Phantom Grid - Enterprise Zero Trust Network Access (ZTNA)

Phantom Grid è un sistema di Zero Trust Network Access (ZTNA) e difesa attiva di nuova generazione. Opera sia a livello Kernel (eBPF) che a livello Applicativo (mTLS) per trasformare i server Linux in una superficie d'attacco robusta e ingannevole.

Progettato per le aziende moderne, è pensato per ridurre significativamente la visibilità della vostra infrastruttura agli scanner di rete, rimanendo al contempo altamente accessibile al personale autorizzato.

Capacità Principali

Cloaking di Rete eBPF e SPA (Zero Trust Livello 4)

I servizi di rete critici (ad es. SSH, Database, interfacce di gestione) vengono scartati nativamente nel Kernel Linux tramite XDP per impostazione predefinita, mitigando fortemente il rischio di scoperta non autorizzata. L'accesso viene concesso dinamicamente tramite Single Packet Authorization (SPA) utilizzando crittografia Ed25519 e Time-Based One-Time Passwords (TOTP).

Proxy di Identità mTLS (Zero Trust Livello 7)

Per mitigare i punti ciechi del NAT, Phantom Grid include un Proxy Mutual TLS (mTLS) integrato. Il proxy verifica rigorosamente i certificati X.509 lato client prima di instradare qualsiasi traffico, garantendo una protezione robusta anche se un attaccante condivide lo stesso IP NAT pubblico di un utente autorizzato.

Microservizi e Traffico Interno

Phantom Grid si integra perfettamente con le architetture a Microservizi esistenti senza interrompere la comunicazione interna backend-to-database:

• Bypass Localhost: Il traffico strettamente vincolato all'interfaccia di loopback (lo) opera nativamente con zero overhead, consentendo ai servizi backend e ai database sullo stesso host di comunicare liberamente mentre la porta pubblica rimane nascosta.
• mTLS Service-to-Service (Identity-Aware Proxy): Per i sistemi distribuiti, Phantom Grid abbandona la legacy IP Whitelisting in favore della Service Identity in stile SPIFFE/SPIRE. I servizi backend stabiliscono tunnel mTLS a breve durata, vincolati a certificati, verso il server DB. Le policy di connessione sono rigorosamente applicate tramite Identità Crittografica (ad es. CN=backend-api) anziché indirizzi IP inaffidabili, garantendo un vero Zero Trust in ambienti Cloud/Kubernetes dinamici.

Inganno Attivo e Contenimento delle Minacce

• Inganno Dinamico delle Porte: Simula servizi randomizzati e reattivi su porte inutilizzate per confondere gli strumenti di ricognizione e gli scanner di porte.
• Reindirizzamento Trasparente a Honeypot: Intercetta il traffico malevolo diretto a segmenti ristretti e lo reindirizza in modo trasparente verso honeypot interni per l'analisi comportamentale.
• Mutazione dell'Impronta del Sistema Operativo: Modifica le intestazioni dei pacchetti TCP/IP in tempo reale per alterare la firma apparente del sistema operativo, ostacolando il targeting automatizzato degli exploit.
• Contenimento dell'Egress: Implementa la prevenzione della perdita di dati (DLP) a livello kernel tramite Linux Traffic Control (TC) per rilevare e mitigare connessioni in uscita non autorizzate e tentativi di esfiltrazione dei dati.

Key Distribution Center e Motore Multi-Chiave

Progettato per la scala aziendale, il Fleet Manager include un'API KDC che genera automaticamente SPA Keys, segreti TOTP e certificati mTLS per i nuovi deployment. L'Agent supporta il caricamento di un grande volume di Public Keys, consentendo la revoca rapida dell'accesso individuale senza influire sulla flotta.

Threat Intelligence e Gestione Persistente

• Database Persistente della Flotta: Il Fleet Manager utilizza un database SQLite embedded tramite GORM, garantendo che telemetria, log degli attacchi e stati degli agent connessi siano memorizzati in modo persistente.
• Integrazione ELK: Esporta nativamente eventi di sicurezza strutturati verso Elasticsearch per il monitoraggio e l'alerting centralizzati.
• Terminal UI: Fornisce una dashboard in tempo reale basata su terminale per la visualizzazione immediata delle minacce e l'analisi forense.

UI Client Premium

Lo SPA Client include una Web Dashboard embedded con accelerazione hardware. Gli utenti possono facilmente connettersi ai server protetti, visualizzare la latenza in tempo reale e gestire gli stati di connessione con un solo clic, senza richiedere competenze CLI.

Architettura

Phantom Grid sfrutta il verificatore eBPF di Linux per ridurre significativamente il rischio di instabilità del kernel rispetto ai tradizionali moduli kernel. I programmi che non superano la validazione del verificatore vengono rifiutati prima del caricamento nel kernel.

Operando a livello XDP, Phantom Grid ottiene un overhead prestazionale trascurabile. L'utilizzo della CPU durante attacchi ad alto volume (ad es. DDoS) è significativamente ridotto rispetto all'elaborazione dei pacchetti nello stack di rete Linux tradizionale, mantenendo al contempo un utilizzo minimo di memoria.

graph TD
    Client[Remote Client] -->|SPA Packet| XDP{eBPF XDP Cloaking}
    Client -->|mTLS Handshake| Proxy{mTLS Proxy}
    
    subgraph Kernel Space
        XDP -->|Invalid/Scan| Redirect[Redirect to Honeypot]
        XDP -->|Valid SPA| Allow[Open Port for IP]
        TC[eBPF TC Hook] -->|Egress Filtering| NIC
    end

    subgraph User Space
        Allow --> Proxy
        Proxy -->|Invalid Cert| Reject[Terminate Connection]
        Proxy -->|Valid Cert| Service[Internal Service e.g. SSH:22]
        Redirect --> HP[Internal Honeypot]
        HP --> Telemetry[Logger & Telemetry]
    end
    
    Fleet[Fleet Manager] -.->|Provisions| Client

Benchmark di Prestazioni

La nostra architettura basata su eBPF opera drasticamente più velocemente rispetto ai tradizionali iptables o nftables, scartando i pacchetti a livello di driver NIC prima che entrino nello stack di rete Linux.

• Throughput e Latenza: Il benchmarking interno su NIC Intel X710 standard (Kernel 6.8) dimostra una latenza media XDP_PASS di < 0,8 microsecondi per pacchetti da 64 byte.
• XDP vs Netfilter: I tassi di scarto dei pacchetti tramite XDP possono superare i 24 milioni di pacchetti al secondo (Mpps) per core, superando ampiamente le regole iptables che tipicamente si bloccano intorno ai 2-3 Mpps con vincoli di CPU simili.
• Hardware Agnostic: Miglioramenti prestazionali costanti sono osservati su interfacce di rete Broadcom, Intel e Mellanox.

Affidabilità e Validazione

I prodotti di sicurezza aziendali richiedono stabilità assoluta. Phantom Grid è rigorosamente validato per garantire zero interruzioni agli ambienti di produzione:

• Test CI/CD Automatizzati: Tutti i commit attivano build automatizzate e unit test su più versioni del kernel Linux (5.4, 5.10, 5.15, 6.1 e 6.8).
• Test di Integrazione e Stress: Le pipeline notturne simulano condizioni di DDoS e complesse negoziazioni mTLS sotto carico pesante per garantire stabilità e prevenire memory leak.
• Aggiornamenti del Kernel: L'aggiornamento del kernel Linux non comprometterà la postura di sicurezza. I programmi eBPF vengono verificati a runtime per garantire compatibilità e sicurezza prima del caricamento.

Requisiti di Sistema

Per garantire prestazioni e sicurezza ottimali, devono essere soddisfatti i seguenti requisiti minimi:

Requisiti Hardware

• CPU: Minimo 2 Core (x86_64 o ARM64).
• RAM: Minimo 1 GB (le eBPF Maps e il database SQLite mantengono un footprint di memoria molto basso).
• Network Interface Card (NIC): Per il massimo throughput (modalità Native XDP), è richiesta una NIC con supporto nativo al driver XDP (ad es. Intel X710/E810, Mellanox ConnectX-4/5/6, Broadcom NetXtreme). Le NIC virtuali (veth, virtio) passeranno automaticamente al fallback Generic XDP (modalità SKB) con throughput ridotto.