Introduzione alla Ricognizione di Rete
La ricognizione è il primo passo fondamentale in qualsiasi operazione di sicurezza informatica. Consente di raccogliere informazioni su un sistema target prima di intraprendere azioni più invasive. Questo processo è suddiviso in tre fasi principali: Footprinting, Scanning ed Enumeration. Comprendere queste fasi e gli strumenti associati è essenziale per valutare la superficie di attacco e pianificare strategie di difesa.
Fasi della Ricognizione
1. Footprinting
Il footprinting consiste nella raccolta di informazioni pubbliche e passive su un sistema. L’obiettivo è ottenere una panoramica generale senza interagire direttamente con il target. Tecniche comuni includono:
- Ricerca di domini e record DNS.
- Analisi di registri WHOIS.
- Utilizzo di motori di ricerca e servizi come Shodan (che indicizza solo i banner, non il contenuto completo dei dispositivi).
2. Scanning
Durante lo scanning si identificano sistemi attivi, porte aperte e servizi in ascolto. Gli scanner più diffusi sono Nmap e TheHarvester. Alcune opzioni chiave includono:
- SYN scan (-sS): invia pacchetti SYN senza completare il handshake, risultando più stealth.
- TCP connect scan (-sT): completa il handshake TCP, più facile da rilevare.
- UDP scan (-sU): spesso produce risultati ambigui; la mancanza di risposta può indicare porte aperte o filtrate.
- -A: combina rilevamento OS, versioni, script e traceroute in un unico comando.
3. Enumeration
L'enumeration approfondisce i dettagli dei servizi identificati, estraendo informazioni come nomi utente, condivisioni di rete e versioni software. Tecniche tipiche includono:
- Interrogazione di server DNS tramite zone transfer (che può rivelare tutti gli hostname interni).
- Utilizzo di strumenti come Wireshark per catturare e analizzare pacchetti in modalità promiscua.
Strumenti Principali
Wireshark
Wireshark è lo strumento open‑source più diffuso per la cattura e l’analisi dei pacchetti di rete. Permette di mettere le interfacce in modalità promiscua, consentendo la lettura di tutto il traffico presente sul segmento di rete.
TheHarvester
TheHarvester è uno strumento di raccolta di informazioni che consente di estrarre dati da diverse fonti pubbliche. L’opzione -b specifica la fonte di ricerca (ad esempio, Google, Bing o Shodan).
Nmap
Nmap è il più noto scanner di porte e mapper di rete. Oltre alle opzioni di scansione già citate, Nmap può distinguere tra port scanner (focus su porte e servizi) e network mapper (focus su host e topologia).
Registri Internet Regionali
Per la gestione degli indirizzi IP, il mondo è suddiviso in registri regionali. L’RIPE NCC (Réseaux IP Européens Network Coordination Centre) è responsabile per l’Europa, il Medio Oriente e l’Asia Centrale.
Domande Frequenti
| Domanda | Risposta | Dettaglio |
|---|---|---|
| Quali sono le tre fasi principali della ricognizione? | Footprinting, Scanning, Enumeration | Footprinting raccoglie info, Scanning scopre sistemi attivi e porte, Enumeration estrae dati dettagliati. |
| Il footprinting consiste nelle tecniche utili a raccogliere informazioni su un {{sistema}} prima di attaccarlo. | sistema | |
| Un server DNS interno vulnerabile può rivelare tutti gli hostname tramite un zone transfer. | True | Il zone transfer espone l’intero database DNS, inclusi gli hostname interni. |
| Differenza tra SYN scan (-sS) e TCP connect scan (-sT)? | SYN scan: half‑open, stealthier | TCP connect: full handshake, easier to detect | SYN non completa l’handshake, rendendolo meno visibile; TCP connect completa l’handshake, più rilevabile. |
| Quale registro internet regionale gestisce gli IP per Europa, Medio Oriente e Asia Centrale? | RIPE NCC | RIPE NCC serve queste regioni. |
| Il comando {{dig}} di Linux consente di interrogare i server DNS ed eseguire ricerche DNS. | dig | |
| UDP scan (-sU) è un metodo affidabile per determinare lo stato delle porte. | False | Le scansioni UDP spesso danno risultati ambigui; l’assenza di risposta può significare porta aperta o filtrata. |
| Port scanner vs Network mapper: focus principale? | Port scanner: detect open ports/services | Network mapper: map hosts and topology | Port scanner indaga porte su host specifici; network mapper scopre host e loro ruoli nella rete. |
| Quale strumento open‑source è più usato per catturare e analizzare pacchetti in modalità promiscua? | Wireshark | Wireshark può mettere le interfacce in modalità promiscua per leggere tutto il traffico. |
| In TheHarvester, l’opzione {{-b}} specifica la fonte della ricerca. | -b | |
| Shodan indicizza il contenuto reale dei dispositivi, non solo le informazioni di banner. | False | Shodan indicizza solo i banner, non il contenuto completo. |
| Quale opzione di Nmap abilita rilevamento OS, versioni, script e traceroute in un unico comando? | -A | L’opzione aggressiva (-A) combina più funzionalità di rilevamento. |
Best Practices per una Ricognizione Efficace
- Inizia con il footprinting passivo. Raccogli quante più informazioni pubbliche possibile prima di interagire con il target.
- Scegli il tipo di scansione appropriato. Usa SYN scan per stealth, TCP connect per semplicità, e UDP scan con cautela.
- Combina più strumenti. Nmap per scansioni dettagliate, TheHarvester per fonti pubbliche, e Wireshark per analisi del traffico.
- Verifica i risultati. Un risultato ambiguo (es. UDP) richiede ulteriori verifiche o tecniche alternative.
- Documenta ogni passaggio. Mantieni un registro chiaro delle query DNS, dei risultati di scansione e delle eventuali vulnerabilità riscontrate.
Conclusione
La ricognizione di rete è un processo strutturato che parte dalla raccolta passiva di dati, passa per la scansione attiva e culmina nell’enumerazione dettagliata. Utilizzando gli strumenti giusti – dig, Nmap, TheHarvester e Wireshark – e comprendendo le differenze tra le varie tipologie di scansione, è possibile ottenere una visione completa della superficie di attacco. Conoscere il ruolo dei registri regionali come RIPE NCC e le limitazioni di servizi come Shodan completa il quadro, consentendo di pianificare sia attacchi che difese in modo informato e responsabile.
