TLDR

  • Attaccare una singola macchina insegna le basi. Ma le infrastrutture reali sono fatte di più reti collegate: è lì che si gioca la partita vera, tra un segmento e l'altro.
  • GNS3 è un simulatore di reti: ti permette di costruire topologie con più sottoreti, router e macchine, tutto dentro il tuo computer, tutto isolato.
  • Il concetto chiave è il pivoting: usare una macchina compromessa come ponte per raggiungere una rete che non vedevi dall'esterno. È come funzionano gli attacchi seri.
  • La contromisura è la segmentazione: progettare la rete perché una macchina bucata non apra automaticamente la strada a tutto il resto. Costruire il lab ti insegna a difenderlo.

Perché conta ora

Finora hai attaccato macchine singole: una VM, un IP, un bersaglio che vedevi direttamente. È il modo giusto per imparare le basi. Ma non è come sono fatte le infrastrutture vere.

Una rete reale è un insieme di sottoreti collegate: la parte esposta a internet, la rete interna degli uffici, il segmento dei server, magari una zona separata per i sistemi critici. L'attaccante che buca il server web non ha finito: ha solo messo un piede nella porta più esterna. Il bersaglio che conta — il database, il controller di dominio — vive più in profondità, in una rete che dall'esterno non si vede nemmeno.

Per capire questo serve un laboratorio che abbia più reti, non una macchina sola. È quello che costruisci con GNS3. E come sempre, tutto vive isolato: le topologie di GNS3 sono un mondo a sé, esattamente come il laboratorio con Kali e Metasploitable. Nulla tocca la tua rete o internet.

Cos'è GNS3

GNS3 è un simulatore di reti. Invece di comprare router e cavi, disegni la rete sullo schermo: metti un router, due switch, qualche macchina, li colleghi con un tratto di mouse, e GNS3 li fa funzionare come apparati veri. È lo strumento con cui si progettano reti e ci si prepara alle certificazioni di networking — e con cui, per i nostri scopi, si ricostruiscono scenari d'attacco realistici.

La cosa potente è che dentro una topologia GNS3 puoi inserire le stesse VM che già usi: la tua Kali come macchina dell'attaccante, una Metasploitable come bersaglio. Solo che ora le disponi su reti diverse, collegate da un router, come nella realtà.

La topologia che insegna tutto: la rete a due livelli

Non serve una topologia complessa per capire il concetto più importante. Ne basta una a due reti.

Immagina questo disegno in GNS3:

  • Rete A — la zona esposta (DMZ). Qui c'è un server raggiungibile dall'attaccante: la parte pubblica, quella che in un'azienda vera affaccia su internet.
  • Rete B — la rete interna. Qui vivono i sistemi che contano. Non è raggiungibile direttamente dall'attaccante: solo il server della Rete A, che ha un piede in entrambe, può parlarci.
  • Un router in mezzo che tiene separate le due reti.

La tua Kali sta fuori e vede solo il server esposto della Rete A. Il bersaglio interno, nella Rete B, per lei non esiste: non può nemmeno contattarlo. Questa è la situazione di ogni attacco reale.

Il concetto chiave: il pivoting

Ecco come si supera quel muro, ed è il cuore di tutto.

  1. Buchi il server esposto della Rete A, con il metodo che già conosci: enumeri, trovi un servizio vulnerabile, ottieni una shell. Fin qui è il percorso di Metasploitable 2.
  2. Ti accorgi che quella macchina vede la Rete B. Lei, a differenza di te, ha un piede nella rete interna. Dalla tua shell puoi esplorare una rete che dall'esterno era invisibile.
  3. Usi la macchina compromessa come ponte. Fai passare il tuo traffico attraverso di lei per raggiungere i sistemi interni. Questo è il pivoting: la macchina bucata diventa il tuo trampolino verso il livello successivo.

Da qui, l'attacco ricomincia da capo contro i bersagli interni — enumerazione, vulnerabilità, shell — ma stavolta nel cuore della rete. È il movimento laterale: ci si sposta di macchina in macchina, sempre più in profondità.

Nessuna singola VM può insegnarti questo. Serve proprio una topologia a più reti, ed è il motivo per cui GNS3 è il passo successivo del laboratorio.

Cosa hai imparato davvero

Che un attacco serio non è bucare una macchina: è attraversare una rete. Il primo accesso è solo l'inizio. Il valore sta nel capire come, da un punto d'appoggio periferico, si arriva al cuore dell'infrastruttura passando di ponte in ponte.

E hai imparato a vedere la rete come la vede chi attacca: non come uno schema sul foglio, ma come una serie di confini da superare, ognuno dei quali è forte o debole a seconda di come è stato progettato.

La lettura difensiva

Qui l'attacco e la difesa sono due facce dello stesso disegno. Costruire la topologia ti insegna, inevitabilmente, come renderla sicura.

  • Segmenta sul serio. La ragione per cui il pivoting funziona è che la macchina esposta poteva parlare liberamente con la rete interna. Una segmentazione ben fatta limita cosa una macchina può raggiungere: il server web non ha motivo di contattare il database degli stipendi. Meno strade aperte tra i segmenti, meno lontano arriva chi entra.
  • Applica il privilegio minimo alla rete. Come per gli utenti, anche per le macchine: ciascuna deve poter raggiungere solo ciò che le serve per funzionare. Ogni connessione permessa "per comodità" è un ponte regalato all'attaccante.
  • Metti i sistemi critici dietro più confini. Il bersaglio che conta non sta mai nella stessa rete della parte esposta. Più livelli deve attraversare chi attacca, più occasioni hai di fermarlo e di accorgertene.
  • Monitora il traffico tra i segmenti. Una connessione dal server web verso la rete interna, se non è prevista, è esattamente il segnale del pivoting in corso. Una rete che osserva i suoi confini trasforma il movimento laterale in un allarme.

Questo è il senso della segmentazione, e GNS3 è il posto migliore per capirla: la costruisci sbagliata, ne sfrutti il difetto, poi la ridisegni giusta e vedi l'attacco fermarsi. Pochi esercizi insegnano la difesa così bene.

La cosa da ricordare

Il salto dalla macchina singola alla rete è il salto da chi gioca a chi capisce come funzionano gli attacchi veri. GNS3 ti dà il terreno per farlo, isolato e tuo, dove puoi rompere e ricostruire quanto vuoi.

Prima di costruire la rete, assicurati di saper bucare i suoi nodi: parti dal laboratorio di base e dal primo root su Metasploitable 2. Poi disponi quelle stesse macchine su reti diverse, e inizia ad attraversarle.

FAQ

Cos'è GNS3 in parole semplici?

Un programma che simula reti di computer. Invece di avere router e macchine fisiche, li disegni sullo schermo e li colleghi: GNS3 li fa funzionare come se fossero veri. È lo strumento con cui si progettano e si studiano le reti, usato anche per prepararsi alle certificazioni di networking.

Perché mi serve, se so già attaccare una VM?

Perché una VM isolata è un caso semplice. Nelle reti reali il bersaglio interessante non è raggiungibile dall'esterno: ci arrivi solo passando per un'altra macchina. GNS3 ti fa costruire proprio questo scenario a più livelli, impossibile da riprodurre con una sola VM.

È tutto isolato dalla rete di casa?

Sì, ed è il punto. Le topologie di GNS3 vivono in un ambiente loro. Costruisci reti, le attacchi, le rompi, senza che nulla tocchi la tua rete domestica o internet. È lo stesso principio di isolamento del laboratorio con Kali e Metasploitable.

Cos'è il pivoting?

È usare una macchina che hai compromesso come trampolino per raggiungere un'altra rete, invisibile dall'esterno. Buchi il server esposto, e da lì — che invece vede la rete interna — raggiungi i sistemi che prima non potevi nemmeno contattare. È il cuore del movimento laterale.

GNS3 è difficile da usare?

Ha una curva iniziale, perché tocchi concetti di rete veri. Ma si parte da topologie minime — due reti e una macchina che fa da ponte — e si cresce. Per chi vuole capire la sicurezza oltre la singola macchina, l'investimento vale ogni minuto.

Fonti