¿Qué es un ataque MAC Flooding?
El MAC Flooding es un ataque de capa 2 contra switches de red. El atacante inunda el switch con miles de tramas Ethernet con direcciones MAC de origen falsas hasta llenar su tabla CAM (la que asocia MACs a puertos). Cuando la tabla se satura, muchos switches entran en modo failopen y empiezan a reenviar todo el tráfico a todos los puertos, como un hub.
¿Por qué es peligroso?
En modo failopen, el atacante conectado al switch puede capturar (sniffing) tráfico destinado a otros equipos de la misma red: credenciales, sesiones, datos sensibles. Es un paso previo a ataques man-in-the-middle dentro de redes locales mal protegidas.
¿Cómo prevenirlo?
La defensa principal es Port Security en el switch: limitar cuántas MAC se aprenden por puerto y bloquear o apagar el puerto ante un exceso. Complementan el 802.1X para autenticar dispositivos, la segmentación con VLANs y el monitoreo de la tabla CAM.
Qué ocurre exactamente dentro del conmutador
Un conmutador aprende qué dirección MAC está en cada puerto y guarda esa relación en una tabla de memoria limitada, la CAM. El ataque la desborda enviando tramas con miles de direcciones de origen falsas hasta que no cabe ninguna más. Cuando eso pasa, el conmutador no puede decidir a qué puerto enviar una trama y recurre a su comportamiento por defecto: reenviarla por todos. Deja de ser un conmutador y se comporta como un concentrador.
Por qué eso es un problema de confidencialidad
Porque a partir de ese momento cualquier equipo conectado al mismo segmento recibe el tráfico destinado a los demás. Lo que iba cifrado sigue estándolo, pero queda expuesto todo lo que no lo está y, sobre todo, los metadatos: con quién habla cada equipo, qué servicios usa, qué protocolos internos circulan. En redes planas donde conviven servidores y puestos de trabajo, eso es un mapa de la organización servido en bandeja.
Cómo se impide
Con seguridad de puerto en el conmutador: limitar cuántas direcciones MAC puede aprender cada puerto y decidir qué hacer al superarse —bloquear, restringir o apagar el puerto—. Se complementa con segmentación en VLAN para que, aunque ocurra, el alcance quede acotado; con control de acceso a la red que exija autenticación antes de dar conectividad; y con vigilancia de los puertos que aprenden un número anómalo de direcciones en poco tiempo, que es la firma del ataque.
