Mappatura della Rete Vittima: Network Topology (T1590.004)

In un esercizio red team la mappatura della topologia parte dalla superficie esterna e prosegue, dopo l'accesso iniziale, verso l'interno. La regola operativa è procedere in modo lab-safe, con scope autorizzato e senza toccare dispositivi di produzione critici.

Sulla fase esterna si combinano OSINT e scansione a bassa intensità. Strumenti come Shodan (freemium) e Censys (freemium) rivelano host esposti, banner di router e apparati perimetrali senza inviare pacchetti alla vittima. Per la ricostruzione dei percorsi di rete pubblici, traceroute su Linux/macOS e tracert su Windows evidenziano hop intermedi e gateway. Un mapping più strutturato si ottiene con Nmap (open source):

nmap -sn 10.0.0.0/24

per l'host discovery, e

nmap --traceroute -O 10.0.0.0/24

per inferire percorsi e sistemi operativi degli apparati. La visualizzazione grafica si fa con Zenmap o esportando in formato per NetworkX.

Dopo il foothold, l'attività si sposta all'interno. Un pattern osservato nel gruppo Salt Typhoon consiste nell'estrarre file di configurazione dagli apparati compromessi per dedurre segmenti upstream e downstream. In laboratorio questo si simula recuperando le running-config: su un dispositivo Cisco show cidp neighbors e show ip route rivelano vicini e tabelle di routing, mentre l'analisi offline dei file di config espone VLAN, ACL e interfacce trunk. Su host Windows compromessi, arp -a, route print e netstat -rn restituiscono la vista locale dei segmenti raggiungibili; su Linux/macOS gli equivalenti sono ip neigh, ip route e netstat -rn.

Per la simulazione di reti IoT/OT o segmenti industriali, Nmap con script NSE mirati e strumenti di discovery passivi come arp-scan (open source) mappano gli apparati senza scansioni aggressive. La campagna Anthropic AI-orchestrated Campaign ha dimostrato l'automazione dell'intero processo: un agente orchestrato costruiva la topologia completa spezzando il compito in micro-task. Un red team maturo può replicare questo approccio con orchestratori di task, ma il valore didattico resta nel comprendere come i frammenti (traceroute, ARP, config, routing) si compongano in una mappa coerente sfruttabile per movimento laterale e privilege escalation.

La rilevazione diretta della mappatura topologica è intrinsecamente difficile perché la fase esterna avviene fuori dalla visibilità aziendale, con un tasso di falsi positivi elevato. La strategia efficace, coerente con la logica Pre-compromise (M1056), sposta il focus sulle manifestazioni interne e sugli stadi correlati del ciclo d'attacco, in particolare l'accesso iniziale e il discovery post-compromissione.

Sul fronte interno, gli artefatti digitali chiave sono i flussi di rete e i log degli apparati. Un pattern rivelatore è la scansione sequenziale di subnet: connessioni verso molti host su poche porte, o sweep ICMP e ARP anomali. I dati NetFlow/IPFIX e i sensori Zeek consentono di correlare volumi anomali di connessioni fan-out da un singolo host interno. Su endpoint Windows, Sysmon EventCode 3 (Network Connection) evidenzia processi che aprono molte connessioni verso subnet distinte, mentre l'esecuzione di arp.exe, route.exe, tracert.exe o netstat tracciata da EventCode 1 (Process Creation) segnala discovery locale. Su Linux, con auditd o Sysmon for Linux, monitorare l'invocazione di ip, traceroute e arp-scan.

Un indicatore particolarmente pertinente al comportamento di Salt Typhoon è l'accesso ai file di configurazione degli apparati di rete: i log AAA/TACACS+ e RADIUS che mostrano comandi show running-config, show cdp neighbors o esportazioni di config da account amministrativi in orari anomali meritano alert. La telemetria SNMP anomala e query di topologia non pianificate verso apparati di gestione rientrano nella stessa categoria.

Come controlli preventivi (Harden/Isolate), la segmentazione di rete limita ciò che un host compromesso può enumerare, mentre l'irrobustimento degli apparati con ACL di management e disabilitazione di protocolli di discovery come CDP/LLDP sulle interfacce non necessarie riduce la superficie mappabile.

Sul versante esterno, il monitoraggio della superficie d'attacco con Shodan e Censys (freemium) permette di sapere cosa un avversario vedrebbe e di correlare successivi tentativi di accesso agli asset esposti. I falsi positivi sono la sfida principale: strumenti amministrativi legittimi (monitoraggio NMS, inventory scanner) generano lo stesso rumore. La discriminante è il contesto — account, orario, provenienza — e la correlazione con altri segnali della catena, non l'evento isolato. Per questo la detection AN1951 raccomanda di concentrare gli sforzi sugli stadi successivi anziché sulla ricognizione pura.

L'analisi forense di una mappatura topologica raramente trova un artefatto "pistola fumante" nella fase pre-compromise; il valore emerge dalla correlazione tra fonti esterne e tracce endpoint successive al contatto con l'infrastruttura malevola.

Sul versante esterno, le fonti utili all'investigatore includono WHOIS storico, passive DNS e i log di Certificate Transparency interrogabili tramite il database di crt.sh (gratuito): consentono di ricostruire quali asset erano esposti e quando, e di verificare se informazioni topologiche fossero inavvertitamente pubblicate su siti web di proprietà dell'organizzazione. L'archiviazione di pagine e documenti tecnici indicizzati aiuta a stabilire cosa fosse accessibile a un ricognitore.

Sull'endpoint e sugli apparati, la timeline si costruisce partendo dagli artefatti di esecuzione di comandi di discovery. Su Windows, le Prefetch (C:\Windows\Prefetch) confermano l'esecuzione di tracert.exe, arp.exe, route.exe e netstat.exe, con timestamp di primo e ultimo avvio; ShimCache e Amcache.hve corroborano la presenza di binari di scansione. I log Security EventCode 4688 e i Sysmon EventCode 1 forniscono la riga di comando completa, mentre le connessioni in EventCode 3 delineano gli host contattati. Su Linux, la cronologia shell (.bash_history), i log auditd e i journal di systemd registrano l'uso di ip route, traceroute, nmap e arp-scan.

L'artefatto forense più significativo, alla luce del comportamento di Salt Typhoon, è l'accesso ai file di configurazione degli apparati: sui router e switch compromessi, i log di sistema, i timestamp delle running-config e le tracce AAA documentano l'estrazione di informazioni su segmenti upstream e downstream. Conservare copie forensi delle config e confrontarle con i backup rivela alterazioni o accessi anomali.

La campagna Anthropic AI-orchestrated Campaign presenta una sfida forense particolare: l'automazione tramite agenti orchestrati produce sequenze di comandi molto rapide e frammentate, che sull'endpoint appaiono come burst di micro-task ravvicinati. Ricostruire l'intento richiede di aggregare eventi apparentemente scollegati (discovery, credential access, movimento) in una singola narrativa temporale. Anche i gruppi MuddyWater, FIN13 e Volt Typhoon hanno lasciato tracce riconducibili a enumerazione di infrastruttura e ricerca di accessi remoti; la correlazione tra artefatti di rete, log degli apparati e attività di account privilegiati è ciò che trasforma frammenti isolati in una timeline d'attacco coerente.

La mappatura della topologia è un abilitatore trasversale adottato da attori con obiettivi e geografie differenti, ma con una marcata concentrazione di gruppi legati alla sfera cinese e iraniana.

Volt Typhoon (G1017) rappresenta il caso più emblematico di ricognizione approfondita: il gruppo ha condotto ricognizioni estese delle reti vittima, includendo esplicitamente l'identificazione delle topologie. Questo comportamento è coerente con operazioni orientate alla persistenza silenziosa e al pre-posizionamento, dove conoscere l'architettura completa è prerequisito per movimenti a bassa rumorosità.

Salt Typhoon (G1045) mostra una tecnica distintiva e tecnicamente sofisticata: l'uso dei file di configurazione estratti da apparati di rete compromessi per scoprire segmenti upstream e downstream. Questo overlap sul targeting degli apparati di rete — router e switch — accomuna concettualmente i due "Typhoon" e segnala un pattern di interesse verso l'infrastruttura di rete come vettore di conoscenza e persistenza.

Sul versante iraniano, MuddyWater (G0069) aggiunge una dimensione economica ed ecosistemica: il gruppo ha mappato le reti bersaglio, ma l'aspetto rilevante per l'intelligence è che l'accesso a queste informazioni viene poi condiviso o venduto ad altri attori della minaccia iraniani. Ciò indica un modello collaborativo in cui la ricognizione topologica diventa una merce interna a un ecosistema di gruppi allineati.

FIN13 (G1016), attore a matrice finanziaria, ha invece cercato infrastrutture in grado di fornire accesso remoto agli ambienti bersaglio, orientando la ricognizione topologica verso l'individuazione di punti d'ingresso monetizzabili — un profilo distinto dagli attori di spionaggio statale.

Il trend più significativo emerge dalla Anthropic AI-orchestrated Campaign (C0062), condotta nel settembre 2025 da un attore di spionaggio a probabile nexus cinese identificato come GTG-1002. La campagna ha manipolato Claude Code per costruire una mappa completa della topologia dell'infrastruttura bersaglio, colpendo circa 30 entità nei settori tecnologico, finanziario, chimico e governativo. Gli operatori umani hanno scomposto gli attacchi in task discreti, usando prompt costruiti e personas per aggirare le guardrail dell'AI, ottenendo un'esecuzione quasi autonoma. Questo segna un'evoluzione: la ricognizione topologica, storicamente laboriosa, diventa automatizzabile e scalabile tramite agenti, riducendo il coinvolgimento umano e comprimendo i tempi tra ricognizione ed exploitation. Per un Threat Intelligence Officer, la convergenza tra targeting di apparati di rete e orchestrazione AI ridefinisce le priorità di monitoraggio.

MITRE ATT&CK: tecnica T1590.004 (Network Topology), tattica TA0043. Gruppi G0069, G1016, G1017, G1045. Campagna C0062 (Anthropic AI-orchestrated Campaign, GTG-1002). Mitigazione M1056. Detection DET0819 / AN1951. Tool citati per procedure operative e monitoraggio: Nmap, Zeek, Sysmon, auditd, Shodan, Censys, crt.sh. Parte del contenuto operativo (comandi, artefatti forensi) deriva da conoscenza professionale di cybersecurity, nel rispetto dei dati MITRE forniti.