Réseautage du laboratoire

Votre laboratoire contient des machines délibérément vulnérables. Si elles peuvent atteindre Internet ou votre réseau domestique, elles deviennent dangereuses.

La mise en réseau isolée confine le trafic d’attaque et les logiciels malveillants à vos seules VM.

Le NAT (Network Address Translation) donne à une VM un accès à Internet par l’intermédiaire de l’hôte, mais la VM est masquée derrière l’adresse IP de l’hôte.

• Utile pour mettre Kali à jour ou télécharger des outils.
• Inadapté pour connecter les VM entre elles : par défaut, elles ne peuvent pas se voir.

Un réseau NAT (distinct du NAT simple) permet à plusieurs VM de partager un réseau utilisant le NAT et de communiquer entre elles, tout en continuant à accéder à Internet par l’intermédiaire de l’hôte.

Cette configuration est utile lorsque les VM du laboratoire ont besoin à la fois d’Internet et de communiquer entre elles.

Le mode ponté place la VM directement sur votre LAN physique avec sa propre adresse IP, comme s’il s’agissait d’un ordinateur physique distinct.

Évitez ce mode pour les VM vulnérables : il les expose à l’ensemble de votre réseau domestique et au-delà.

Le mode réservé à l’hôte crée un réseau privé entre l’hôte et ses VM, sans accès à Internet.

C’est l’option la plus sûre pour attaquer des VM vulnérables : Kali et les cibles peuvent se voir, mais les logiciels malveillants ne peuvent pas s’échapper.

Le réseau interne connecte uniquement les VM entre elles : même l’hôte ne peut pas le rejoindre. C’est l’option la plus isolée.

Utilisez-le pour des scénarios totalement étanches, comme la mise à l’épreuve de véritables échantillons de logiciels malveillants.

Une configuration pratique attribue à chaque VM deux adaptateurs :

• Adaptateur 1 : NAT pour Internet (mises à jour et téléchargements d’outils).
• Adaptateur 2 : réservé à l’hôte pour le réseau d’attaque isolé.

Vous attaquez via le côté réservé à l’hôte et effectuez les mises à jour via le côté NAT.

Les adaptateurs réservés à l’hôte de VirtualBox utilisent généralement la plage 192.168.56.0/24. Vérifiez l’interface sur Kali pour confirmer l’adresse attribuée.

Une fois sur le réseau isolé, trouvez les autres VM à l’aide d’un balayage ping. Cette opération répertorie les hôtes actifs sans analyser encore les ports.

DHCP peut attribuer des adresses différentes à chaque démarrage, ce qui perturbe vos notes. L’attribution d’adresses IP statiques sur le réseau réservé à l’hôte permet de conserver des adresses de cible prévisibles d’une session à l’autre.

Configurez-les dans les paramètres réseau de l’OS invité ou sur le serveur DHCP de l’hyperviseur.

Avant d’attaquer, vérifiez que la VM vulnérable ne peut réellement pas atteindre Internet. Depuis la cible, une requête ping vers une adresse publique devrait échouer lorsque seul l’adaptateur réservé à l’hôte est connecté.

Choisissez le mode le plus sûr pour une cible délibérément vulnérable.

Vous avez appris à mettre en réseau un laboratoire de piratage en toute sécurité :

• NAT pour Internet, réservé à l’hôte pour les attaques isolées, interne pour une isolation totale.
• Évitez le mode ponté pour les VM vulnérables.
• Une configuration à deux adaptateurs (NAT + réservé à l’hôte) constitue le meilleur compromis pratique.
• Vérifiez l’isolation en confirmant que la victime ne peut pas envoyer de ping vers Internet.