Detección y mitigación autónoma de MAC Flooding mediante un agente SOAR en un laboratorio virtual de ciberseguridad
Palabras clave:
MAC Flooding, SOAR, SNMP, SSH, tabla CAM, GNS3, automatización de redes, laboratorio virtualResumen
El MAC Flooding provoca un crecimiento anómalo de direcciones de origen en la tabla de Memoria Direccionable por Contenido (CAM, por sus siglas en inglés) y puede degradar la segmentación de una red Ethernet. Este trabajo presenta un agente de Orquestación, Automatización y Respuesta de Seguridad (SOAR, por sus siglas en inglés) para laboratorios virtuales de ciberseguridad que consulta la tabla CAM mediante el Protocolo Simple de Gestión de Red (Simple Network Management Protocol, SNMP), resuelve dinámicamente la relación bridge port-ifIndex-ifName y aplica mediante Secure Shell (SSH) el apagado administrativo del puerto identificado. El diseño diferencia fallos de telemetría de lecturas CAM válidas, protege enlaces críticos, verifica el estado administratively down, utiliza restauración manual y conserva evidencia estructurada con marcas t0-t5. El entorno se implementa en GNS3 con Cisco IOU, hosts legítimos, Kali Linux y una estación Windows. La evaluación contempla calibración del umbral, identificación del puerto, falsos positivos, éxito de mitigación y latencia. La campaña experimental constó de n=20 pruebas controladas (10 legítimas y 10 de ataque). El agente alcanzó una tasa de detección del 100.0 %, una precisión de identificación dinámica del puerto del 90.0 % y un éxito de mitigación del 100.0 %, registrando un tiempo medio de contención (end-to-end) de 6146.05 ms sin arrojar falsos positivos. Se concluye que la integración de telemetría SNMP y actuación por SSH es un mecanismo viable, estable y de alta eficacia para contener el MAC Flooding en la Capa 2 dentro de laboratorios virtuales tradicionales.
Referencias
Azuero, R., Castillo, B., & Peña, M. (2026). SOAR-PLATFORM---ORQUESTACI-N-DE-SEGURIDAD- [Software de computadora]. GitHub. https://github.com/Sherman95/SOAR-PLATFORM---ORQUESTACI-N-DE-SEGURIDAD-
Blumenthal, U., & Wijnen, B. (2002). User-based Security Model (USM) for version 3 of the Simple Network Management Protocol (SNMPv3) (RFC 3414). Internet Engineering Task Force. https://doi.org/10.17487/RFC3414
Bridges, R. A., Rice, A. E., Oesch, S., Nichols, J. A., Watson, C., Spakes, K., Norem, S., Huettel, M., Jewell, B., & Weber, B. (2023). Testing SOAR tools in use. Computers & Security, 129, 103201. https://doi.org/10.1016/j.cose.2023.103201
Girdler, T., & Vassilakis, V. G. (2021). Implementing an intrusion detection and prevention system using Software-Defined Networking: Defending against ARP spoofing attacks and blacklisted MAC addresses. Computers & Electrical Engineering, 90, 106990. https://doi.org/10.1016/j.compeleceng.2021.106990
GNS3. (2026). GNS3 documentation: Adding VMware VMs to GNS3 topologies. https://docs.gns3.com/
Harrington, D., Presuhn, R., & Wijnen, B. (2002). An architecture for describing Simple Network Management Protocol (SNMP) management frameworks (RFC 3411). Internet Engineering Task Force. https://doi.org/10.17487/RFC3411
IEEE. (2022). IEEE Standard for Local and Metropolitan Area Networks-Bridges and Bridged Networks (IEEE Std 802.1Q-2022). Institute of Electrical and Electronics Engineers.
Jamil, H., Ali, A., & Jamil, F. (2022). Spoofing attack mitigation in Address Resolution Protocol (ARP) and DDoS in Software-Defined Networking. Journal of Information Security and Cybercrimes Research, 5(1), 35-46.
Jung, C., Kim, S., Jang, R., Mohaisen, D., & Nyang, D. H. (2022). A scalable and dynamic ACL system for in-network defense. In Proceedings of the 2022 ACM SIGSAC Conference on Computer and Communications Security (pp. 1679-1693). https://doi.org/10.1145/3548606.3560606
Lechowicz, P., Natalino, C., Karunakaran, V., Autenrieth, A., Bauschert, T., & Monti, P. (2024). Trade-offs in implementing unsupervised anomaly detection with TAPI-based streaming telemetry. In 2024 IEEE International Conference on High Performance Switching and Routing. https://doi.org/10.1109/HPSR62440.2024.10635922
McCloghrie, K., & Kastenholz, F. (2000). The interfaces group MIB (RFC 2863). Internet Engineering Task Force. https://doi.org/10.17487/RFC2863
Norseth, K., & Bell, E. (2006). Definitions of managed objects for bridges (RFC 4188). Internet Engineering Task Force. https://doi.org/10.17487/RFC4188
Page, M. J., McKenzie, J. E., Bossuyt, P. M., Boutron, I., Hoffmann, T. C., Mulrow, C. D., Shamseer, L., Tetzlaff, J. M., Akl, E. A., Brennan, S. E., Chou, R., Glanville, J., Grimshaw, J. M., Hróbjartsson, A., Lalu, M. M., Li, T., Loder, E. W., Mayo-Wilson, E., McDonald, S., McGuinness, L. A., Stewart, L. A., Thomas, J., Tricco, A. C., Welch, V. A., Whiting, P., & Moher, D. (2021). The PRISMA 2020 statement: An updated guideline for reporting systematic reviews. BMJ, 372, n71. https://doi.org/10.1136/bmj.n71
Robles-Enciso, A., Bernabé Murcia, J. M., Molina Zarca, A., & Skarmeta Gomez, A. (2025). Dynamic multi-method allocation for intent-based security orchestration. Journal of Network and Systems Management, 33(1). https://doi.org/10.1007/s10922-024-09896-8
Sworna, Z. T., Babar, M. A., & Sreekumar, A. (2023). IRP2API: Automated mapping of cyber security incident response plan to security tools' APIs. Proceedings of the 2023 IEEE International Conference on Software Analysis, Evolution and Reengineering (SANER), 546-557. https://doi.org/10.1109/SANER56733.2023.00057
