Quando la Rete si Rompe

Attacchi e Difese per Ogni Livello OSI

Abbiamo esplorato i sette livelli che definiscono la comunicazione di rete, dal cavo al browser (una struttura che si mappa perfettamente sul modello TCP/IP che usiamo ogni giorno). Ora, mettiamo alla prova le nostre conoscenze analizzando il cuore della sicurezza informatica: le vulnerabilità di ogni strato del modello OSI.

Ogni livello, con le sue funzioni specifiche, nasconde potenziali punti deboli che i cyber-criminali cercano di sfruttare. Comprendere questi rischi non è solo teoria, ma il primo passo per una Difesa in Profondità (Defense in Depth) efficace.

Livello 1 (Fisico): Intercettare il Flusso (La Messa a Terra)

A questo livello non si parla di codice o software, ma di cavi, onde radio e segnali. Gli attacchi mirano a intercettare i dati direttamente dal mezzo di trasmissione.

L'Attacco

Un esempio classico è l'eavesdropping (intercettazione), dove un attaccante si connette fisicamente al cavo di rete per "ascoltare" il traffico. Nel caso di reti wireless, un attacco simile può avvenire semplicemente intercettando il segnale Wi-Fi.

La Difesa Pratica: 

La sicurezza inizia con il controllo fisico degli accessi (armadi rack e patch panel chiusi e sorvegliati). Sulle reti wireless, è essenziale l'uso di protocolli moderni come WPA3 e, per le infrastrutture critiche, il passaggio alla fibra ottica, molto più difficile da intercettare rispetto al cavo in rame.

Livello 2 (Data Link): Ingannare la Rete Locale (L'Identità Falsificata)

Il Livello 2 si occupa degli indirizzi MAC. Gli attacchi a questo strato sono particolarmente pericolosi perché operano all'interno della stessa rete locale (Trust Boundary).

Gli Attacchi: 

ARP Poisoning: L'attaccante inietta messaggi ARP falsi, associando il proprio indirizzo MAC all'IP del router. I dati destinati al router passano per l'attaccante, che può esaminarli e inoltrarli a sua volta, rendendo l'attacco un perfetto Man-in-the-Middle (MITM).

MAC Spoofing: Consiste nel mascherare l'indirizzo MAC del proprio dispositivo per farlo apparire come un altro, bypassando così i controlli di sicurezza basati su indirizzi fisici.

La Difesa Pratica: 

Sugli switch di rete gestiti (*Managed Switch*), è cruciale implementare Dynamic ARP Inspection (DAI) e DHCP Snooping. Queste tecnologie convalidano dinamicamente le associazioni IP-MAC, bloccando alla radice i tentativi di avvelenamento della cache ARP.

Livello 3 (Rete): Inondare il Percorso (L'Inganno Globale)

Questo livello gestisce gli indirizzi IP e il routing. Gli attacchi qui mirano a ingannare i router o a sovraccaricarli a livello globale.

Gli Attacchi:

IP Spoofing: Un attaccante invia pacchetti di dati mascherando l'indirizzo IP del mittente, facendolo sembrare provenire da una fonte attendibile (spesso per nascondere la propria identità o bypassare firewall).

DDoS (Distributed Denial of Service): Migliaia di computer infetti ("botnet") inviano enormi quantità di traffico al server, saturando la larghezza di banda e i processori. L'obiettivo non è rubare dati, ma rendere il servizio totalmente non disponibile.

La Difesa Pratica:

Per lo Spoofing, i provider dovrebbero applicare l'Ingress Filtering (filtrare i pacchetti in entrata con IP sorgenti non validi). Per la difesa DDoS, è necessario l'uso di servizi specializzati *Cloud-based che operano come WAF (Web Application Firewall) e che assorbono e ripuliscono il traffico prima che raggiunga la rete interna.

Livello 4 (Trasporto): Sfruttare le Connessioni (L'Assedio al Server)

A questo livello si agisce sui protocolli TCP e UDP, che stabiliscono la sessione logica tra i sistemi.

L'Attacco:

Il TCP SYN Flood è una forma di DDoS che sfrutta il meccanismo di handshake a tre vie del TCP. L'attaccante invia un'enorme quantità di pacchetti **SYN** (richiesta di connessione), ma non invia l'ultimo ACK. Il server rimane in attesa, mantenendo aperte centinaia di migliaia di connessioni "incomplete", saturando le sue risorse e rendendolo incapace di gestire le richieste legittime.

La Difesa Pratica:

L'uso di Firewall Stateful (a stati) è vitale; questi tengono traccia dello stato di ogni connessione e scartano rapidamente le richieste a metà non valide. Inoltre, si possono configurare timeout aggressivi per le connessioni incomplete.

Livello 5 (Sessione): Rapire la Conversazione (Il Passaggio di Testimone)

Il Livello 5 gestisce l'apertura, il mantenimento e la chiusura delle sessioni logiche.

L'Attacco:

Il Session Hijacking (Furto di sessione) avviene dopo l'autenticazione. L'attaccante riesce a rubare la session token (un identificativo temporaneo), spesso contenuta in un *cookie*, e la utilizza per impersonare l'utente. In questo modo, può accedere all'account (ad esempio un sito bancario) senza conoscere la password, poiché la sessione è già attiva.

La Difesa Pratica:

Le applicazioni devono generare token di sessione complessi e non prevedibili e implementare un session timeout breve per l'inattività. È fondamentale inoltre assicurarsi che i cookie abbiano flag di sicurezza (HttpOnly, Secure).

Livello 6 (Presentazione): Manipolare i Dati Cifrati (La Mascherata Cifrata)

Questo livello gestisce la cifratura, la compressione e la formattazione dei dati.

L'Attacco:

L'SSL Stripping (o SSL Hijacking) è un perfetto esempio. Un attaccante si posiziona come MITM. Quando l'utente cerca di connettersi in modo sicuro (HTTPS), l'attaccante intercetta la richiesta, mantiene una connessione sicura con il server ma ne invia una **non sicura (HTTP)** al browser dell'utente, scambiando i dati in chiaro e rendendoli visibili. Il browser non mostra il lucchetto di sicurezza.

La Difesa Pratica:

Implementare HSTS (HTTP Strict Transport Security). Questo header comunica al browser che il sito web deve essere raggiunto solo tramite HTTPS, prevenendo che l'attaccante possa effettuare il downgrade a HTTP.

Livello 7 (Applicazione): Il Terreno di Caccia (L'Anello Più Debole)

Il Livello 7 è il più vulnerabile perché le vulnerabilità si trovano direttamente nelle applicazioni e nei servizi con cui interagiamo.

Gli Attacchi:

Phishing: La forma più diffusa di ingegneria sociale. L'attaccante si spaccia per un'entità legittima (banca, social media) per indurre la vittima a fornire dati personali.

Malware e Ransomware: Software malevoli che cifrano i dati dell'utente, chiedendo un riscatto, o compromettono l'intera macchina (*endpoint*).

SQL Injection: Un attaccante inserisce codice malevolo in un campo di input di un'applicazione web. Se il codice non viene neutralizzato, il database lo esegue, permettendo all'attaccante di accedere o manipolare i dati.

La Difesa Pratica:

Questo livello richiede il massimo sforzo di sviluppo e formazione:

Per gli sviluppatori: Input Validation rigorosa e l'uso di Prepared Statements per le query al database (per prevenire SQL Injection).

Per l'utente: Uso di Autenticazione a più fattori (MFA), antivirus/EDR e formazione anti-phishing continua.

In Conclusione..

La Sicurezza come Stratificazione

Ogni livello della rete presenta sfide di sicurezza uniche e interconnesse. Come abbiamo visto, un attacco a un livello inferiore (come l'ARP Poisoning al Livello 2) può facilitare un attacco a un livello superiore.

Conoscere queste vulnerabilità e applicare le difese appropriate a ogni strato non è solo un esercizio teorico, ma l'unica strategia valida per costruire una  resilienza cibernetica duratura.