Progetto 5 — Sicurezza Offensiva & Emulazione Avversaria

Parte di un percorso SOC home-lab di 5 progetti: costruire → rilevare & arricchire → investigare → monitorare & cacciare → attaccare & verificare in modo incrociato.

Questo progetto aggiunge la metà mancante del quadro rispetto ai Progetti 1–4: tutto ciò che è venuto prima era blue team (creazione di rilevamenti, investigazione di incidenti, caccia attraverso i dati di rete). Questo mi mette dalla parte dell'attaccante — ricognizione, sfruttamento e post-sfruttamento contro una vulnerabilità reale e documentata — per poi tornare al SOC esistente e misurare cosa ha effettivamente rilevato.

Riepilogo

Catena d'Attacco in Sintesi

Recon (Nmap)  →  Exploit (Metasploit: vsftpd backdoor)  →  Root shell (Meterpreter)
     →  Dump /etc/shadow  →  Crack hash (John)  →  Verify via SSH login
     →  Cross-check against Wazuh / Suricata / Zeek

Risultati Principali

1. Una CVE del 2011 fornisce ancora oggi una catena d'attacco completa e realistica — dalla ricognizione iniziale all'accesso root fino all'esposizione delle credenziali, senza che alcun hardening moderno si frapponga su un host non aggiornato.
2. L'accesso root non conclude la storia — ne inizia una nuova. Root mi ha permesso di estrarre gli hash delle password, crackarne uno all'istante (msfadmin:msfadmin) e dimostrare che funzionava come secondo e indipendente percorso d'accesso al sistema tramite semplice SSH — il che significa che applicare la patch al bug FTP da solo non metterebbe completamente al sicuro questo host.
3. Il bersaglio aveva visibilità SOC a livello host pari a zero. Nessun agente Wazuh era installato su Metasploitable, quindi l'exploit, la shell root e l'accesso alle credenziali erano completamente invisibili al monitoraggio basato su host — un'illustrazione diretta di "non puoi rilevare ciò che non monitori."
4. Il monitoraggio basato su rete (Zeek) era l'unico livello di visibilità disponibile — e riuscire a farlo funzionare ha portato alla luce una vera catena di 4-5 bug separati e distinti, da un'interfaccia di rete sbagliata a un percorso di configurazione obsoleto fino a un agente che richiedeva un riavvio completo anziché uno soft. Analisi completa in docs/04-blue-team-cross-check.md.
5. Suricata (basato su firme) è rimasto correttamente in silenzio su un login SSH con credenziali valide — un risultato legittimo sui limiti del rilevamento basato su firme, non una lacuna.

Documentazione

• docs/01-reconnaissance.md — scansione Nmap, identificazione delle vulnerabilità
• docs/02-exploitation.md — selezione del modulo Metasploit e sfruttamento
• docs/03-post-exploitation.md — estrazione delle credenziali, cracking, verifica
• docs/04-blue-team-cross-check.md — analisi delle lacune di rilevamento del SOC e la vera catena di debug che c'è dietro

Ambiente di Laboratorio

• Kali — host fisico e macchina d'attacco (Nmap, Metasploit, John the Ripper, Suricata, Zeek)
• Metasploitable2 — VM bersaglio deliberatamente vulnerabile
• Rete — VirtualBox Host-only Adapter (192.168.56.x), la stessa rete introdotta nel Progetto 4, così che Kali (l'host) potesse raggiungere direttamente il bersaglio e monitorare il traffico da/verso di esso
• SOC esistente (Progetti 1–4) — Wazuh SIEM, Suricata IDS, Zeek NSM, usato qui esclusivamente come lato "blue team" di questa esercitazione

Screenshot

Vedi screenshots/, organizzati per fase.