Methods and Systems of Information Protection, Information Security

IMPLEMENTATION AND EFFECTIVENESS ANALYSIS OF DHCP SPOOFING PROTECTION (MITRE ATT&CK T1557.003) AT THE NETWORK SWITCH LEVEL

A. A. Kudimov , A. D. Iskakov
UDC: 004.056.5 Published: 01.09.2026 Issue: Vol. 3 No. 011 (2026): Professionalitet, 2026 DOI: 10.24412/3033-9359-2026-011-55-65
Download PDF

Abstract

The paper reports an experimental comparison of the built-in and available mechanisms for protection against the DHCP Spoofing attack (MITRE ATT&CK T1557.003) on three managed switches: Cisco Catalyst 2960, Eltex MES1428, and MikroTik CRS326-24G-2S+RM. The attack was reproduced from a Kali Linux laptop using the Yersinia tool; the client ran ALT Linux, and traffic was monitored with tcpdump. A uniform four-step procedure was applied to each platform: baseline configuration, attack without protection, enabling the available protection, and a repeated attack. On the Cisco Catalyst 2960, after DHCP Snooping was enabled, rogue replies were absent from the capture and the displayed diagnostics identified untrusted ports; separate discard-counter values were not shown. On the Eltex MES1428, in the configuration and firmware used, rogue replies kept reaching the client while the feature counters remained zero; this result is interpreted as a property of the specific laboratory configuration rather than a confirmed device defect, and it requires verification on the full vendor-recommended configuration and updated firmware. On the MikroTik CRS326, rogue traffic was blocked by a bridge filter rule, a manual link-layer mechanism distinct from native DHCP Snooping. Because the platform metrics were measured in different units, no single efficiency figure is introduced. A step-by-step verification procedure for commissioning is proposed; regulatory conclusions are limited to the role of technical verification rather than proof of regulatory compliance.

Online viewer

References

  1. RFC 2131. Dynamic Host Configuration Protocol / R. Droms. – IETF, 1997. – URL: https://datatracker.ietf.org/doc/html/rfc2131 (дата обращения: 15.05.2026). – Текст : электронный.
  2. Adversary-in-the-Middle: DHCP Spoofing, Sub-technique T1557.003 / MITRE ATT&CK. – URL: https://attack.mitre.org/techniques/T1557/003/ (дата обращения: 15.05.2026). – Текст : электронный.
  3. Dilworth, R. Dark Deceptions in DHCP: Dismantling Network Defenses / R. Dilworth. – Mississippi State University, 2025. – (Препринт arXiv:2502.10646). – URL: https://arxiv.org/abs/2502.10646 (дата обращения: 15.05.2026). – Текст : электронный.
  4. Moratti, L. TunnelVision (CVE-2024-3661): How Attackers Can Decloak Routing-Based VPNs / L. Moratti, D. Cronce. – Leviathan Security Group, 2024. – URL: https://www.leviathansecurity.com/blog/tunnelvision (дата обращения: 15.05.2026). – Текст : электронный.
  5. Разработка и экспериментальная апробация метода обнаружения ARP-spoofing атак на основе анализа сетевого трафика и ARP-таблиц / Г. Рамазанова [и др.]. – 2025. – URL: https://cyberleninka.ru/article/n/razrabotka-i-eksperimentalnaya-aprobatsiya-metoda-obnaruzheniya-arp-spoofing-atak-na-osnove-analiza-setevogo-trafika-i-arp-tablits (дата обращения: 15.05.2026). – Текст : электронный.
  6. ARP Cache Poisoning. Методы защиты. – 2024. – URL: https://cyberleninka.ru/article/n/arp-cache-poisoning-metody-zaschity (дата обращения: 15.05.2026). – Текст : электронный.
  7. Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий и государственных учреждений : Приказ ФСТЭК России от 11.04.2025 № 117 : зарегистрирован в Минюсте России 16.06.2025, рег. № 82619 : вступил в силу 01.03.2026. – Москва : ФСТЭК России, 2025. – Текст : непосредственный.
  8. Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации : Приказ ФСТЭК России от 25.12.2017 № 239. – Москва : ФСТЭК России, 2017. – Текст : непосредственный.
  9. Berrueta, D. Yersinia: A Framework for Layer 2 Attacks / D. Berrueta, J. Andres. – Black Hat Europe, 2005. – URL: https://www.blackhat.com/presentations/bh-europe-05/BH_EU_05-Berrueta_Andres/BH_EU_05_Berrueta_Andres.pdf (дата обращения: 15.05.2026). – Текст : электронный.
  10. Уймин, А. Г. Применение отечественного сетевого оборудования Eltex и EcoRouter в рамках специальности 09.02.06 «Сетевое и системное администрирование». Вопросы импортозамещения и подготовки квалифицированных кадров в сетевом оборудовании / А. Г. Уймин, И. М. Толмачев // Автоматизация и информатизация ТЭК. – 2025. – № 11(628). – С. 58–62. – EDN DMHQJU. – Текст : непосредственный.
  11. Сравнение процесса конфигурации маршрутизации между локальными сетями VLAN с использованием оборудования различных вендоров. – 2024. – URL: https://cyberleninka.ru/article/n/sravnenie-protsessa-konfiguratsii-marshrutizatsii-mezhdu-lokalnymi-setyami-vlan-s-ispolzovaniem-oborudovaniya-razlichnyh-vendorov (дата обращения: 15.05.2026). – Текст : электронный.
  12. Ермолин, Ф. С. Атака CAM-table overflow. Методы защиты / Ф. С. Ермолин, Д. М. Монтрель, А. Р. Саблин. – 2025. – URL: https://cyberleninka.ru/article/n/ataka-sam-table-overflow-metodiki-testirovaniya-i-zaschity (дата обращения: 15.05.2026). – Текст : электронный.
  13. Стрельцов, Д. С. VLAN ID Enumeration. Методы защиты / Д. С. Стрельцов, Е. А. Бутенко. – 2024. – URL: https://cyberleninka.ru/article/n/vlan-id-enumeration-metody-zaschity (дата обращения: 15.05.2026). – Текст : электронный.
  14. Configuring DHCP Features : Catalyst 2960 Software Configuration Guide, 12.2(55)SE / Cisco Systems. – URL: https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst2960/software/release/12-2_55_se/configuration/guide/scg_2960/swdhcp82.html (дата обращения: 15.05.2026). – Текст : электронный.
  15. MES Series User Manual 10.4.2.1 / Eltex Enterprise. – URL: https://api.prod.eltex-co.ru/storage/upload_center/files/54/MES_Series_user_manual_10.4.2.1_en.pdf (дата обращения: 15.05.2026). – Текст : электронный.
  16. Bridging and Switching: DHCP Snooping : RouterOS Documentation / MikroTik. – URL: https://help.mikrotik.com/docs/spaces/ROS/pages/328068/Bridging+and+Switching (дата обращения: 15.05.2026). – Текст : электронный.
  17. AbdulGhaffar, A. An Analysis of DHCP Vulnerabilities, Attacks, and Countermeasures / A. AbdulGhaffar, S. K. Paul, A. Matrawy // 2023 Biennial Symposium on Communications (BSC). – IEEE, 2023. – P. 119–124. – URL: https://ieeexplore.ieee.org/document/10201458 (дата обращения: 15.05.2026). – Текст : электронный.

License

Copyright (c) 2026 A. A. Kudimov, A. D. Iskakov (Author)

Creative Commons Attribution (CC BY) 4.0

Keywords

DHCP spoofing DHCP snooping MITRE ATT&CK LAN security rogue DHCP Yersinia