Rispecchiamento del traffico

Gli aggressori utilizzano il mirroring del traffico per intercettare, acquisire e analizzare le comunicazioni di rete senza autorizzazione. Duplicando il traffico di rete e indirizzandolo verso una posizione da loro controllata, gli aggressori possono ottenere l'accesso a informazioni sensibili, monitorare le comunicazioni e sfruttare le vulnerabilità all'interno di una rete.

Motivi principali per cui gli aggressori utilizzano il mirroring del traffico

Intercettazione di dati sensibili

• Raccolta delle credenziali: gli aggressori possono intercettare nomi utente, password e token di autenticazione trasmessi sulla rete. Ciò consente l'accesso non autorizzato a sistemi, applicazioni e servizi.
• Furto di dati: informazioni sensibili quali dati personali, documenti finanziari, proprietà intellettuale e comunicazioni aziendali riservate possono essere intercettate e sottratte.
• Dirottamento della sessione: acquisendo i cookie o i token di sessione, gli aggressori possono dirottare le sessioni attive degli utenti, impersonando utenti legittimi per ottenere ulteriore accesso.

Ricognizione e sorveglianza della rete

• Mappatura della rete: l'analisi del traffico mirrorato aiuta gli aggressori a comprendere la topologia della rete, identificare dispositivi, servizi e modelli di comunicazione.
• Identificazione delle vulnerabilità: l'analisi del traffico può rivelare software obsoleti, protocolli non sicuri, configurazioni errate o metodi di crittografia deboli che possono essere sfruttati.
• Intercettazioni: gli aggressori possono monitorare le comunicazioni per raccogliere informazioni, spiare conversazioni sensibili o raccogliere informazioni per attacchi futuri.

Elusione delle misure di crittografia e sicurezza

• Intercettazione SSL/TLS: se gli aggressori riescono a intercettare il traffico crittografato prima che venga crittografato o dopo che è stato decrittografato, possono accedere ai dati in chiaro.
• Evitare il rilevamento: replicando il traffico internamente, gli aggressori possono aggirare le misure di sicurezza perimetrali come firewall e sistemi di rilevamento delle intrusioni che monitorano le minacce esterne.

Facilitare attacchi avanzati

• Attacchi Man-in-the-Middle (MitM): il mirroring del traffico consente agli aggressori di posizionarsi tra le parti in comunicazione, permettendo loro di intercettare, modificare o inserire dati dannosi nel flusso di comunicazione.
• ComunicazioneCommand and Control C2): gli aggressori possono stabilire canali segreti all'interno del traffico mirrorato per controllare i sistemi compromessi senza destare sospetti.
• Iniezione di malware: manipolando il traffico, gli aggressori possono inviare malware ai sistemi presi di mira.

Esfiltrazione dei dati

• Trasferimento dati invisibile: il traffico mirrorato può essere utilizzato per esfiltrare grandi quantità di dati nel tempo, riducendo la probabilità di essere rilevati.
• Codifica dei dati e steganografia: gli aggressori possono nascondere i dati all'interno di modelli di traffico o file legittimi, rendendo meno evidente l'esfiltrazione.

Metodi utilizzati dagli aggressori per implementare il mirroring del traffico

Compromissione dei dispositivi di rete

• Router e switch: Ottenere accesso non autorizzato ai dispositivi dell'infrastruttura di rete per configurare il mirroring delle porte o le sessioni SPAN (Switch Port Analyzer).
• Network tap: installazione fisica di dispositivi che intercettano i cavi di rete per acquisire il traffico senza interrompere le operazioni di rete.

Installazione di software dannoso

• Sniffer di pacchetti: implementazione di software come Wireshark, tcpdump o sniffer personalizzati su sistemi compromessi per catturare i pacchetti di rete.
• Rootkit e malware: utilizzo malware avanzato malware opera a livello di kernel per intercettare le comunicazioni di rete in modo invisibile.

Sfruttamento delle vulnerabilità dei protocolli

• ARP Spoofing/Poisoning: Manipolazione delle tabelle del protocollo ARP (Address Resolution Protocol) per reindirizzare il traffico attraverso il sistema dell'autore dell'attacco.
• Spoofing DNS: reindirizzamento del traffico tramite la corruzione delle risposte DNS per indirizzare gli utenti verso siti dannosi.

Compromissione delle reti wireless

• Punti di accesso non autorizzati: configurazione di punti di accesso wireless non autorizzati per intercettare il traffico wireless.
• Attacchi Evil Twin: imitazione di reti Wi-Fi legittime per indurre gli utenti a connettersi, consentendo agli aggressori di intercettare il loro traffico.