🤖 AI

NetSecBed: A Container-Native Testbed for Reproducible Cybersecurity Experimentation

Il paper presenta NetSecBed, un ambiente di test nativo basato su container progettato per generare in modo riproducibile e tracciabile evidenze di traffico e artefatti di esecuzione in scenari di cybersecurity eterogenei, integrando 60 scenari di attacco e servizi target in un'unica infrastruttura estendibile.

Autori originali: Leonardo Bitzki, Diego Kreutz, Tiago Heinrich, Douglas Fideles, Leandro Bertholdo, Silvio Quincozes, Angelo Diniz

Pubblicato 2026-04-07

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Leonardo Bitzki, Diego Kreutz, Tiago Heinrich, Douglas Fideles, Leandro Bertholdo, Silvio Quincozes, Angelo Diniz

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di voler studiare come si comporta un'auto durante un incidente, ma invece di usare un vero crash test, devi guardare solo una foto statica scattata anni fa. È difficile capire cosa è successo davvero, vero? E se l'auto fosse cambiata modello da allora?

Questo è il problema che affrontano gli scienziati della sicurezza informatica oggi: hanno bisogno di dati reali e aggiornati per capire come gli hacker attaccano i sistemi, ma spesso si basano su "fotografie statiche" (dataset vecchi) che non riflettono più la realtà.

NetSecBed è la soluzione proposta in questo articolo. È come un laboratorio di sperimentazione digitale che permette di ricreare incidenti informatici in modo sicuro, controllato e, soprattutto, ripetibile all'infinito.

Ecco come funziona, spiegato con parole semplici e analogie:

1. Il Laboratorio dei "Container" (La cucina a prova di disastro)

Immagina un laboratorio dove ogni esperimento avviene in una scatola magica (un "container").

Prima: Se volevi testare un attacco, dovevi installare software su computer veri, configurare reti complesse e rischiare di rompere tutto. Era come cucinare una torta in una cucina piena di persone che corrono: difficile ripetere la ricetta esattamente uguale la volta dopo.
Ora con NetSecBed: Tutto è contenuto in scatole isolate. C'è una scatola per l'attaccante, una per la vittima (il server) e una per il traffico normale. Se vuoi testare un nuovo attacco, aggiungi semplicemente una nuova scatola. Se qualcosa va storto, butti via la scatola e ne prendi un'altra identica. Niente disastri, niente "ma il mio computer era diverso dal tuo".

2. La Libreria di Attacchi (Il menu del ristorante)

NetSecBed ha già preparato 60 ricette di attacchi diversi (come il famoso "SYN Flood", che è come se un'orda di persone bloccasse l'ingresso di un negozio impedendo ai clienti veri di entrare).
Invece di dover scrivere la ricetta da zero ogni volta, gli scienziati possono scegliere dal menu: "Oggi proviamo l'attacco MQTT contro un sensore IoT" o "Oggi proviamo l'attacco HTTP contro un sito web". È tutto pronto, etichettato e pronto all'uso.

3. Il Regista (L'orchestratore)

C'è un "regista" che coordina tutto. Non si limita a lanciare l'attacco; gestisce la scena come un film:

Riscaldamento: Lascia che il sistema si stabilizzi (come un motore che si scalda).
Attacco: Lancia l'attacco per un tempo preciso.
Raffreddamento: Osserva come il sistema si riprende dopo l'attacco.

Durante tutto il film, il regista registra tutto: ogni pacchetto di dati che passa, ogni errore, ogni millisecondo di ritardo. Non lascia nulla al caso.

4. Perché è rivoluzionario? (La macchina del tempo)

Il vero superpotere di NetSecBed è la ripetibilità.
Se oggi un ricercatore dice: "Ho visto che l'attacco X rallenta il sistema Y", un altro ricercatore può usare NetSecBed per dire: "Fammi vedere". E può ricreare esattamente lo stesso scenario, con gli stessi parametri, nello stesso modo.
È come se avessimo una macchina del tempo che ci permette di rivivere un incidente informatico esattamente come è successo, per studiarlo, capirlo e trovare una cura, senza dover aspettare che accada davvero nel mondo reale.

Cosa hanno scoperto? (L'esempio del DoS)

Nel paper, hanno testato un attacco che intasa un sito web (DoS SYN Flood).

Senza attacco: Il sito risponde in 3 millisecondi (velocissimo).
Con l'attacco forte: Il sito diventa lentissimo (impiega oltre 1 secondo e mezzo) e smette di rispondere a quasi la metà delle richieste.
Dopo l'attacco: Il sito torna subito veloce come prima.

Grazie a NetSecBed, hanno potuto misurare esattamente quanto il sistema soffre, quanto tempo ci mette a riprendersi e quali risorse (come la memoria del computer) si surriscaldano durante l'attacco.

In sintesi

NetSecBed è come un videogioco di simulazione per la cybersecurity, ma con regole scientifiche rigorose. Permette agli esperti di:

Creare scenari di attacco realistici.
Misurare i danni con precisione chirurgica.
Condividere i risultati in modo che chiunque possa verificarli.

Invece di studiare la sicurezza guardando vecchi libri di storia, ora possiamo fare esperimenti in un laboratorio dove possiamo cambiare le variabili, ripetere la prova e ottenere dati freschi e affidabili per proteggere il nostro mondo digitale.

1. Il Problema

La ricerca sulla cybersecurity dipende sempre più da evidenze riproducibili (tracce di traffico, log, dataset etichettati) per valutare meccanismi di rilevamento e risposta agli incidenti. Tuttavia, l'attuale stato dell'arte presenta diverse criticità:

Dataset Statici e Obsoleti: I dataset pubblici esistenti sono spesso statici, non supportano la riesecuzione controllata e diventano rapidamente obsoleti a causa dei cambiamenti nei protocolli, nelle versioni software e nelle strategie avversarie.
Mancanza di Riproducibilità: La generazione di evidenze sperimentali in ambienti eterogenei (che combinano servizi tradizionali come HTTP/SSH con protocolli IoT/IIoT come MQTT, CoAP, Zenoh) è complessa. Minime variazioni nella configurazione o nel rumore di fondo possono alterare i risultati, compromettendo la comparabilità tra esperimenti.
Limiti dei Testbed Esistenti: Le piattaforme attuali spesso ottimizzano dimensioni isolate (es. realismo fisico o specificità di un protocollo) ma falliscono nel fornire copertura degli attacchi, eterogeneità dei protocolli, scalabilità e supporto per la generazione continua e sistematica di dataset. Spesso richiedono pipeline parzialmente manuali o scenari accoppiati a domini specifici, ostacolando l'audit e l'evoluzione incrementale.

2. Metodologia e Architettura

NetSecBed propone un approccio container-nativo e orientato agli scenari per la generazione di evidenze riproducibili. L'architettura si basa su quattro principi metodologici fondamentali: isolamento rigoroso dei componenti, esecuzione standardizzata, estendibilità dichiarativa e tracciabilità end-to-end degli artefatti.

L'architettura è suddivisa in quattro sottosistemi complementari:

Repository di Artefatti Containerizzati:
- Ogni scenario di attacco è formalizzato come un componente isolato e monofunzionale (un container).
- Include attaccanti, servizi target (Web, MySQL, SSH, Telnet, SMB, MQTT, CoAP, Zenoh, XRCE-DDS) e generatori di traffico benigno parametrizzabili.
- Ogni scenario è descritto tramite metadati strutturati (YAML) che definiscono l'immagine Docker, i parametri, le note operative e il mappaggio con le tattiche e tecniche MITRE ATT&CK.
- Estendibilità: Nuovi attacchi possono essere aggiunti in modo dichiarativo creando una directory dedicata, un Dockerfile, uno script entrypoint.sh e aggiornando il file di configurazione, senza modificare il core del sistema.
Motore di Orchestrazione e Operazioni:
- Trasforma specifiche astratte in flussi di lavoro eseguibili, osservabili e ripetibili.
- Gestisce un ciclo di vita controllato: Warm-up (stabilizzazione del servizio), Attacco (interferenza avversaria) e Cooldown (recupero).
- Esegue sonde di disponibilità e latenza durante tutte le fasi, etichettando i campioni temporali per consentire analisi di impatto e robustezza.
Livello di Elaborazione Dati e Generazione Artefatti:
- Converte i segnali grezzi (pcap, log, metriche di servizio) in evidenze analizzabili.
- Utilizza estrattori multipli indipendenti (TShark, Scapy, NTLFlowLyzer) per preservare pipeline parallele, permettendo la verifica della coerenza e l'analisi della perdita di informazioni.
- Consolida i dati in dataset tabellari standardizzati, report sintetici e visualizzazioni analitiche.
Ambiente di Sviluppo e Sperimentazione:
- Progettato per essere leggero, deployabile su hardware commodity (bare-metal o virtualizzato) e basato su componenti open-source per facilitare l'adozione nella ricerca e nell'insegnamento.

Formalizzazione Sperimentale:
Ogni esperimento è modellato come una tupla $E = (C, P, B, I, R)$ , dove $C$ è lo scenario, $P$ lo spazio dei parametri, $B$ la baseline benigna, $I$ il piano di strumentazione e $R$ il piano di ripetizione. Questo approccio separa esplicitamente l'esecuzione dall'interpretazione, garantendo che le analisi scientifiche siano sempre re-eseguibili dai dati grezzi.

3. Contributi Chiave

I principali contributi del lavoro sono:

Architettura Container-Nativa Osservabile: Un framework che standardizza l'intero ciclo di vita sperimentale, riducendo il bias operativo e migliorando la tracciabilità.
Catalogo Strutturato ed Estendibile: Integrazione di 60 scenari di attacco che coprono 9 servizi target e protocolli eterogenei (tradizionali e IoT/IIoT), mappati su MITRE ATT&CK.
Pipeline Automatizzata: Un flusso di lavoro completo che gestisce l'esecuzione parametrizzata, la cattura dei pacchetti, la raccolta dei log, l'estrazione delle feature e la consolidazione dei dataset.
Generazione Continua di Evidenze: Un framework metodologico che supporta la generazione continua di dataset aggiornati, superando i limiti dei collezioni statiche e migliorando la validità esterna dei risultati.

4. Risultati Sperimentali

Per validare il framework, è stato eseguito un esperimento di attacco DoS SYN Flood su un servizio HTTP, variando l'intensità dell'attacco (Livello L0: basso, L3: massimo) e analizzando le fasi di warm-up, attacco e cooldown.

Stabilità in Condizioni Baseline (L0): Il servizio ha mantenuto il 100% di successo e una latenza bassa (p50 ~3 ms) in tutte le fasi, confermando la robustezza della baseline.
Degradazione sotto Attacco (L3): Durante la fase di attacco, si è osservata una significativa degradazione:
- Il tasso di successo è sceso al 55,6%.
- La latenza mediana (p50) è aumentata da ~3 ms a 1275,74 ms.
- Le latenze di coda (p95/p99) hanno raggiunto 2002,2 ms, indicando che le richieste completate operavano vicino al limite del timeout.
Recupero e Isolamento: Le fasi di warm-up e cooldown hanno mostrato un ritorno immediato al comportamento di baseline (100% successo, latenza < 5 ms), dimostrando che il degrado era temporale e direttamente attribuibile all'attacco, senza effetti di persistenza significativi.
Metriche di Risorse: L'analisi delle risorse del server target ha mostrato un aumento immediato dell'utilizzo CPU e del carico di sistema (load1) durante l'attacco, con un incremento dell'uso della memoria (dal 75% al 91%) che non si è completamente recuperato entro la finestra di osservazione.

5. Significatività e Impatto

NetSecBed rappresenta un avanzamento significativo nello stato dell'arte della ricerca sulla cybersecurity per diversi motivi:

Riproducibilità Scientifica: Trasforma l'esperimento di sicurezza da un'attività operativa isolata in un processo scientifico controllato, auditabile e ripetibile.
Adattabilità agli Ambienti Moderni: La capacità di gestire protocolli eterogenei (dall'SSH al Zenoh) lo rende ideale per ambienti IoT, IIoT e di calcolo pervasivo, dove la diversità dei dispositivi è la norma.
Sostenibilità dei Dataset: Risolve il problema dell'obsolescenza dei dataset permettendo la generazione continua di evidenze aggiornate man mano che i servizi e le minacce evolvono.
Validità Esterna: Fornisce un framework robusto per la valutazione comparativa di meccanismi di rilevamento e risposta agli incidenti, riducendo la dipendenza da dati statici e migliorando la generalizzabilità dei risultati di ricerca.

In sintesi, NetSecBed non è solo un testbed per eseguire attacchi, ma un'infrastruttura metodologica completa per la generazione di evidenze forensi e di sicurezza di alta qualità, scalabile e tracciabile.