Ricognizione Hardware: Gather Victim Host Information - Hardware (T1592.001)

In un esercizio red team, la profilazione hardware del bersaglio va condotta in modalità lab-safe, privilegiando fonti passive prima di qualunque scansione attiva. L'idea è ricostruire il parco dispositivi della vittima senza generare rumore.

Si parte dall'OSINT. theHarvester (open source) raccoglie sottodomini, host e metadati partendo da motori di ricerca e dataset pubblici, utile per correlare hostname a probabili modelli di apparati. SpiderFoot (freemium) e Recon-ng (open source) automatizzano l'aggregazione di informazioni, inclusi riferimenti hardware che emergono da annunci di lavoro ("esperienza su appliance vendor X", "gestione lettori smart card") o da documenti indicizzati.

Per i banner dei servizi, l'interrogazione di dataset esterni come Shodan (freemium) e Censys (freemium) restituisce spesso stringhe che identificano il vendor dell'appliance, la versione firmware o il modello di dispositivo di rete, senza toccare direttamente il bersaglio.

Quando l'ingaggio autorizza scansioni attive in laboratorio, Nmap (open source) resta lo strumento di riferimento per il fingerprinting:

nmap -sV -O

La flag -O attiva l'OS/device detection sulla base dello stack TCP/IP, mentre -sV identifica versioni di servizio e banner che frequentemente rivelano il tipo di hardware sottostante. Per gli script di enumerazione:

nmap -sV --script banner

Sul fronte web-based, la simulazione della compromissione di un sito con contenuto profilante può essere replicata in ambiente controllato con framework di ricognizione lato browser come FingerprintJS (freemium) o script custom che leggono le API esposte dal browser. Attenzione: la profilazione hardware via browser è intrinsecamente limitata dal sandboxing e non espone componenti come TPM o lettori biometrici. Va documentata come vettore parziale.

Un red teamer maturo tratta questa fase come costruzione di ipotesi, non di certezze. I metadati dei documenti pubblici — estraibili con exiftool (open source) da PDF e immagini presenti sul sito del bersaglio — spesso rivelano modelli di scanner, stampanti o workstation:

exiftool documento.pdf

L'output del red team dovrebbe consolidare tutto in una mappa hardware ipotizzata, evidenziando dove sono presenti protezioni (HSM, MFA hardware) che condizioneranno le fasi di accesso iniziale successive.

Difendere da questa tecnica è complesso, perché gran parte dell'attività si svolge fuori dal perimetro monitorabile: l'attaccante interroga dataset pubblici o esegue scansioni da infrastruttura propria. Il MITRE stesso, nella detection DET0887, avverte che il fenomeno ha altissima frequenza e un tasso di falsi positivi elevato, con visibilità spesso nulla per l'organizzazione bersaglio.

La detection realistica è quindi indiretta e comportamentale, concentrata su ciò che il SOC può effettivamente osservare quando l'infrastruttura di ricognizione entra in contatto con i sistemi esposti. La sorgente di log indicata è l'Internet Scan: analisi di pattern associati a contenuto malevolo progettato per raccogliere informazioni hardware dai visitatori.

Sul lato pratico, monitorate i log dei web server (IIS, Apache, Nginx) e del WAF alla ricerca di:

• User-agent anomali o script di fingerprinting caricati da pagine compromesse;
• Richieste ricorrenti a endpoint che espongono banner o header verbosi;
• Pattern di scansione distribuita che toccano molti host in sequenza breve.

Sull'infrastruttura esposta, i banner dei servizi sono il vero punto debole: un SOC dovrebbe correlare i propri asset esterni con ciò che appare su piattaforme come Shodan e Censys (entrambe freemium), per capire quali dettagli hardware l'organizzazione sta involontariamente pubblicando.

Sul piano preventivo — l'unica leva davvero efficace secondo la mitigazione M1056 (Pre-compromise) — l'obiettivo è ridurre la superficie informativa:

• Riduzione dei banner: configurare web server e apparati per non esporre versioni, modelli firmware o header identificativi;
• Sanificazione dei contenuti pubblici: audit periodico di annunci di lavoro, documenti e metadati che rivelano modelli hardware;
• Email protection: policy SPF/DKIM/DMARC e soluzioni anti-phishing per intercettare il phishing for information che punta a estrarre dettagli infrastrutturali dai dipendenti;
• Threat intelligence: piattaforme come MISP (open source) o Anomali (a pagamento) per tracciare infrastruttura di ricognizione avversaria.

È fondamentale gestire le aspettative: la maggior parte delle scansioni che vedrete nei log è rumore di fondo di Internet (scanner accademici, motori di ricerca, bot). Impostare regole rigide qui genera solo alert fatigue. Il vero valore sta nello spostare gli sforzi di detection sulle fasi successive del ciclo di vita — Initial Access in primis — dove l'attività diventa osservabile e attribuibile, usando la ricognizione come contesto di correlazione piuttosto che come alert autonomo.

Per l'analista forense, questa tecnica pone un problema di fondo: essendo pre-compromise, raramente lascia artefatti diretti sugli endpoint della vittima. La raccolta di informazioni hardware avviene prevalentemente su fonti esterne o tramite scansioni che non toccano il file system. La ricostruzione, quindi, si appoggia soprattutto a evidenze esterne e a correlazioni temporali con eventi successivi.

Le fonti esterne sono il primo terreno d'indagine. Il passive DNS e i log storici delle richieste consentono di ricostruire quali host della vittima erano risolvibili e quando. I Certificate Transparency logs, consultabili tramite servizi come il database di crt.sh (gratuito), rivelano certificati emessi per host e sottodomini, spesso correlabili ad appliance specifiche. Il WHOIS storico aiuta a datare l'esposizione di domini e infrastruttura. Piattaforme come Shodan e Censys (freemium) mantengono snapshot storici dei banner esposti: confrontare lo stato attuale con quello di mesi precedenti permette di stabilire quali dettagli hardware fossero visibili nella finestra in cui si sospetta la ricognizione.

Sul lato endpoint, gli artefatti emergono solo dopo il contatto con infrastruttura malevola. Se la profilazione è avvenuta tramite un sito compromesso che iniettava script di fingerprinting, i browser dei dipendenti conservano tracce utili: la cronologia e la cache in History e Cache di Chrome/Edge, gli artefatti in places.sqlite per Firefox, e le voci di download. Su Windows, l'analisi timeline può combinare questi elementi con i web server log locali se la vittima ospitava il sito profilato.

Una metodologia solida costruisce una timeline che allinea tre livelli: l'esposizione esterna documentata (banner, certificati, DNS), l'eventuale contatto endpoint-server (log proxy, cache browser), e gli eventi di compromissione successivi. Strumenti come Plaso/log2timeline (open source) permettono di fondere sorgenti eterogenee in un'unica supertimeline, mentre Autopsy (open source) facilita l'esame degli artefatti browser.

L'analisi dei metadati documentali merita attenzione: se l'attaccante ha estratto informazioni hardware da PDF o immagini pubblicate dall'organizzazione, l'analista può ricostruire quali modelli di dispositivo (stampanti, scanner, workstation) fossero deducibili tramite exiftool (open source) applicato agli stessi file. Questo non prova la ricognizione, ma documenta la superficie informativa esposta.

In sintesi, il lavoro forense qui è più di correlazione contestuale che di recupero di artefatti diretti: si documenta ciò che era conoscibile e si àncora la ricognizione alle fasi successive dell'intrusione.

I dati MITRE ATT&CK forniti per T1592.001 non associano alla tecnica alcun gruppo APT, software o campagna specifici: le statistiche riportano zero gruppi, zero software, zero campagne e una sola mitigazione (M1056 - Pre-compromise). Per rigore metodologico, non è quindi possibile profilare attori concreti attribuiti a questa tecnica senza ricorrere a invenzioni: qualunque attribuzione qui sarebbe arbitraria.

Questa assenza non è un caso, ed è essa stessa un dato di intelligence significativo. La raccolta di informazioni hardware è un'attività pre-compromise che si svolge fuori dalla visibilità dei difensori, il che rende estremamente difficile attribuirla a un attore specifico. La ricognizione hardware raramente lascia firme che consentano di collegarla, con confidenza, a un gruppo determinato. Per questo il framework la documenta a livello di tecnica senza mapping ad attori: la telemetria disponibile non regge un'attribuzione solida.

Dal punto di vista dell'analista di threat intelligence, il valore operativo sta nel comprendere il ruolo funzionale di questa tecnica nel ciclo di vita avversario, più che nell'inseguire attribuzioni. La profilazione hardware è un abilitatore: alimenta la selezione dei vettori di accesso iniziale e, soprattutto, orienta scelte come la compromissione della supply chain hardware o l'introduzione di Hardware Additions malevoli. Sapere che un bersaglio impiega token crittografici o lettori biometrici spinge un attore sofisticato verso approcci alternativi rispetto al semplice furto di credenziali.

Il pattern comportamentale trasversale è la preferenza per fonti a bassa esposizione: dataset pubblici, annunci di lavoro, documenti indicizzati e banner di servizio, che consentono di ricostruire l'inventario hardware senza generare rumore attribuibile. Gli attori più maturi combinano questa raccolta passiva con scansioni attive mirate solo nelle fasi finali della pianificazione.

Sul piano del tracciamento dell'infrastruttura avversaria, la mitigazione M1056 suggerisce di appoggiarsi a piattaforme di threat intelligence come MISP (open source), Recorded Future (a pagamento) e Anomali (a pagamento) per monitorare tool e attività di ricognizione. Il trend consolidato è la crescente automazione della raccolta OSINT: gli attori investono in pipeline che aggregano continuamente dati esposti, rendendo la riduzione della superficie informativa — audit periodici, WHOIS privacy, sanificazione dei contenuti pubblici — la contromisura strategicamente più rilevante per negare all'avversario il vantaggio informativo iniziale.

Dati tecnici da MITRE ATT&CK per T1592.001 (Hardware), tattica TA0043 Reconnaissance, mitigazione M1056 (Pre-compromise) e detection DET0887 (AN2019, log source Internet Scan). Tool di ricognizione e detection citati: Nmap, theHarvester, Recon-ng, SpiderFoot, exiftool, Plaso/log2timeline, Autopsy, MISP, Shodan, Censys. Per comandi, artefatti forensi e procedure operative è stata integrata conoscenza professionale di cybersecurity basata su documentazione ufficiale dei rispettivi progetti open source e servizi.