CLI di Rete: Network Device CLI (T1059.008)

In un ingaggio red team contro l'infrastruttura di rete, la fase iniziale è la scoperta dei dispositivi management-exposed. Nmap (open source) con NSE dedicati è il punto di partenza: nmap -p22,23,80,443,161 --script ssh-auth-methods,snmp-brute,telnet-encryption permette di enumerare superficie e metodi di autenticazione.

Per il credential access sui piani management, Hydra (open source) e Medusa (open source) restano efficaci contro SSH/Telnet quando esistono policy deboli: hydra -L users.txt -P passwords.txt ssh:// -t 4. Molto più impattante è la caccia a credenziali di default o riutilizzate, tipiche di lab dimenticati in produzione. CrackMapExec e il suo successore NetExec (open source) coprono principalmente Windows, ma per il mondo networking la libreria Netmiko (open source) in Python consente di orchestrare sessioni multi-vendor scriptate.

Una volta ottenuto accesso, l'obiettivo è dimostrare l'escalation da modalità utente a privilegiata. Su Cisco IOS il flusso classico è enable seguito da password del livello 15; se il device espone service password-recovery attivo e c'è accesso fisico o console via terminal server, la compromissione è banale. Su Junos OS l'equivalente è la modalità configure exclusive dopo login come utente con classe super-user.

Le azioni post-exploitation da simulare in modo controllato includono: dump della configurazione con show running-config o show configuration | display set, enumerazione delle ACL applicate alle interfacce, verifica delle sessioni SNMP community per lateral pivot, e creazione di un utente locale nascosto (in lab, mai in produzione senza autorizzazione scritta).

Per la simulazione del comportamento di Line Dancer (S1186) e delle tattiche di UNC3886 in RedPenguin, il framework Caldera (open source) di MITRE non copre nativamente device di rete, quindi si costruiscono playbook custom con Ansible (open source) o Nornir (open source) che eseguono comandi da baseline e comandi di abuso, permettendo al blue team di confrontare i pattern.

Strumenti di analisi passiva utili in fase di reporting: RANCID (open source) e Oxidized (open source) per baseline delle configurazioni, Batfish (open source) per l'analisi statica delle policy di rete. In ambienti di studio, GNS3 (open source) e EVE-NG (freemium) consentono di riprodurre topologie reali senza toccare hardware di produzione, condizione essenziale per esercitazioni ripetibili.

La detection dell'abuso di CLI su apparati di rete parte dal presupposto che gli eventi non arrivano da endpoint tradizionali ma da syslog dei dispositivi e da telemetria di flusso. L'analitica AN0399 di MITRE indica come sorgenti primarie networkdevice:syslog e NSM:Flow, ed è su queste che va costruito il modello di baseline.

Il primo controllo è di tipo temporale: modifiche di configurazione fuori dalle finestre di manutenzione approvate devono generare alert ad alta priorità. Su Cisco IOS gli eventi rilevanti sono %SYS-5-CONFIG_I (configurazione entrata da console/vty) e %PARSER-5-CFGLOG_LOGGEDCMD se il archive log config è attivo. Su Junos OS il facility interactive-commands traccia ogni comando eseguito in CLI, incluso il committer del change.

Il secondo pilastro è il UserContext: sessioni SSH originate da account di servizio non assegnati al team network, oppure da jump host inattesi, sono segnali forti. Va costruita una lista di sorgenti autorizzate (bastion host, PAM appliance) e ogni sessione fuori lista deve triggerare correlation rule nel SIEM. In Splunk o QRadar una regola base può correlare auth-success su porta 22 del device con l'assenza dell'IP sorgente nella lookup dei bastion.

Il terzo livello è il CommandPattern: keyword e regex su comandi ad alto rischio come no logging, no snmp-server, reload, copy tftp, config replace, archive log config, service password-recovery. La sequenza no logging seguita entro pochi minuti da configure terminal è il pattern classico di un attaccante che silenzia gli audit prima di operare. Su Junos OS attenzione a deactivate system syslog e a request system reboot.

Per i falsi positivi, considerare che script di automazione legittimi (Ansible, RANCID, backup notturni) generano comandi bulk fuori orario ufficio. La soluzione è etichettare gli IP sorgente dell'automazione come tag automation nel SIEM ed escluderli o trattarli con soglie diverse.

Sul fronte preventivo, l'implementazione di AAA con TACACS+ (M1026, M1038) è determinante: consente command authorization granulare, quindi un utente può essere autenticato ma vedere il comando no logging rifiutato lato server AAA con log dedicato. Questa è la contromisura più efficace perché sposta il controllo fuori dal device stesso.

Infine, integrare telemetria NetFlow/IPFIX per rilevare tunnel anomali creati via CLI (GRE, IPsec verso IP non censiti) e sessioni SSH management da geografie inattese verso il piano di controllo.

L'analisi forense su apparati di rete presenta sfide specifiche: memoria volatile, storage limitato, assenza di file system tradizionali analizzabili con tool classici. La raccolta deve avvenire il prima possibile e seguire un ordine preciso di volatilità.

Su Cisco IOS/IOS-XE i comandi di collection includono show tech-support, show running-config, show startup-config, show version, show users, show logging, show ip route, show snmp user, show archive log config all. Fondamentale il confronto tra running-config e startup-config per identificare modifiche non ancora salvate ma attive, spesso indicatore di attività opportunistica. Il comando show platform integrity su piattaforme supportate fornisce hash del boot loader e dell'immagine caricata, utile per rilevare firmware manomessi come nel caso di Line Dancer (S1186).

Su Junos OS, terreno della campagna C0056 (RedPenguin) contro i router MX Series, gli artefatti chiave si trovano in /var/log/messages, /var/log/interactive-commands, /var/log/wtmp e nella configurazione /config/juniper.conf. Il comando show system users rivela sessioni attive, mentre file list /var/tmp detail espone binari sospetti — le varianti custom di TINYSHELL deployate da UNC3886 risiedevano tipicamente in directory scrivibili. L'esecuzione di show system processes extensive aiuta a identificare processi non standard rispetto alla baseline di Junos.

La timeline va costruita correlando timestamp del syslog remoto (che sopravvive a un reboot del device, a differenza dei log locali) con eventi lato bastion host e lato AAA server. Se TACACS+ è in uso, i log del server AAA contengono command authorization con timestamp, username e device di destinazione: sono la fonte più affidabile perché fuori dal perimetro del dispositivo compromesso.

Per l'analisi della memoria, su piattaforme supportate esiste Cisco IOS Core Dump e la procedura documentata per l'invio a Cisco TAC. Strumenti community come Cisco IOS Forensic Toolkit (open source, limitato) e la suite di script del progetto Nettitude su GitHub aiutano nell'estrazione di stringhe e strutture dalla memoria dei device Cisco.

Gli IoC da cercare includono: utenti locali aggiunti fuori change management, ACL modificate per permettere IP esterni verso il management, immagini firmware con hash divergenti dal repository vendor, community SNMP RW non documentate, tunnel GRE/IPsec verso destinazioni non censite, e disabilitazione di service timestamps log datetime (tentativo di degradare la qualità dei log).

Da preservare come evidenza: dump completo show tech-support, copia dell'immagine da flash con copy flash: tftp: verso repository di analisi, e snapshot dei log del server TACACS+ nella finestra temporale sospetta.

Il panorama degli attori che abusano di T1059.008 è ristretto ma di alta caratura: si tratta quasi sempre di operatori sofisticati con capacità e obiettivi strategici sull'infrastruttura di rete, non di commodity crime.

Il caso di riferimento nei dati disponibili è UNC3886, gruppo attribuito da Mandiant a operazioni di cyber-espionage con nesso cinese, particolarmente attivo contro edge devices e appliance di virtualizzazione. La campagna C0056 (RedPenguin), condotta tra luglio 2024 e marzo 2025 contro router Juniper MX Series, è il caso di studio più maturo. UNC3886 ha combinato accesso alla CLI di Junos OS con il deployment di versioni custom del backdoor pubblico TINYSHELL, dimostrando una tesi operativa precisa: colpire il backbone di provider e grandi enterprise per ottenere posizioni di intercept persistenti, invisibili alla telemetria endpoint tradizionale.

Il software Line Dancer (S1186) rappresenta l'evoluzione parallela della minaccia: malware capace di eseguire comandi nativi via CLI di dispositivi di rete, indicativo di una tendenza in cui l'implant è progettato specificamente per il vendor e la piattaforma, non un porting generico. Questo pattern segna una maturazione dell'ecosistema offensivo: non più exploit opportunistici ma toolchain vendor-specific.

Sul piano dei pattern operativi, tre elementi ricorrono: primo, l'uso di credenziali valide ottenute upstream (supply-chain, phishing verso amministratori di rete, riutilizzo password da breach esterni) invece di exploit zero-day sulla CLI stessa; secondo, la manipolazione del logging come primo comando post-access, per creare finestre cieche; terzo, la persistenza attraverso modifiche allo startup-config o al firmware, che sopravvivono a reboot ma non necessariamente a re-imaging completo.

Sul piano geografico e settoriale, gli obiettivi documentati sono concentrati su telco, defense contractor, cloud/hosting provider e grandi enterprise con infrastrutture di rete estese. La motivazione è espionage a lungo termine: posizionare tap invisibili su choke point del traffico è più efficiente che compromettere centinaia di endpoint.

Come trend prospettici, ci si attende un allargamento del target set verso appliance SD-WAN e piattaforme di virtualizzazione di rete (NFV), dove la CLI di gestione è spesso esposta con hardening minore rispetto a router carrier-grade. Anche il segmento OT/ICS, con switch industriali che espongono CLI Telnet non cifrate, resta una superficie sottovalutata.

Per i team di TI, la raccomandazione è integrare feed vendor (Cisco PSIRT, Juniper SIRT, Arista Security Advisories) direttamente nel processo di threat modeling, e mappare l'esposizione management delle proprie appliance come asset critici di pari livello ai domain controller.

MITRE ATT&CK T1059.008 (Network Device CLI), tattica TA0002. Software S1186 (Line Dancer). Campagna C0056 (RedPenguin) con attribuzione UNC3886 su Juniper MX Series. Mitigazioni M1018, M1026, M1038. Detection DET0142 / AN0399. Consultato MITRE D3FEND per mapping difensivi. Integrata conoscenza professionale su sintassi CLI Cisco IOS e Junos OS, tool open source (Nmap, Netmiko, Ansible, RANCID, Oxidized, Batfish, GNS3) e procedure forensi documentate nei vendor advisory ufficiali Cisco e Juniper.