Monitoraggio e Hardening della Sicurezza della DMZ

CY376: Monitoraggio di Rete, Sicurezza e Auditing — Progetto di Fine Semestre Blue Team | Università delle Miniere e della Tecnologia, Tarkwa

Autore: Kennedy Kumi Holomah Numero di indice: FCM.41.018.148.23 ID studente: 9013004623

Panoramica

Questo progetto costruisce, protegge e monitora una zona demilitarizzata (DMZ) che ospita un server web Ubuntu/Apache esposto al pubblico, dietro un firewall pfSense, interamente all'interno di un laboratorio VMware Workstation isolato. È stato realizzato come esercitazione Blue Team per CY376 (Monitoraggio di Rete, Sicurezza e Auditing) presso l'Università delle Miniere e della Tecnologia di Tarkwa e dimostra un ciclo di difesa completo piuttosto che un singolo controllo isolato: un confine di rete segmentato, il rilevamento in linea su quel confine, un reale tentativo di sfruttamento di una CVE specifica, la remediation automatica e la ri-validazione che la correzione ha effettivamente chiuso la falla.

Il progetto associa deliberatamente ogni livello difensivo a prove concrete piuttosto che a una semplice schermata di configurazione: viene mostrato il rilevamento di Suricata che intercetta un tentativo di exploit Shellshock in tempo reale, lo stesso payload che fallisce completamente dopo l'applicazione dell'hardening, e i problemi infrastrutturali non ovvi incontrati lungo il percorso (impostazioni di offload hardware che bloccano silenziosamente la cattura dei pacchetti, l'ambito predefinito di HOME_NET che rompe silenziosamente le firme direzionali, il blocco dei permessi del loro stesso script di hardening che rompe il server che doveva proteggere) sono documentati come risultati a pieno titolo, non censurati.

• Rilevamento: Suricata opera in linea (modalità IPS) sull'interfaccia DMZ utilizzando il ruleset Emerging Threats (ET) Open, con HOME_NET correttamente limitato alla sottorete DMZ, così che il traffico di attacco originato dalla LAN sia trattato come esterno.
• Exploit e validazione: Un exploit reale mappato a una CVE (CVE-2014-6271, "Shellshock") viene lanciato da un attaccante Kali contro l'host DMZ. Suricata lo rileva (SID 2022028) e può bloccarlo attivamente tramite una regola di drop personalizzata.
• Hardening: Uno script Bash idempotente (scripts/dmz_web_hardening.sh) corregge Bash, disabilita il gestore CGI su cui si basa Shellshock, limita SSH alla LAN, abilita un firewall host (UFW) e fail2ban e blocca i permessi della web root.
• Ri-validazione: Lo stesso identico payload Shellshock viene rieseguito dopo l'hardening e restituisce HTTP 404 invece di eseguire, confermando che la vulnerabilità è chiusa.
• Monitoraggio: Un manager Wazuh (appliance OVA) è distribuito sulla LAN per la raccolta centralizzata dei log e il monitoraggio dell'integrità dei file, con l'arruolamento dell'agente DMZ come passo successivo in corso.

Documentazione completa, screenshot delle prove e analisi: docs/CY376_DMZ_Report_Kennedy_Kumi_Holomah.pdf.

Strumenti utilizzati

• VMware Workstation — laboratorio isolato host-only (VMnet WAN/LAN/DMZ)
• pfSense (Community Edition) — firewall, routing, segmentazione WAN/LAN/DMZ
• Suricata (pacchetto pfSense) — IDS/IPS in linea sull'interfaccia DMZ
• Ruleset Emerging Threats (ET) Open — copertura delle firme
• Kali Linux — host attaccante (Nmap, exploit basato su curl)
• Ubuntu Server + Apache — server web DMZ (target / asset protetto)
• Wazuh (appliance OVA) — raccolta centralizzata dei log e monitoraggio dell'integrità dei file
• UFW, fail2ban, unattended-upgrades — hardening a livello host sul server DMZ

Topologia del laboratorio

Host	Ruolo	Interfaccia / VMnet	Indirizzo IP
pfSense	Firewall / router	WAN (em0)	192.168.248.138 (DHCP, NAT)
pfSense	Firewall / router	LAN (em2)	192.168.20.1/24
pfSense	Firewall / router	DMZ (em1)	192.168.10.1/24
Kali Linux	Host attaccante	VMnet4 (LAN)	192.168.20.102
LAN Client	Host LAN generico	VMnet4 (LAN)	192.168.20.100
DMZ Web Server	Target / asset protetto	VMnet3 (DMZ)	192.168.10.10
Wazuh Manager	Piattaforma SIEM / log	VMnet4 (LAN)	192.168.20.103

Tutto il traffico tra segmenti passa esclusivamente attraverso pfSense; nessun percorso bypassa il firewall.

Struttura del repository

.
├── README.md
├── .gitignore
├── scripts/
│   └── dmz_web_hardening.sh   # Host hardening script for the DMZ web server
├── docs/
│   └── CY376_DMZ_Report_Kennedy_Kumi_Holomah.pdf   # Full project report
└── evidence/
    └── figure01_lab_topology.png ... figure11_wazuh_dashboard.png
        # The 11 captioned screenshots from the report, numbered to match
        # the figure numbers used throughout docs/CY376_DMZ_Report_*.pdf

Utilizzo dello script di hardening

scripts/dmz_web_hardening.sh ha come target l'host Ubuntu/Apache della DMZ. È scritto per essere sicuro da rieseguire: ogni file di configurazione toccato viene prima sottoposto a backup (suffisso .bak-YYYYmmdd-HHMMSS) e tutte le azioni vengono registrate in un file con timestamp in /var/log.

# On the DMZ web server
sudo bash scripts/dmz_web_hardening.sh

Prima di eseguirlo, rivedere la sezione CONFIG all'inizio dello script (sottorete LAN, porte HTTP/HTTPS) per adattarla alla propria topologia.

Cosa fa:

1. Aggiorna i pacchetti di sistema e corregge esplicitamente Bash (la vera correzione per CVE-2014-6271).
2. Rafforza SSH, se presente (disabilita il login di root e l'autenticazione con password, limita alla sottorete LAN).
3. Configura UFW: rifiuto predefinito in ingresso, HTTP/HTTPS aperti, SSH limitato alla LAN.
4. Rafforza Apache: nasconde i banner di versione, disabilita l'elenco delle directory, richiede di disabilitare mod_cgi/mod_cgid (eliminando del tutto la superficie di attacco di Shellshock) e blocca proprietà/permessi della web root.
5. Installa e configura fail2ban per le jail specifiche di SSH e Apache.
6. Abilita gli aggiornamenti di sicurezza non presidiati.
7. Elimina i servizi legacy ad alto rischio (telnet, ftp, rsh) se presenti.

Alla fine viene stampato un riepilogo di completamento e i dettagli completi di ogni passaggio sono nel report.

Risultati principali

Test	Prima dell'hardening	Dopo l'hardening
Tentativo di exploit Shellshock	Payload accettato; alert Suricata attivato (SID 2022028)	HTTP 404 — gestore CGI rimosso
SSH dalla LAN (Kali)	Disponibile, senza restrizioni	Disponibile, limitato a 192.168.20.0/24
Accesso alla web root	Contenuto predefinito servito	Brevemente 403 durante l'hardening, poi ripristinato
Regola di drop personalizzata di Suricata	N/A	Blocco attivo confermato in caso di corrispondenza

Limitazioni note

• La modifica della gestione SID di Suricata (conversione di SID 2022028 da solo alert a drop attivo) non è persistita attraverso una ricostruzione delle regole nella GUI di pfSense — registrata come problema aperto.
• L'arruolamento dell'agente Wazuh sull'host DMZ è stato avviato ma non ancora confermato come attivo al momento della stesura.
• Il rilevamento è stato validato contro una CVE ben documentata; la copertura del ruleset ET Open per vulnerabilità nuove o specifiche dell'applicazione non è affrontata in questo laboratorio.

Vedere la Sezione 6 (Analisi e Raccomandazioni) del report per la discussione completa.

Riferimenti