Costruzione del Laboratorio Wintermute: Costruzione di un Ambiente di Penetration Testing Isolato | Fondamenti di Test di Sicurezza Etico con Python: Una Guida Pratica per Principianti

Costruzione del Lab Wintermute: Costruzione di un Ambiente Isolato per Penetration Testing

A questo punto hai padronanza del linguaggio — la sintassi di Python, la triade CIA, cosa significa effettivamente una CVE quando leggi un report. Ma conoscere le parole e pronunciarle in una stanza sono cose diverse. Questa pagina è dove smettiamo di parlare e iniziamo a costruire. Il Lab Wintermute è il nostro campo di addestramento autorizzato: una workstation attaccante Kali, un server Metasploitable2 e un target web DVWA, tutti rinchiusi all'interno di una rete VirtualBox che non può toccare nulla a cui tieni. Ho ricostruito questo lab forse trenta volte su macchine diverse, versioni di SO diverse, diverse coorti di studenti. I passaggi seguenti sono quelli che sopravvivono a quel attrito.

Preparazione dell'Host e Installazione di VirtualBox

VirtualBox è gratuito, cross-platform e sufficiente per le nostre esigenze. VMware Workstation è software commerciale con più funzionalità; VMware Player è gratuito ma con funzionalità limitate. Uso VirtualBox per l'insegnamento perché ogni studente può installare la stessa cosa indipendentemente dal fatto che il suo laptop abbia cinque anni o sia nuovissimo. Controlla l'ultima release sul sito ufficiale invece di fidarti di quello che il tuo package manager sostiene sia aggiornato — il ritardo dei repository su alcune distribuzioni è reale.

Scarica l'installer per il tuo SO host. Il processo è semplice: esegui l'installer, accetta gli avvisi sul driver di rete (VirtualBox installa schede di rete virtuali che il tuo firewall noterà) e riavvia se richiesto. Su un host Kali Linux, lanceresti VirtualBox da terminale con virtualbox, ma la maggior parte di voi è su host Windows o macOS per questa costruzione. Questa distinzione conta in seguito solo se provi a seguire istruzioni specifiche per host Kali dalla documentazione — i documenti di Kali separano esplicitamente "installare VirtualBox su Kali" da "installare Kali dentro VirtualBox", e mescolare quei percorsi fa perdere un'ora.

Creazione della Rete Isolata: NAT Network, Non Bridge

Ecco il fallimento più comune che vedo nei lab degli studenti: lasciano l'adattatore NAT predefinito, che permette alle VM di raggiungere internet tramite l'host, o peggio fanno il bridge verso la NIC fisica, che mette i loro target vulnerabili sulla stessa rete del laptop del loro coinquilino. Abbiamo bisogno di qualcosa di più stretto.

In VirtualBox, naviga su File → Preferenze → Rete → NAT Networks. Clicca l'icona più per creare una nuova NAT Network. Chiamala Wintermute-Isolated. Non allegare un server DHCP se vuoi controllo statico, ma DHCP è accettabile per i principianti — annota semplicemente quali indirizzi assegna. L'impostazione critica: assicurati che questa rete non abbia alcuna rotta verso la tua rete di produzione. La modalità NAT Network dà alle VM accesso internet in uscita tramite la connessione dell'host mantenendole su un segmento privato. Per pratica di vera air-gap, puoi disabilitare completamente il gateway della NAT Network dopo gli aggiornamenti iniziali, ma questa è una variazione avanzata.

Perché questo è importante: Un adattatore bridge fa apparire la tua VM vulnerabile come una macchina fisica sulla tua rete locale. Chiunque altro su quel WiFi del caffè può scannerizzarla. NAT Network mantiene il traffico all'interno dello switch virtuale di VirtualBox a meno che non crei esplicitamente dei fori.

Kali Linux: La Workstation Attaccante

Kali Linux è una distribuzione rolling basata su Debian mantenuta per i test di sicurezza. È supportata su piattaforme amd64 (64-bit). Hai due percorsi: scaricare l'immagine VMware pre-costruita (formato di denominazione kali-linux-YYYY.N-vmware-ARCH, anche se i numeri di versione cambiano continuamente essendo una distribuzione rolling) o installare da ISO in una VM guest fresca. Per VirtualBox, il percorso ISO è più pulito — le immagini VMware funzionano ma necessitano di conversione di formato che confonde i principianti.

Crea una nuova VM in VirtualBox: tipo Linux, versione Debian 64-bit. L'allocazione della memoria dipende dal tuo host; 4 GB è funzionale, 8 GB è confortevole. La documentazione segnala che i requisiti variano a seconda di cosa vuoi installare e della tua configurazione, quindi non entrare in panico se il tuo laptop ha solo 16 GB totali — Kali girerà snello se eviti le opzioni GUI più pesanti.

Avvia l'ISO, seleziona installazione grafica e procedi attraverso il partizionamento del disco. Installare Kali Linux su hard disk cancella i dati esistenti; il backup su supporti esterni è consigliato prima di qualsiasi installazione di SO, anche in una VM (la corruzione degli snapshot succede). Quando raggiungi la schermata di configurazione di rete, allega la VM a Wintermute-Isolated.

Dopo l'installazione, installa le Guest Additions di VirtualBox per appunti condivisi e ridimensionamento dinamico. La procedura esatta varia in base alla versione di VirtualBox — monta l'ISO delle Guest Additions dal menu Dispositivi di VirtualBox, esegui l'installer e riavvia. Se mancano gli header del kernel, installali dai repository di Kali (che usano la struttura della versione stabile attuale di Debian insieme a quella propria di Kali).

Imposta un IP statico per consistenza. Modifica /etc/network/interfaces o usa NetworkManager, a seconda della tua versione di Kali. Useremo 192.0.2.10 per la workstation attaccante — questo è dal range di documentazione TEST-NET-1, garantito per non instradare sul vero internet.

Verifica la connettività prima di procedere:

ip addr show
# output illustrativo — verifica sul tuo target: cerca 192.0.2.10/24 sulla tua interfaccia primaria ping -c 3 192.0.2.1
# output illustrativo — verifica sul tuo target: risposte dal gateway NAT Network

Il Primo Snapshot: Baseline Pre-Engagement

Prima di toccare un target, prima di eseguire una singola scansione, fai uno snapshot della VM Kali. In VirtualBox, Macchina → Cattura Snapshot. Chiamalo 01-CLEAN-INSTALL. Questa è la tua macchina del tempo. Ho visto studenti saltare questo passaggio, eseguire un exploit distruttivo che non capiscono, corrompere il loro unico ambiente funzionante e passare tre giorni a ricostruire invece che a imparare. Lo snapshot è trenta secondi ora contro tre ore dopo.

La nostra strategia di snapshot per Wintermute ha tre gate:

Pre-engagement: Installazione pulita, tutti gli aggiornamenti applicati, strumenti verificati.
Pre-exploit: Immediatamente prima di eseguire qualsiasi codice di attacco contro un target.
Post-cleanup: Dopo aver documentato i risultati, prima di passare a una nuova categoria di attacco.

Il rollback completo significa ripristinare a 01-CLEAN-INSTALL e procedere in avanti, o ripristinare a 02-PRE-EXPLOIT prima di ogni nuova tecnica. Tengo un foglio di calcolo con i nomi degli snapshot e cosa stavo testando — la memoria è fallibile alle 2 del mattino.

Metasploitable2: Il Target Deliberatamente Vulnerabile

Metasploitable 2 è una VM Ubuntu Linux intenzionalmente vulnerabile progettata per testare vulnerabilità comuni. Include più vulnerabilità rispetto all'immagine Metasploitable originale. I punti di download includono la pagina informativa di Rapid7 e SourceForge; il file compresso è di circa 800 MB. Verifica il tuo download — le fonti non forniscono checksum specifici, quindi controlla la pagina di download per qualunque meccanismo di verifica offra la release attuale.

Metasploitable 2 è compatibile con VMware, VirtualBox e altre piattaforme di virtualizzazione comuni. Importa il .vmdk in una nuova VM VirtualBox: crea una VM Linux/Ubuntu, allega l'immagine disco esistente e posizionala su Wintermute-Isolated.

⚠️ Solo uso autorizzato e difensivo. Metasploitable 2 non deve mai essere esposto a una rete ostile. Questa VM esiste per essere violata; esporla a internet o alla rete universitaria è negligenza, non educazione.

Avvia Metasploitable2. Al prompt di login, le credenziali predefinite sono msfadmin / msfadmin. Vedrai il prompt msfadmin@metasploitable:~$. Controlla la configurazione di rete:

ifconfig
# output illustrativo — verifica sul tuo target: cerca eth0 con un IP nel range della tua NAT Network

Le interfacce di rete di Metasploitable 2 sono legate ad adattatori di rete NAT e Host-only per impostazione predefinita in alcune distribuzioni dell'immagine. Se ifconfig mostra un indirizzo inatteso, regola nelle impostazioni di rete di VirtualBox. Vogliamo questa VM su Wintermute-Isolated con un indirizzo statico nel nostro range di documentazione. Le fonti non stabiliscono indirizzi IP specifici per Metasploitable2, quindi configura ciò che corrisponde al tuo piano — io uso 192.0.2.20 nei miei lab per consistenza con lo scenario in corso.

Installa i pacchetti necessari per determinati esercizi:

sudo apt-get update
sudo apt-get install rpcbind nfs-common

Fai uno snapshot di questa VM come 01-METASPLOITABLE-CLEAN. Corromperai intenzionalmente questa macchina; lo snapshot ti permette di farlo ripetutamente.

DVWA: Il Target Applicazione Web

DVWA (Damn Vulnerable Web Application) è un repository pubblico GitHub di digininja. I suoi obiettivi includono aiutare i professionisti della sicurezza a testare le competenze legalmente, aiutare gli sviluppatori web a proteggere le applicazioni e assistere con l'educazione sulla sicurezza delle applicazioni web — anche se la fiducia della fonte su questi obiettivi è bassa, il valore educativo è ben consolidato in pratica.

Crea una terza VM su Wintermute-Isolated. Installa una distribuzione Linux leggera — Debian o Ubuntu Server — e configura Apache, PHP e MySQL. Clona il repository DVWA nella tua root web. I passaggi di installazione specifici variano in base alla release; segui il README attuale. Imposta il livello di sicurezza a low inizialmente per l'apprendimento, comprendendo che questo è deliberatamente insicuro.

In termini semplici: DVWA è un'applicazione web rotta che sei autorizzato a violare. Ha pulsanti che fanno SQL injection di proposito. Il tuo compito non è sorprendere lo sviluppatore — non c'è nessuno sviluppatore da sorprendere — ma vedere come avviene la rottura così da riconoscerla poi in codice reale.

Posiziona DVWA sulla tua rete isolata. Io uso 192.0.2.30 nei miei lab. Fai uno snapshot come 01-DVWA-CLEAN.

Piattaforme Esterne: TryHackMe e Hack The Box

Il Lab Wintermute è il tuo ambiente locale, completamente controllato. Complementalo con piattaforme esterne che forniscono i propri modelli di autorizzazione. TryHackMe e Hack The Box offrono lab accessibili via browser o connessi tramite VPN dove l'autorizzazione legale è gestita dalla piattaforma — attacchi macchine che loro possiedono e ti permettono esplicitamente di testare. Queste non sono sostituti per capire la costruzione del tuo lab, ma estendono la tua pratica quando hai bisogno di varietà oltre la nostra configurazione a tre VM.

Le specifiche operative di queste piattaforme cambiano regolarmente; controlla la loro documentazione attuale per i metodi di accesso. Il principio chiave: non confondere mai i loro target autorizzati con sistemi che non possiedi.

Verifica dell'Isolamento: Il Controllo Critico

Prima di qualsiasi esercizio dalle pagine successive, conferma che il tuo lab non possa raggiungere l'esterno. Da Kali (192.0.2.10):

ip route
# output illustrativo — verifica sul tuo target: cerca il gateway predefinito via 192.0.2.1, nessun'altra rotta ping -c 3 8.8.8.8
# output illustrativo — verifica sul tuo target: dovrebbe fallire — nessuna rotta verso reti esterne ping -c 3 google.com
# output illustrativo — verifica sul tuo target: dovrebbe fallire — la risoluzione DNS può fallire anche lei a seconda della config NAT Network

Se questi ping hanno successo, il tuo isolamento è compromesso. Controlla le impostazioni di rete di VirtualBox: l'adattatore è allegato a Wintermute-Isolated o a qualcos'altro? C'è un secondo adattatore abilitato? Sistema prima di procedere.

Da Metasploitable2, verifica analogamente che non possa raggiungere la rete fisica del tuo host o internet. Una macchina vulnerabile che può telefonare a casa è una macchina che può essere reclutata nel botnet di qualcun altro.

Risoluzione dei Problemi Comuni di Rete VirtualBox

Sintomo: Le VM sulla stessa NAT Network non riescono a farsi ping reciprocamente. Causa: La NAT Network di VirtualBox richiede il port forwarding esplicito per connessioni in entrata; il traffico VM-to-VM dovrebbe funzionare ma a volte necessita che la casella "cavo collegato" sia spuntata nelle impostazioni dell'adattatore. Soluzione: Spegni le VM, apri le preferenze di rete di VirtualBox, verifica che Wintermute-Isolated esista e sia attiva. Controlla che l'adattatore di ogni VM sia allegato a questa rete nominata, non "NAT" (non qualificato) o "Bridged."

Sintomo: Kali non ottiene un indirizzo IP. Causa: Server DHCP disabilitato nelle impostazioni NAT Network, o Guest Additions che non forniscono supporto interfaccia adeguato. Soluzione: Abilita DHCP nella NAT Network, o configura IP statico manualmente. Verifica che ip link show riporti l'interfaccia come UP.

Sintomo: Metasploitable2 si avvia ma la rete è irraggiungibile. Causa: Il .vmdk importato conserva impostazioni di rete VMware che non si mappano agli adattatori VirtualBox. Soluzione: Rimuovi tutti gli adattatori di rete nelle impostazioni di VirtualBox, riaggiungine uno allegato a Wintermute-Isolated, avvia e controlla ifconfig per la presenza di eth0.

Lab Wintermute: Checklist dello Stato di Prontezza

Componente	Indirizzo	Nome Snapshot	Verificato
Workstation attaccante Kali	192.0.2.10	01-CLEAN-INSTALL	☐
Target Metasploitable2	192.0.2.20	01-METASPLOITABLE-CLEAN	☐
Target web DVWA	192.0.2.30	01-DVWA-CLEAN	☐
Isolamento verificato (nessuna rotta esterna)	—	—	☐
Ping host-to-VM funzionante	—	—	☐
Ping VM-to-VM funzionante	—	—	☐

Completa questa checklist prima di passare alla Pagina 5. Un lab incompleto sprecherà il tuo tempo con misteri di rete invece che con concetti di sicurezza. Ho visto studenti passare intere sessioni di lab a debuggare DHCP quando avrebbero dovuto imparare lo scanning delle porte. La disciplina della verifica è essa stessa una competenza di sicurezza — i sistemi di produzione non vengono con un pulsante "fidati di me."

Il tuo ambiente è costruito. I tuoi snapshot sono congelati. La prossima pagina inizia il lavoro vero e proprio: ricognizione e mappatura di rete, capire cosa vede un attaccante quando guarda un target che è autorizzato a valutare.