Modello TCP/IP e porte comuni

Il modello OSI (Open Systems Interconnection) suddivide la comunicazione di rete in sette livelli: fisico, collegamento dati, rete, trasporto, sessione, presentazione e applicazione. Ogni livello svolge una funzione distinta e comunica solo con i livelli direttamente superiore e inferiore. I controlli di sicurezza possono essere applicati a qualsiasi livello; conoscere il modello aiuta quindi a identificare il punto in cui opera un determinato attacco o una difesa. Il mnemonico Please Do Not Throw Sausage Pizza Away aiuta a ricordare i livelli dal basso verso l'alto.

Il modello TCP/IP (chiamato anche modello DoD) accorpa i livelli OSI in quattro livelli: accesso alla rete (livelli OSI 1-2), Internet (livello OSI 3), trasporto (livello OSI 4) e applicazione (livelli OSI 5-7). Nella maggior parte delle attività reali di networking e analisi della sicurezza si usa la terminologia TCP/IP. Comprendere la corrispondenza tra i due modelli è essenziale per Security+, perché le domande d'esame possono fare riferimento all'uno o all'altro per descrivere il livello in cui opera un attacco o un controllo.

Gli indirizzi IP identificano in modo univoco i dispositivi di una rete. IPv4 usa indirizzi a 32 bit scritti in notazione decimale puntata (ad esempio 192.168.1.10), mentre IPv6 usa indirizzi a 128 bit. Una subnet mask determina quale parte di un indirizzo identifica la rete e quale l'host. La notazione CIDR (ad esempio /24) esprime la subnet mask in forma compatta. I professionisti della sicurezza usano le subnet per segmentare le reti e limitare il flusso del traffico tra zone con diversi livelli di trust.

Prima dello scambio di dati tramite TCP, un three-way handshake stabilisce la connessione: il client invia un SYN, il server risponde con un SYN-ACK e il client completa il processo con un ACK. Gli aggressori sfruttano questa sequenza negli attacchi DoS SYN flood inviando numerosi pacchetti SYN senza completare l'handshake e consumando le risorse del server. Comprendere il comportamento normale dell'handshake aiuta gli analisti a individuare anomalie nelle catture dei pacchetti e nei log SIEM.

UDP (User Datagram Protocol) è un protocollo di trasporto senza connessione che invia pacchetti senza stabilire prima una sessione. È più veloce, ma meno affidabile di TCP perché non prevede né conferme né ritrasmissioni. Servizi come DNS, DHCP, NTP e SNMP usano UDP perché la bassa latenza è più importante della consegna garantita. Tra le implicazioni per la sicurezza vi sono gli attacchi di amplificazione basati su UDP, in cui piccole richieste generano risposte di grandi dimensioni che sovraccaricano le vittime.

Le porte note (0-1023) sono riservate ai servizi comuni e assegnate da IANA. Memorizzare le più importanti è essenziale per l'esame Security+. La porta 22 è usata da SSH, la porta 443 da HTTPS, la porta 80 da HTTP, la porta 25 da SMTP e la porta 53 da DNS. Sapere quale porta utilizza un servizio aiuta gli analisti a distinguere il traffico legittimo dagli attacchi e a scrivere regole firewall accurate.

Le porte registrate (1024-49151) sono utilizzate dalle applicazioni che richiedono una porta coerente, ma non privilegiata. Tra gli esempi figurano 3389 (RDP), 3306 (MySQL), 1433 (MSSQL) e 8080 (HTTP alternativo). Le porte dinamiche (effimere) (49152-65535) vengono assegnate temporaneamente dal sistema operativo alle connessioni lato client. Talvolta gli aggressori eseguono servizi dannosi su porte con numeri elevati per eludere le regole firewall che bloccano solo le porte note.

ICMP (Internet Control Message Protocol) viene utilizzato per la diagnostica e la segnalazione degli errori. Il comando ping usa richieste e risposte Echo ICMP per verificare la raggiungibilità. Sebbene sia utile, ICMP può essere sfruttato: gli scansioni ping individuano gli host attivi, i messaggi di reindirizzamento ICMP possono modificare le tabelle di routing e i canali covert possono incanalare dati all'interno dei payload ICMP. Molte organizzazioni bloccano ICMP sul perimetro, consentendolo invece internamente per la risoluzione dei problemi.

ARP (Address Resolution Protocol) associa gli indirizzi IP agli indirizzi MAC in un segmento di rete locale. Quando un host vuole inviare traffico a 192.168.1.1, trasmette una richiesta ARP chiedendo "Chi ha 192.168.1.1?" e il proprietario risponde con il proprio indirizzo MAC. ARP non prevede autenticazione, quindi è vulnerabile allo ARP spoofing (chiamato anche avvelenamento ARP), in cui un aggressore invia risposte ARP contraffatte per reindirizzare il traffico attraverso la propria macchina e realizzare attacchi man-in-the-middle.

DNS (Domain Name System) traduce i nomi host leggibili dalle persone (www.example.com) in indirizzi IP. Una query DNS attraversa una gerarchia: il client interroga un resolver ricorsivo, che interroga i server root, poi i server TLD e infine i nameserver autorevoli. Le implicazioni per la sicurezza sono rilevanti: il DNS cache poisoning inserisce record falsi, il tunneling DNS codifica dati nelle query per esfiltrarli o raggiungere server C2 e il typosquatting registra domini simili per effettuare phishing ai danni degli utenti.

Due strumenti essenziali per analizzare il traffico TCP/IP sono Wireshark e Nmap. Wireshark è un analizzatore di pacchetti che consente di esaminare singoli frame, filtrare per protocollo e seguire i flussi TCP per ricostruire le sessioni. Nmap è uno scanner di rete che identifica host attivi, porte aperte, servizi in esecuzione e versioni dei sistemi operativi. Insieme, questi strumenti offrono ai professionisti della sicurezza visibilità su ciò che attraversa realmente una rete, consentendo di rilevare anomalie e verificare che le regole firewall funzionino come previsto.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha imparato che i modelli OSI e TCP/IP descrivono i livelli di rete in cui operano i controlli di sicurezza, che le porte note (0-1023) identificano i servizi comuni e devono essere memorizzate per l'esame e che protocolli come ARP, DNS e ICMP presentano rischi specifici per la sicurezza, tra cui spoofing, avvelenamento della cache e tunneling. Nella prossima lezione esamineremo i firewall e il modo in cui filtrano il traffico di rete.