Costruiamo un “SOC domestico” con soli 100 Euro – Prima Parte

Alessandro Molinari : 19 Giugno 2024 07:47

Iniziamo oggi una nuova serie di articoli che esplorerà il mondo della sicurezza informatica da una prospettiva unica e completa, combinando entrambi i lati della sicurezza: il Red Team e il Blue Team. Questo approccio, comunemente noto come “Purple Team”, integra le tecniche offensive e difensive per fornire una comprensione olistica delle minacce e delle soluzioni di sicurezza.

Nel primo articolo della serie, vi guideremo attraverso il processo di creazione di un Security Operations Center (SOC) domestico con un budget di circa 100 euro. Sfruttando un miniPC dotato di 16 GB di RAM e un SSD esterno ad alta velocità, costruiremo un ambiente completo e funzionale per monitorare, analizzare e rispondere alle minacce.

Componenti del SOC Domestico

Il nostro SOC sarà composto da una serie di strumenti open-source potenti e versatili, integrati tra loro per offrire una soluzione di sicurezza completa. Ecco i componenti chiave:

1. Wazuh integrato con VirusTotal: per la gestione delle informazioni di sicurezza e la rilevazione delle minacce in tempo reale.
2. Shuffle: una piattaforma SOAR (Security Orchestration, Automation, and Response) per automatizzare i processi di risposta agli incidenti.
3. Cortex: per la raccolta e l’analisi dell’intelligence di sicurezza.
4. The Hive: per il management dei casi e la collaborazione tra team (voi e voi stessi in questo caso).

Panoramica del Laboratorio

CVE Enrichment Mentre la finestra tra divulgazione pubblica di una vulnerabilità e sfruttamento si riduce sempre di più, Red Hot Cyber ha lanciato un servizio pensato per supportare professionisti IT, analisti della sicurezza, aziende e pentester: un sistema di monitoraggio gratuito che mostra le vulnerabilità critiche pubblicate negli ultimi 3 giorni dal database NVD degli Stati Uniti e l'accesso ai loro exploit su GitHub. Cosa trovi nel servizio: ✅ Visualizzazione immediata delle CVE con filtri per gravità e vendor. ✅ Pagine dedicate per ogni CVE con arricchimento dati (NIST, EPSS, percentile di rischio, stato di sfruttamento CISA KEV). ✅ Link ad articoli di approfondimento ed exploit correlati su GitHub, per ottenere un quadro completo della minaccia. ✅ Funzione di ricerca: inserisci un codice CVE e accedi subito a insight completi e contestualizzati. Ricerca per singola CVE Ricerca le ultime CVE emesse Articolo sul CVE enrichment Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Per mettere alla prova il nostro SOC, creeremo una rete di test che includerà:

• Un container Ubuntu con Atomic Red Canary per simulare diversi tipi di attacchi basati sul framework MITRE ATT&CK.
• Due macchine Kali Linux: una all’interno della rete AD e una all’esterno, per eseguire attacchi manuali e testare le vulnerabilità da diverse prospettive.
• Un dominio Active Directory con un Domain Controller Windows Server 2019 e due membri del dominio Windows 10.

Abbiamo configurato il nostro laboratorio utilizzando Proxmox, una potente piattaforma di virtualizzazione open-source. La scelta di Proxmox è motivata dalla sua capacità di ottenere molto più di quanto sia possibile con macchine virtuali gestite in un ambiente di virtualizzazione di livello due, utilizzando anche hardware mediocre.

Differenze tra Livelli di Virtualizzazione

• Virtualizzazione di Livello Uno (Bare-Metal Hypervisor): In questo modello, l’hypervisor viene installato direttamente sull’hardware fisico, senza la necessità di un sistema operativo host. Questo tipo di virtualizzazione offre prestazioni quasi native, elevata efficienza e minore overhead. Esempi includono VMware ESXi, Microsoft Hyper-V e Proxmox VE.
• Virtualizzazione di Livello Due (Hosted Hypervisor): In questo modello, l’hypervisor viene eseguito sopra un sistema operativo host. Questo tipo di virtualizzazione è più facile da configurare ma comporta un maggiore overhead e prestazioni inferiori rispetto alla virtualizzazione di livello uno. Esempi includono VirtualBox e VMware Workstation.

Utilizzando Proxmox, possiamo gestire efficientemente diverse macchine virtuali e container con risorse hardware limitate, ottenendo prestazioni elevate grazie alla virtualizzazione di livello uno. Di seguito sono riportati alcuni screenshot che mostrano la configurazione del nostro ambiente di test:

Nella schermata sopra, è possibile vedere l’elenco delle macchine virtuali e dei container configurati nel nostro SOC. Ogni componente è etichettato chiaramente per facilitarne l’identificazione e la gestione.

La schermata delle risorse del sistema ci mostra l’utilizzo della CPU, della memoria e dello storage del nostro miniPC. Come si può notare, il nostro sistema è configurato per ottimizzare l’uso delle risorse disponibili, garantendo prestazioni efficienti. Come vediamo qui sopra abbiamo al momento attivi:

• 2 Containers Kali (uno interno alla rete di Active Directory ed uno al suo esterno)
• 2 Macchine Ubuntu Server (che non si sa mai uno non basti)
• 2 Macchine Windows di cui un Server – Domain Controller ed un Client “Batman” (più avanti , nella sezione dedicata agli attacchi ad Active Directory scopriremo che il suo local admin si chiama Bruce Wayne )

Prossimi Articoli

Nei prossimi articoli, esploreremo vari tipi di attacchi che possiamo lanciare contro questa rete e analizzeremo le tecniche di difesa implementate dal nostro SOC. Esamineremo in dettaglio sia le strategie del Red Team per compromettere la sicurezza dei sistemi, sia le tattiche del Blue Team per rilevare, mitigare e rispondere agli incidenti.

Conclusione

La costruzione di un SOC domestico non solo è una sfida interessante ma anche un modo eccellente per migliorare le proprie competenze in sicurezza informatica. Con un investimento minimo, possiamo creare un laboratorio avanzato che ci permetterà di esplorare e comprendere meglio le dinamiche di attacco e difesa.

Rimanete sintonizzati su RedHotCyber.com per il prossimo articolo della serie, dove una volta completata l’installazione degli altri componenti (Shuffle, The Hive e Cortex) costruiremo un SOC che non ha nulla da invidiare a quelli professionali ed un ambiente di test veramente completo.

Th3R3dP1ll
Direttore di Crociera per 6 mesi all'anno, parla Italiano, Inglese, Tedesco, Francese, Spagnolo, Portoghese, Russo e sta attualmente studiando Giapponese (quest'ultima senza grandi risultati... :) ). Detiene Comptia A+ , Network+ , Security+ Pentest+ ed eJPT e sta studiando per eCCPT e PNPT. Nel tempo libero fa sport e legge/ascolta libri dai 60 ai 120 minuti al giorno. Sostiene che con grandi poteri arrivino grandi responsabilitá, come quelle di educare chi ha difficoltà a navigare il mondo digitale ed eventualmente difenderlo/a dai “pirati” e dalle entità che danneggiano il pianeta e la libertà delle persone. Sostiene inoltre che il futuro naturale della vita biologica sia la fusione ed integrazione con il digitale, transizione che tra l'altro è già iniziata con il movimento del transumanesimo del quale é sostenitore.

Lista degli articoli