Сеть лаборатории

В Вашей лаборатории находятся намеренно неисправные машины. Если они могут подключаться к интернету или домашней сети, они становятся опасными.

Изолированная сеть ограничивает трафик атак и вредоносные программы только Вашими виртуальными машинами.

NAT (трансляция сетевых адресов) предоставляет виртуальной машине доступ в интернет через хост, но скрывает ее за IP-адресом хоста.

• Подходит для обновления Kali или загрузки инструментов.
• Не подходит для соединения виртуальных машин друг с другом — по умолчанию они не видят друг друга.

Сеть NAT (не то же самое, что обычный NAT) позволяет нескольким виртуальным машинам использовать одну сеть с NAT и взаимодействовать друг с другом, сохраняя доступ в интернет через хост.

Это удобно, когда виртуальным машинам лаборатории нужны и интернет, и связь между собой.

Режим моста напрямую подключает виртуальную машину к Вашей физической LAN с собственным IP-адресом, словно это отдельный физический компьютер.

Не используйте этот режим для уязвимых виртуальных машин — он открывает их для всей домашней сети и за ее пределами.

Режим только для хоста создает частную сеть между хостом и его виртуальными машинами, без доступа в интернет.

Это самый безопасный вариант для атак на уязвимые виртуальные машины: Kali и цели видят друг друга, но вредоносные программы не могут выйти за пределы сети.

Внутренняя сеть соединяет виртуальные машины только между собой — к ней не может присоединиться даже хост. Это наиболее изолированный вариант.

Используйте его для полностью изолированных сценариев, например при запуске настоящих образцов вредоносных программ.

Практичная конфигурация предоставляет каждой виртуальной машине два адаптера:

• Адаптер 1: NAT для доступа в интернет (обновления и загрузка инструментов).
• Адаптер 2: только для хоста для изолированной сети атак.

Атакуйте через подключение только для хоста, а обновляйте систему через NAT.

Адаптеры, доступные только хосту, в VirtualBox обычно используют диапазон 192.168.56.0/24. Проверьте интерфейс в Kali, чтобы подтвердить назначенный адрес.

Подключившись к изолированной сети, найдите остальные виртуальные машины с помощью эхо-сканирования. Оно покажет активные хосты, еще не сканируя порты.

DHCP может назначать разные адреса при каждой загрузке, из-за чего Ваши заметки теряют актуальность. Назначение статических IP-адресов в сети, доступной только хосту, сохраняет адреса целей предсказуемыми между сеансами.

Настройте их в сетевых параметрах гостевой OS или на DHCP-сервере гипервизора.

Перед атакой убедитесь, что уязвимая виртуальная машина действительно не может подключиться к интернету. На цели эхо-запрос к публичному адресу должен завершиться ошибкой, если подключен только адаптер, доступный хосту.

Выберите самый безопасный режим для преднамеренно уязвимой цели.

Вы научились безопасно организовывать сеть хакерской лаборатории:

• NAT — для интернета, только для хоста — для изолированных атак, внутренняя сеть — для полной изоляции.
• Не используйте режим моста для уязвимых виртуальных машин.
• Практичный вариант — два адаптера (NAT + только для хоста).
• Проверяйте изоляцию, убеждаясь, что машина-жертва не может отправить эхо-запрос в интернет.