Simulazione attacco Brute Force su firewall aziendale: testare la resilienza del perimetro

Il perimetro aziendale è costantemente sotto assedio. Ogni giorno, migliaia di bot automatizzati scansionano la rete alla ricerca di servizi esposti (VPN, SSH, RDP) per tentare un accesso tramite brute force. Ma quanto è realmente efficace il tuo firewall nel rilevare e bloccare questi tentativi prima che diventino una violazione?

In Cyberdef crediamo che la teoria non basti. In questo articolo analizzeremo una simulazione controllata di attacco a forza bruta per capire come reagisce un’infrastruttura standard e come Wazuh può fare la differenza.

La dinamica della simulazione

L’obiettivo del test è forzare l’accesso a un servizio VPN aziendale utilizzando una lista di migliaia di combinazioni di utenti e password comuni (dictionary attack).

• Fase 1 (Scansione): L’attaccante identifica le porte aperte sul firewall che accettano autenticazione.
• Fase 2 (Esecuzione): Viene lanciato un software automatizzato che invia richieste di login a una velocità di 50 tentativi al secondo.
• Fase 3 (Analisi della soglia): Verifichiamo se il firewall applica un blocco automatico dell’IP sorgente (shunning) o se continua a processare le richieste inutilmente.

I limiti della difesa tradizionale

Molti firewall di vecchia generazione o non correttamente configurati si limitano a scrivere un log di “fallimento autenticazione” per ogni tentativo. Questo approccio genera due problemi critici:

1. Saturazione delle risorse: Il firewall spreca cicli di CPU per processare migliaia di richieste inutili, rischiando un Denial of Service (DoS).
2. Mancanza di Alerting: Senza un sistema di correlazione, quei log restano silenti finché un attaccante non indovina la password corretta.

Il ruolo di Wazuh nel rilevamento del Brute Force

Integrando i log del firewall con Wazuh, la simulazione cambia drasticamente esito. Wazuh non si limita a leggere i log, ma applica regole di correlazione temporale.

<rule id="100050" level="10" frequency="10" timeframe="60">
    <if_matched_sid>5710</if_matched_sid>
    <description>Rilevato attacco Brute Force: troppi fallimenti in 60 secondi</description>
    <mitre>
      <id>T1110</id>
    </mitre>
</rule>

Grazie a questa logica, Wazuh identifica l’attacco in pochi secondi e può innescare una Risposta Attiva (Active Response), istruendo il firewall o il router perimetrale a droppare istantaneamente ogni pacchetto proveniente dall’IP dell’attaccante.

Conclusioni: Passare dalla reazione alla prevenzione

Una simulazione di attacco brute force rivela spesso che la “porta blindata” aziendale è solida, ma nessuno sta guardando lo spioncino. Centralizzare i log perimetrali in un SOC e testare regolarmente le soglie di blocco è l’unico modo per assicurarsi che i tentativi di oggi non diventino le violazioni di domani.

Vuoi testare la reale tenuta del tuo firewall con una simulazione professionale? Contatta il team di Cyberdef.it e metti alla prova le tue difese prima che lo faccia un attaccante reale.