業で禁止
されているソフトが入っていないか等は不明です。もし、ウィルス等に感染していた場合、
社内のPCに感染して、社内情報が漏れてしまう等のトラブルが発生して しまうかもしれません。
そこで、想定外の端末がスイッチに接続した来た場合、スイッチに備わるLANポート事に、
許可されているMACアドレスを持つ端末以外を、ネットワークに接続させないようにします。


#### 2-2.ポートセキュリティの動作の仕組み
ポートセキュリティの仕組みは、原則としてあらかじめスイッチに接続する端末の<font color="Red"><b>MACアドレス<b></font>を
登録しておき、登録していないMACアドレスを持つ端末の通信を遮断する仕組みです。
スイッチに搭載されているLANポート単位に許可するMACアドレスを設定します。

このように、ポートセキュリティではポートに使用出来る端末のMACアドレスをスイッチに登録し
フレームの送信元MACアドレスと比較して、許可された端末からの通信かどうか判断します。
スイッチへの接続を許可するMACアドレスを、<font color="Red"><b>セキュアMACアドレス<b></font>をいいます。


#### 2-3.ポートセキュリティの設定と確認
ポートセキュリティの基本的な設定は、次の2つの手順です。
⚫️ ポートセキュリティの有効化
⚫️ セキュアMACアドレスの設定

##### ■ 2-3-1.ポートセキュリティの有効化
ポートセキュリティは、デフォルトでは有効になっていません。その為、先ずインターフェイスで
有効にする必要があります。ポートセキュリティは、手動でアクセスポートまたはトランクポートに
設定したポートでのみ有効化する事が可能です。
なので、DTPによりデフォルトで dynamic autoモード等になっていると、ポートセキュリティを
有効化しようとしても実行したコマンドが拒否されます。

ポートセキュリティを有効化するには、ポートをアクセスポートかトランクポートに設定した後、
<b>インターフェイスコンフィギュレーションモード</b>で次の <font color="Red"><b>switchport port-security コマンド</b></font>を実行します。

```
(config-if)# switchport port-security
```
>
( config )# interface < interface-name ＞のコマンドでもポートセキュリティを有効化出来ます

##### ■ 2-3-2.セキュアMACアドレスの設定
▶︎ セキュアMACアドレスの設定

ポートセキュリティで接続違反している端末を判断するには、MACアドレスをスイッチに登録
しておく必要があります。登録方法は下記の２つ
⚫️ スタティック（手動で登録する方法）
⚫️ ダイナミック（フレームが届いた際に自動で登録する方法）

スタティックにセキュアMACアドレスを登録するには、<b>インターフェイスコンフィギュレーションモード</b>
で次の <font color="Red"><b>switchport port-security mac-address コマンド</b></font>を実行します。

```
(config-if) switchport port-security mac-address < macアドレス >
```
>
＜macアドレス＞には、セキュアMACアドレスとして登録したいMACアドレスを指定します。

<font color="Red"><b>ダイナミックなセキュアMACアドレスの設定は特にコマンド入力は必要ありません。</b></font>
ポートセキュリティを有効にしたあと受信したフレームの送信元MACアドレスをセキュアMACアドレス
として自動的に学習します。

<br>
▶︎ 最大数の設定

１つのインターフェイスに登録出来るMACアドレスの最大数を指定出来ます。
インターフェイスに登録できるセキュアMACアドレスの最大数を設定するには、
<b>インターフェイスコンフィギュレーションモード</b>で
次の <font color="Red"><b>switchport port-security maximum コマンド</b></font>を実行します。

```
(config-if)# switchport port-security maximum < 最大数 >
```
>
＜最大数＞には、そのインターフェイスに登録出来るセキュアMACアドレスの最大数を指定します。
登録可能なアドレスは、デフォルトでは　1つだけになってます。

##### ■ 2-3-3.スティッキーラーニングの設定
セキュアMACアドレスは、スタティック登録した際のコマンドが running-configに残ります。
しかし、ダイナミックで登録されたアドレスは running-configに記録されず、
スイッチが再起動した場合、登録した内容が消えてしまいます。
そこで、ダイナミックにセキュアMACアドレスを学習し再起動時に再学習しなくてもいいように
<font color="Red"><b>スティッキーラーニング</b></font>の設定を行います。スティッキーラーニングは、セキュアMACアドレスを
ダイナミックに学習し、その情報を running-configにも反映させる事が出来ます。

スティッキーラーニングの設定は、<b>インターフェイスコンフィギュレーションモード</b>で
次の <font color="Red"><b>switchport port-security mac-address sticky コマンド</b></font>を実行します。

```
(config-if)# switchport port-security mac-address sticky
```

<br>
##### ■ 2-3-4.セキュリティ違反のモード
許可されていないMACアドレスを持つ端末からのフレームを受信した場合、
以下の3種類のいずれかの違反モードが発動します。

⚫️ protect
通信をブロックするだけのモードです。許可されていない端末のフレームのみ破棄します。

⚫️ restrict
許可されていない端末のフレームのみ破棄するだけでなく、違反の通知（SNMP/Syslog）を行います。

⚫️ shutdown
restrictと同様の違反の通知（SNMP/Syslog）を行うだけでなく、インターフェイスを
シャットダウンします。この時、インターフェイスは、エラーディーゼル状態になります。
その為、他のモードとは異なり一度違反が発生した場合、セキュアMACアドレスとして登録
されている端末であっても通信が出来なくなります。
<font color="Red">デフォルトでは、shutdownモードです。</font>

<img width="700" alt="ファイル名" src="https://i.gyazo.com/16c80d576ec0d189ec38518bb74f284c.png">

▶︎ 違反モードの設定
セキュリティ違反した時のモードを設定するには、<b>インターフェイスコンフィギュレーションモード</b>で
次の <font color="Red"><b>switchport port-security violation コマンド</b></font>を実行します。

```
(config-if)# switchport port-security violation < モード >
```
>
＜モード＞には、 [ protect | restrict | shutdown ]のいずれかを指定します。

##### ■ 2-3-5.ポートセキュリティの設定
ポートセキュリティの設定例

<img width="400" alt="ファイル名" src="https://i.gyazo.com/7f434c8fd02aca1d24baa99f3d4a84df.png">
▶︎ SW1 Fa0/1、Fa0/2でポートセキュリティを有効化します。

```
(config)# interface range FastEthernet0/1 -2
(config-if)# switchport mode access
(config-if)# switchport port-security
```
<br>
▶︎ Fa0/1に接続されるサーバのMACアドレスをセキュアMACアドレスとしてスタティックに設定します。
また、違反モードの設定は、shutdownモードにします。

```
(config)# interface FastEthernet0/1
(config-if)# switchport port-security mac-address 0004.4dba.a1a1
```
>
デフォルトで、違反モードは shutdownとなっているので設定は必要ありません。

▶︎ Fa0/2は、スイッチ再起動時にセキュアMACアドレスの情報を保持できるように、
スティッキーラーニングを有効化します。また、セキュアMACアドレスの最大数を2とします。
そして、違反モードを shutdownから restrictに変更します。

```
(config)# interface FastEthernet0/2
(config-if)# switchport port-security mac-address sticky
(config-if)# switchport port-security maximum 2
(config-if)# switchport port-security violation restrict
```

<br>
##### ■ 2-3-6.ポートセキュリティの設定の確認
ポートセキュリティの設定の確認をするには<b>特権EXECモード</b>で
次の <font color="Red"><b>show port-security コマンド</b></font>を実行します。

```
# show port-security
```
show port-security コマンドの実行結果を確認していきます。
<img width="670" alt="ファイル名" src="https://i.gyazo.com/9ebefa68c256af3c64cdf203184516cf.png">

|項目　|説明　　　　　　　　　　　　　　　　　　　　　　　　　　　　　|
|:---|:---|
|Secure Port|ポートセキュリティが有効になっているインターフェイス|
|MaxSecureAddr|登録出来るセキュアMACアドレスの最大数|
|CurrentAddr|現在登録されてるセキュアMACアドレスの数|
|SecurityViolation|違反カウント（違反発生時に加算されます）|
|Security Action|違反事の動作モード|


<br>
##### ■ 2-3-7.セキュアMACアドレスの確認
登録したセキュアMACアドレスを確認をするには<b>特権EXECモード</b>で
次の <font color="Red"><b>show port-security address コマンド</b></font>を実行します。

```
# show port-security address
```
show port-security address コマンドの実行結果を確認していきます。
<img width="670" alt="ファイル名" src="https://i.gyazo.com/3e2e89a442406b4b76b73dd3690a68d8.png">

|項目　|説明　　　　　　　　　　　　　　　　　　　　　　　　　　　　　|
|:---|:---|
|Vlan|ポートが所属している VLAN|
|Mac Address|登録しているセキュアMACアドレス|
|Type |登録方法※1|
|Ports|インターフェイス|
|Remaining Age|自動で登録されたセキュアMACアドレスを消去する迄の時間|
>
※1 SecureConfigured:手動　SecureDynamic:自動　SecureSticky：スティックラーニングが有効

##### ■ 2-3-8.インターフェイスの確認
インターフェイスごとにポートセキュリティを確認するには、<b>特権EXECモード</b>で
次の <font color="Red"><b>show port-security interface コマンド</b></font>を実行します。

```
# show port-security interface < インターフェイス >
```
>
＜インターフェイス＞には、確認したいインターフェイスしを指定します。

show port-security interface コマンドの実行結果を確認していきます。
<img width="670" alt="ファイル名" src="https://i.gyazo.com/b418b1c2e0b2ce66a099eb69a446a78e.png">

|項目　|説明　　　　　　　　　　　　　　　　　　　　　　　　　　　　　|
|:---|:---|
|Port Security |ポートセキュリティの有効（Enabled）、無効（Disabled）|
|Port Status|現在のポートのステータス※2|
|Violation Mode|違反モード|
|Maximum MAC Addresses|登録出来るセキュアMACアドレスの最大数|
|Total MAC Addresses|このインターフェイスに登録されているセキュアMACアドレスの数|
|Configured MAC Addresses|手動で登録されているセキュアMACアドレスの数|
|Sticky MAC Addresses|スティッキーラーニングで記録されたセキュアMACアドレスの数|
|Security Violation Count|セキュリティ違反のカウンタ|
>
※2 例えば、セキュリティ違反が起こった場合、モードがshutdownモードで有れば、
ポートがシャットダウンします。そうなると表示が「Secure-shutdown」と表示されます。
>
また、セキュリティ違反が起こってポートがshutdownした場合、これを手動で元に戻すには、
<b>インターフェイスコンフィギュレーションモード</b>で <font color="Red"><b>shutdown コマンド</b></font>を実行した後に、
<font color="Red"><b>no shutdown コマンド</b></font>を順に実行します。

##### ■ 2-3-9.エラーディーゼル状態の自動復旧
エラーディーゼル状態のなったインターフェイスは、shutdown コマンドを実行した後に、
no shutdown コマンドを順に実行する事で手動で復旧させる事が出来ます。
しかし、自動復旧の設定をしておけば、一定時間経過後に自動的にエラーディーゼル状態から
解除されインターフェイスが有効になります。

自動でエラーディーゼル状態から復旧させるには、<b>グローバルコンフィギュレーションモード</b>で
次の <font color="Red"><b>errdisable recovery cause コマンド</b></font>を実行します。

```
(config)# errdisable recovery cause < エラーの原因 >
```
>
＜エラー原因＞の所は、自動復旧させるエラーの原因を指定します。
allを指定すると、全てのエラー原因で自動で復旧します。
psecure-violationを指定すると、ポートセキュリティ違反によるエラーディーゼル状態の
自動復旧を有効化します。
他にも色々種類がありますので詳しくは [errdisable recovery](https://www.infraexpert.com/study/catalyst27.html)の記事を参照下さい。

また、復旧迄の秒数を変更する事も出来ます。
デフォルトでは、300秒でエラーディーゼル状態から復旧しますが、復旧する秒数を変更するには、
<b>グローバルコンフィギュレーションモード</b>で次の <font color="Red"><b>errdisable recovery cause コマンド</b></font>を実行します。

```
(config)# errdisable recovery interval < 秒数 >
```
>
＜秒数＞には、30秒から 86400秒まで指定可能です。

そして、errdisable recovery causeを有効にしている場合は、<font color="Red"><b>show errdisable recoveryコマンド</b></font>により
エラーディーゼル状態の原因を確認する事が出来ます。

```
# show errdisable recovery
```

<br>
#### 2-4.DHCPスヌーピング
##### ■ 2-4-1.DHCPスヌーピングとは？
DHCPスプーフィング（なりすまし）とは、不正なDHCPサーバになりすまし謝った情報をPCに
割り当てて盗聴を行う手法の事をいいます。

例えば、攻撃者が不正なDHCPサーバになりすまし、正規のDHCPクライアントのDHCP要求に、
不正なDHCP応答をして、不正なDHCPからの応答を正規のDHCPクライアントに意図しない
IPアドレス情報を通知し、それを選択してしまった場合、正規のDHCPクライアントの
デフォルトゲートウェイは不正なDHCPサーバから送られて来た攻撃者が操作出来るPCなどに
なってしまいます。そうなれば、攻撃者に情報を盗聴されてしまします。

こうしたDHCPの機能を悪用したなりしますを防止する為に、<font color="Red"><b>DHCPスヌーピング</b></font>があります。
<img width="600" alt="ファイル名" src="https://i.gyazo.com/0d5bcf89d777f99be6253d511e9e0251.png">


##### ■ 2-4-2.DHCPスヌーピングの仕組み
DHCPスヌーピングの機能を有効化したスイッチでは、スイッチの各ポートを
<font color="Red"><b>信頼できるポート（trusted）</b></font>と<font color="Red"><b>信頼できないポート（untrusted）</b></font>に分けられます。

「信頼できないポート」から送信されてくる <font color="GReen"><b>DHCP OFFER</b></font>と <font color="GReen"><b>DHCP ACK</b></font>などのメッセージは
ブロックされます。そこで、正規のDHCPサーバからのメッセージが送られてくる所だけ
「信頼できるポート」としておき、それ以外のポートは「信頼できないポート」として設定します。
その結果、不正なDHCPサーバから送られてくるメッセージをブロックする事が出来ます。

PCからDHCPサーバへ送信される <font color="GReen">DHCP DISCOVER</font>や <font color="GReen">DHCP REQUEST</font>などの
メッセージは、「信頼できないポート」であってもブロックの対象とならない為、PCと
接続しているポートも、「信頼できないポート」に設定します。
<img width="600" alt="ファイル名" src="https://i.gyazo.com/f27005a0421ba80a887f086f2be209b1.png">

また、DHCPスヌーピングを有効にするとDHCPパケットのやりとりがチェックされ、
DHCPクライアントのMACアドレス、IPアドレス、VLAN、スイッチのポート、リース期間などの
情報を<font color="Red"><b>DHCPスヌーピングバインディングテーブル</b></font>に保存されます。
そうする事で、スイッチ側でも先の情報を知る事が出来ます。
なので、例えば「信頼できないポート」からパケットを受信した場合、<b>そのパケットの情報と
バインディングテーブルに保存されている情報とを比較して、一致した場合はスイッチはパケットを
転送して、アドレスが一致しない場合は破棄</b>します。

<br>
#### 2-5.DHCPスヌーピングの設定
DHCPスヌーピングは、デフォルトでは有効になっていません。
なので、有効にする為のコマンドが下記の手順になります。

##### ■ 2-5-1.DHCPスヌーピングの有効化
▶︎ DHCPスヌーピングの有効化するには、<b>グローバルコンフィギュレーションモード</b>で
次の <font color="Red"><b>ip dhcp snooping コマンド</b></font>を実行します。

```
(config)# ip dhcp snooping
```
<br>
上記のコマンドによりDHCPスヌーピングはグローバルで有効にはなっているのですが、
全てのVLANではディセーブル（無効）となる為、
DHCPスヌーピングを有効にするVLANを指定する必要があります。

▶︎ 有効にするVLANを指定するには、<b>グローバルコンフィギュレーションモード</b>で
次の <font color="Red"><b>ip dhcp snooping vlan コマンド</b></font>を実行します。

```
(config)# ip dhcp snooping vlan < vlan番号リスト >
```
>
＜vlan番号リスト＞で有効にするvlanを指定します。
VLANの指定カンマ区切りで複数指定するか、ハイフンを使用して範囲を指定する事が出来ます。

##### ■ 2-5-2.信頼できるポートの指定
先程のコマンドでDHCOスヌーピングを有効にすると、全てのポートが「信頼できないポート」と
なります。正規のDHCPサーバが接続されるポートなどは「信頼できるポート」にする必要があります。

「信頼できるポート」にするには、<b>インターフェイスコンフィギュレーションモード</b>で
次の <font color="Red"><b>ip dhcp snooping trust コマンド</b></font>を実行します。

```
(config-if)# ip dhcp snooping trust
```
>
[ no ] を先頭に付けると「信頼できないポート」となります。

##### ■ 2-5-3.リレーエージェント情報オプション（オプション82）
DHCP リレーエージェント情報オプション (オプション 82) を使用すると、DHCPサーバに転送する、
クライアントから生成された DHCPパケットに有益な情報を追加する事が出来ます。
その情報により、DHCPサーバが割り当てるIPアドレスを決定したりする事が出来ます。

このオプションはデフォルトで有効になっています。しかし、DHCPサーバがオプションに対応して
いないと返答が返ってきません。そこで、リレーエージェント情報オプションを無効にするには、
<b>グローバルコンフィギュレーションモード</b>で
次の <font color="Red"><b>ip dhcp snooping information option コマンド</b></font>を実行します。

```
(config)# no ip dhcp snooping information option
```
>
[ no ] を外すとリレーエージェント情報オプション有が効となります。

##### ■ 2-5-4.DHCPスヌーピングの設定確認
DHCPスヌーピングの設定の確認をするには、<b>特権EXECモード</b>で
次の <font color="Red"><b>show ip dhcp snooping コマンド</b></font>を実行します。

```
# show ip dhcp snooping
```
show ip dhcp snooping コマンドの実行結果を確認していきます。
<img width="650" alt="ファイル名" src="https://i.gyazo.com/dc32746ab18d2be03da664ace062dd21.png">
>
▶︎下記で、DHCPスヌーピングがVLAN10で有効になっている事が分かります。
Switch DHCP snooping is enabled
DHCP snooping is configured on following VLANs:
10
>
▶︎また、下記でオプション82が有効になっている事が分かります。
Insertion of option 82 is enabled
>
▶︎さらに下記でFa0/4が「信頼できるポート」になっている事が分かります。
FastEthernet0/4　　　　yes　　　　　60

##### ■ 2-5-4.DHCPスヌーピングバインディングテーブルの設定確認
DHCPスヌーピングバインディングテーブルに格納されている情報を確認するには、
<b>特権EXECモード</b>で次の <font color="Red"><b>show ip dhcp snooping binding コマンド</b></font>を実行します。

```
# show ip dhcp snooping binding
```
詳しくは [show ip dhcp snooping binding](https://www.allied-telesis.co.jp/support/list/switch/x510/rel/5.4.3-0.1/001763b/docs/show_ip_dhcp_snooping_binding@010USEREXEC.html)の記事を参照


<br>
#### 2-6.ダイナミックARPインスペクション
##### ■ 2-6-1.ダイナミックARPインスペクションとは？
なりすましの攻撃には、DHCPスプーフィング以外にも<font color="Red">ARPスプーフィング</font>という攻撃手法が
あります。ARPスプーフィングは、<font color="Red">ARPポイズニング</font>ともいわれます。

ARPスプーフィングは、正規のクライアントからのARP要求に対して、ルータと攻撃者両方から
ARP応答が返って来ます。タイミングによっては、「192.168.0.254」と「0000.0000.2222」対応付けて
ARPテーブルに登録してしまいます。このような状態になると、宛先IPはルータ宛になっていますが、
一度攻撃者のPCを向かう事になります。　なので、クライアントは意図しない通信相手にトラフィックを
転送する結果、情報を盗聴される恐れがあります。
<img width="600" alt="ファイル名" src="https://i.gyazo.com/a3a1f18ec1fe8c7e368d52acff1caa4e.png">
このようにARP応答になりすまし、誤った情報教える攻撃手法がARPスプーフィングと呼ばれるもので、
これを防ぐ為の機能が、<font color="Red"><b>ダイナミックARPインスペクション</b></font>となります。

<br>
##### ■ 2-6-2.ダイナミックARPインスペクションの仕組み
ダイナミックARPインスペクションでは、スイッチのポートを「信頼できるポート」と
「信頼できないポート」に分けます。「信頼できるポート」の通信はチェックされませんが、
「信頼できないポート」からの通信はチェックするようになります。この時に、
DHCPスヌーピングバインディングテーブルが使用されます。

ARP要求とARP応答がスイッチに着信した際にARP内部のIPアドレスとMACアドレスの紐付けを
チェックしてDHCPスヌーピングバインディングテーブルと異なる場合は、なりすます攻撃と判断し
破棄します。
<img width="600" alt="ファイル名" src="https://i.gyazo.com/3c4cb13fb5dcc75c9b96be03a395a514.png">

<br>
#### 2-7.ダイナミックARPインスペクションの設定
##### ■ 2-7-1.ダイナミックARPインスペクションの有効化
ダイナミックARPインスペクションは、デフォルとでは有効になっていません。
なので、ダイナミックARPインスペクションを有効化するには、
<b>グローバルコンフィギュレーションモード</b>で次の <font color="Red"><b>ip arp inspection コマンド</b></font>を実行します。

```
(config)# ip arp inspection vlan < vlan番号リスト >
```
>
＜vlan番号リスト＞で有効にするvlanを指定します。
VLANの指定カンマ区切りで複数指定するか、ハイフンを使用して範囲を指定する事が出来ます。

##### ■ 2-7-2.信頼できるポートの指定
デフォルトでは先程のコマンドで指定したVLANに属する全てのポートが「信頼できないポート」と
なります。チェックしなくてもいいポートなどは「信頼できるポート」に設定する必要があります。

「信頼できるポート」にするには、<b>インターフェイスコンフィギュレーションモード</b>で
次の <font color="Red"><b>ip arp inspection trust コマンド</b></font>を実行します。

```
(config-if)# ip arp inspection trust
```

<br>
##### ■ 2-7-3.ダイナミックARPインスペクションの設定確認
ダイナミックARPインスペクションの設定を確認するには、<b>特権EXECモード</b>で
次の <font color="Red"><b>show ip arp inspection コマンド</b></font>を実行します。

```
# show ip arp inspection [< VLAN番号 >]
```
>
＜VLAN番号＞を指定すると、対象のVLAN情報を確認出来ます。

<br>
#### 2-8.VACL
VACL（VLAN access-list）とは、インターフェイスに適用するACLではなく、
スイッチ内のVLANにACLを適用するものになります。
インバウンド、アウトバウンドといった指定はなく、そのVLANに届いた全てに適用されます

VACLは、ダブルタギング攻撃の対策の一つです。
##### ■ ダブルタギング攻撃
ダブルタギング攻撃は、トランクリンクのカプセル化がIEEE 802.1Qの際にネイティブVLANを
利用した攻撃手法です。攻撃者がトランクリンクのネイティブVLANと同じVLANに属している
場合に使用される方法です。

対策として、ネイティブVALNでもタグが付くなどの設定をするといった事をする事で
対策出来ます。ネイティブVALNでもタグが付くようにするには、
<b>グローバルコンフィギュレーションモード</b>で次の <font color="Red"><b>vlan dot 1p tag native コマンド</b></font>を実行します。

```
(config)# vlan dot 1p tag native
```

<br>
#### 2-9.その他の不正アクセス

##### ■ MACアドレスフラッディング
ターゲットのMACアドレステーブルを飽和させ、フラッディングしたデータを盗聴する攻撃
対策 ：　ポートセキュリティの有効化、IEEE802.1X認証の使用

##### ■ DTPによるVLANホッピング
トランク機能を悪用して本来アクセス出来ないVLANにアクセス（VLANホッピング）して、
一般ユーザに開放しているトランクポートを、DTPによって不正にトランクポートに変更させて
全VLANと通信可能にする攻撃
対策 ：　DTPネゴシエーションの無効化

##### ■ ダブルタグによるVLANホッピング
トランク機能を悪用して本来アクセス出来ないVLANにアクセス（VLANホッピング）して、
VLANタグを二重に付けて異なるVLANにアクセスする攻撃（ネイティブVLANがタグを付けない
という仕組みを悪用して行っている）

##### ■ STP
ルートブリッジに選出されるように不正なスイッチをネットワークに追加し
不正なスイッチを経由するフレーム盗聴する攻撃
対策 ：　BPDUガードの有効化