Mirroring del traffico

Gli aggressori utilizzano il mirroring del traffico per intercettare, catturare e analizzare le comunicazioni di rete senza autorizzazione. Duplicando il traffico di rete e indirizzandolo verso una posizione da loro controllata, gli aggressori possono accedere a informazioni sensibili, monitorare le comunicazioni e sfruttare le vulnerabilità di una rete.

I motivi principali per cui gli aggressori utilizzano il mirroring del traffico

Intercettazione di dati sensibili

• Raccolta di credenziali: Gli aggressori possono catturare nomi utente, password e token di autenticazione trasmessi in rete. Ciò consente l'accesso non autorizzato a sistemi, applicazioni e servizi.
• Furto di dati: Le informazioni sensibili, come i dati personali, i registri finanziari, la proprietà intellettuale e le comunicazioni aziendali riservate, possono essere intercettate ed esfiltrate.
• Dirottamento di sessione: Catturando i cookie o i token di sessione, gli aggressori possono dirottare le sessioni attive degli utenti, impersonando gli utenti legittimi per ottenere ulteriore accesso.

Ricognizione e sorveglianza della rete

• Mappatura della rete: L'analisi del traffico in mirroring aiuta gli aggressori a comprendere la topologia della rete, a identificare i dispositivi, i servizi e i modelli di comunicazione.
• Identificazione delle vulnerabilità: L'analisi del traffico può rivelare software obsoleto, protocolli insicuri, configurazioni errate o metodi di crittografia deboli che possono essere sfruttati.
• Intercettazioni: Gli aggressori possono monitorare le comunicazioni per raccogliere informazioni, spiare conversazioni sensibili o raccogliere informazioni per attacchi futuri.

Bypassare la crittografia e le misure di sicurezza

• Intercettazione SSL/TLS: Se gli aggressori riescono a intercettare il traffico crittografato prima o dopo la decodifica, possono accedere ai dati in chiaro.
• Evitare il rilevamento: Con il mirroring del traffico interno, gli aggressori possono aggirare le misure di sicurezza perimetrali come i firewall e i sistemi di rilevamento delle intrusioni che monitorano le minacce esterne.

Facilitare gli attacchi avanzati

• Attacchi Man-in-the-Middle (MitM): Il mirroring del traffico consente agli aggressori di posizionarsi tra le parti comunicanti, permettendo loro di intercettare, modificare o iniettare dati dannosi nel flusso di comunicazione.
• Command and Control (C2): Gli aggressori possono stabilire canali nascosti all'interno del traffico speculare per controllare i sistemi compromessi senza destare sospetti.
• Iniezione di malware: Manipolando il traffico, gli aggressori possono consegnare payload di malware ai sistemi bersaglio.

Estrazione di dati

• Trasferimento furtivo dei dati: Il traffico speculare può essere utilizzato per esfiltrare grandi quantità di dati nel tempo, riducendo le probabilità di rilevamento.
• Codifica e steganografia dei dati: Gli aggressori possono nascondere i dati all'interno di modelli di traffico o file legittimi, rendendo l'esfiltrazione meno evidente.

Metodi utilizzati dagli aggressori per implementare il mirroring del traffico

Compromissione dei dispositivi di rete

• Router e switch: Accesso non autorizzato ai dispositivi dell'infrastruttura di rete per configurare sessioni di port mirroring o SPAN (Switch Port Analyzer).
• Intercettazioni di rete: Installazione fisica di dispositivi che intercettano i cavi di rete per catturare il traffico senza interrompere le operazioni di rete.

Installazione di software dannoso

• Sniffer di pacchetti: Distribuzione di software come Wireshark, tcpdump o sniffer personalizzati sui sistemi compromessi per catturare i pacchetti di rete.
• Rootkit e malware: utilizzo di malware avanzato che opera a livello di kernel per intercettare le comunicazioni di rete in modo invisibile.

Sfruttare le vulnerabilità del protocollo

• Spoofing/avvelenamento ARP: Manipolazione delle tabelle dell'Address Resolution Protocol per reindirizzare il traffico attraverso il sistema dell'attaccante.
• Spoofing DNS: Reindirizzamento del traffico mediante la corruzione delle risposte DNS per inviare gli utenti a siti dannosi.

Compromissione delle reti wireless

• Punti di accesso non autorizzati: Impostazione di punti di accesso wireless non autorizzati per intercettare il traffico wireless.
• Attacchi Evil Twin: Imitare reti Wi-Fi legittime per indurre gli utenti a connettersi, consentendo agli aggressori di intercettare il loro traffico.