Anatomia di un'intrusione nella dorsale: i tre «piani» di una rete e perché chi li conquista controlla il traffico

Una grande rete di telecomunicazioni si può immaginare come un palazzo a tre piani sovrapposti, ciascuno con un ruolo diverso. Capire questi tre piani è la chiave per capire perché certe intrusioni sono così gravi.

Il piano di gestione (in inglese management plane) è la sala comandi: è da qui che i tecnici configurano gli apparecchi, tramite accessi come SSH o SNMP. Il piano di controllo (control plane) è il cervello: è dove «ragionano» i protocolli che decidono per quale strada far passare i dati — sigle come BGP e OSPF. Il piano dati (data plane) è il lavoro vero e proprio: l'inoltro fisico dei pacchetti, il traffico che scorre.

Un'intrusione seria segue sempre la stessa salita: entra dal piano di gestione (la sala comandi), e da lì punta al piano di controllo (il cervello). Perché? Perché chi controlla il piano di controllo può cambiare le «strade» del traffico: può osservare dove vanno le comunicazioni, o deviarle verso di sé per ascoltarle. È molto più potente che bucare un singolo computer.

Il piano di gestione è la porta; il piano di controllo è la stanza dove si decide dove va a finire il traffico di tutti.

I segnali da cercare

Un difensore non può controllare ogni pacchetto, ma può sorvegliare la sala comandi. I segnali tipici di un'intrusione sono: modifiche alle configurazioni che nessun tecnico ha autorizzato, la comparsa di nuove «conversazioni» tra router (nuove sessioni BGP), e cambiamenti alle liste che decidono chi può accedere agli apparecchi. Ecco come si cercano nei log e come si blinda l'ingresso:

# Cerca modifiche di configurazione e nuove sessioni di routing nei log
grep -E "CONFIG_I|%BGP-5-ADJCHANGE|ACL" /var/log/network.log

# Come proteggere la sala comandi
- Accesso agli apparecchi solo da una rete separata e dedicata
- Un sistema centrale di login con secondo fattore (MFA)
- Log tenuti al sicuro, che l\u2019attaccante non possa cancellare

Perché conta. La difesa più efficace è tenere la sala comandi fuori dalla portata di Internet: una rete separata solo per la gestione, accessi con secondo fattore e log inviolabili. Se l'attaccante non arriva al piano di gestione, non arriva nemmeno al cervello della rete. È lì che si spezza la catena, prima che tocchi il traffico di milioni di persone.