Preparare la macchina e la rete

Obiettivo

Preparare, per ogni sonda Scout, una macchina adatta e una rete che la lasci comunicare con RECON, così che l'installazione vada a buon fine al primo tentativo e la scansione non venga bloccata dai tuoi sistemi di sicurezza.

3.32:23

Capitoli del video

Prerequisiti

• L'elenco dei segmenti di rete da analizzare: ti serve una sonda per ogni VLAN o sottorete.
• Una macchina Linux (fisica o virtuale) per ogni sonda, collegata al segmento che deve analizzare.
• L'accesso root o sudo su quella macchina.
• La possibilità di modificare le regole del firewall in uscita, oppure il contatto di chi le gestisce.

Cosa fa la sonda nella tua rete

La sonda comunica con RECON solo in uscita, ma dentro la rete produce traffico di scansione. Durante una scansione esegue:

• sweep ARP e ICMP per trovare i dispositivi;
• connessioni TCP verso le porte più comuni, fino a 1000 per host;
• richieste mDNS e NetBIOS per ricavare i nomi;
• controlli SMB, SSH, HTTP e TLS per riconoscere sistemi e servizi.

Su ogni scansione interna la sonda esegue anche due tipi di verifiche attive:

• Quattro verifiche di exploit in sola lettura, sempre attive e non disattivabili: Zerologon, ProxyLogon, ProxyShell e SMBGhost. Verificano se un sistema è esposto in modo non distruttivo: non scrivono dati e non cambiano lo stato o la configurazione dei sistemi controllati.
• Un test delle password predefinite, attivo per impostazione predefinita: la sonda prova un elenco limitato di credenziali note su SSH (fino a 31 coppie), FTP (fino a 11), MySQL, Microsoft SQL Server e PostgreSQL, e verifica con comandi di sola lettura se Redis, MongoDB, Elasticsearch e Memcached rispondono senza autenticazione. In RECON non c'è un interruttore per disattivarlo.

Procedura

1. Prepara una macchina per ogni sonda

   Basta una piccola macchina virtuale dedicata. La guida al deployment di Orizon indica come minimo 1 CPU virtuale, 2 GB di RAM e 8 GB di disco, e consiglia 2 CPU virtuali, 4 GB di RAM e 16 GB di disco. Il programma della sonda occupa poco spazio su disco: il margine serve soprattutto alla RAM durante le scansioni.

2. Controlla il sistema operativo

   Serve Linux con systemd, su processore x86 a 64 bit oppure ARM a 64 bit. Sulla macchina esegui:

   systemctl --version
   uname -m

   Copia

   Il primo comando deve mostrare la versione di systemd; il secondo deve restituire x86_64 oppure aarch64. Non sono supportati Windows, macOS, le distribuzioni senza systemd e i sistemi a 32 bit; la guida al deployment esclude anche i container Docker e Podman.

3. Apri l'uscita HTTPS verso RECON

   Nel firewall consenti solo il traffico HTTPS in uscita sulla porta 443 verso recon.orizon.one. In entrata non serve nulla: nessun port forwarding, nessun IP pubblico, nessuna VPN. Autorizza il nome host e non un indirizzo IP fisso, perché gli indirizzi dietro il nome possono cambiare.

4. Inserisci la sonda tra le eccezioni dei sistemi di sicurezza

   Se in rete hai sistemi IDS, IPS o NAC, aggiungi ogni sonda tra le eccezioni: altrimenti possono bloccare la scansione e i risultati restano incompleti. Fai lo stesso con i blocchi SSH descritti sopra.

5. Prova la connessione verso RECON

   Dalla macchina esegui:

   curl -I https://recon.orizon.one

   Copia

   La risposta deve iniziare con una riga di stato HTTP 200, per esempio HTTP/2 200. Se non arriva una risposta, l'installazione non riesce a scaricare il programma della sonda.

Risultato

La macchina è pronta quando:

• systemctl --version mostra systemd e uname -m restituisce x86_64 oppure aarch64;
• curl -I https://recon.orizon.one risponde con HTTP 200;
• le regole del firewall consentono solo HTTPS in uscita verso recon.orizon.one;
• la sonda è tra le eccezioni di IDS, IPS, NAC e dei blocchi SSH.

Risoluzione dei problemi

• L'installer si ferma con "Linux richiesto", "systemd richiesto" o "Non supportato". La macchina non è Linux, non ha systemd o ha un'architettura diversa da x86_64 e ARM64: usa un'altra macchina.
• L'installer si ferma con "Root richiesto (usa sudo)". Esegui il comando di installazione come root o con sudo.
• curl non risponde o va in timeout. Di solito il firewall blocca recon.orizon.one, spesso per una regola basata su un indirizzo IP fisso: autorizza il nome host.
• La scansione trova meno dispositivi del previsto. Un IDS, un IPS o un NAC può bloccare la sonda, oppure la rete si trova dietro un router. Nella scansione la rete può risultare Limitata, Bloccata o Irraggiungibile: autorizza la sonda oppure installane una su quel segmento.

Articoli correlati