Server DHCP compromessi: scopri come bloccare alla radice l’escalation privilegiata nei network

Risposta rapida: per bloccare l’escalation privilegiata via DHCP compromesso, isola subito le fonti non autorizzate, abilita DHCP snooping su tutti gli switch d’accesso, attiva 802.1X, applica IP Source Guard e Dynamic ARP Inspection, segmenta per ruoli e monitora le opzioni DHCP critiche (3, 6, 15, 66/67).

Perché un DHCP malevolo apre la strada ai privilegi

Un server DHCP non autorizzato può riscrivere gateway, DNS e rotte, dirottando traffico e credenziali. È l’innesco perfetto per escalation laterali.

• Ridirige il traffico: assegna gateway “falsi” e DNS controllati dall’attaccante.
• Manipola servizi: con opzioni 66/67 orienta a TFTP/PXE non fidati.
• Abilita MITM: combinato con ARP spoofing e proxy, intercetta sessioni.
• Sfrutta fiducia implicita: in reti piatte, un’offerta DHCP malevola prevale.

Il protocollo Dynamic Host Configuration Protocol nasce per semplificare, non per autenticare. Senza controlli di livello 2 e policy, è la via più breve per aggirare la segmentazione logica.

Potrebbe interessarti anche

Le vulnerabilità più trascurate nei dispositivi di rete industriali: come riconoscerle prima degli attacchiGestione delle password nei sistemi di rete: la strategia che riduce errori e rischi di compromissioneLa fibra ottica è sempre la scelta più veloce? Il dettaglio nascosto che rallenta molte connessioniUpgrade della rete aziendale a 2.5GbE: i vantaggi pratici che puoi ottenere subito

Segnali d’allarme in rete

Indizi rapidi che qualcosa non torna.

• Lease anomali: IP di pool “ombra” o subnet inattese.
• DNS/Gateway improvvisamente diversi nei client di uno stesso segmento.
• Opzione 82 assente su offerte in reti dove di norma è presente.
• Picchi di DHCP OFFER rilevati da IDS/NDR o switch.
• Vendor MAC sospetto per un’interfaccia che rilascia OFFER/ACK.
• Log NTP sfasati: spesso indizio di host “rogue” fuori sincronizzazione.

Azioni immediate (prime 24 ore)

Riduci la superficie d’attacco senza spegnere il business.

• Mappa e isola: individua porte di accesso da cui partono OFFER, imposta lo shutdown temporaneo o spostale in VLAN di quarantena.
• Abilita DHCP snooping su tutti gli switch edge; contrassegna come trusted solo le uplink verso i server legittimi.
• Attiva IP Source Guard per bloccare IP non coerenti con la tabella di binding DHCP.
• Abilita Dynamic ARP Inspection per impedire MITM a valle del DHCP malevolo.
• Cancella lease e rinnova nei segmenti colpiti; forza DHCPRELEASE/RENEW sugli endpoint critici.
• Blocca servizi non necessari (TFTP, PXE) fuori dalla finestra di manutenzione.
• Centralizza i log di DHCP, switch e firewall; attiva alert su cambio gateway/DNS.
• Patch e credenziali: aggiorna i server DHCP ufficiali e ruota le password d’amministrazione di rete.

In sintesi: chiudi la sorgente (snooping), valida le identità alla porta (802.1X), impedisci il movimento laterale (segmentazione + DAI), osserva tutto (telemetria e alert).

Hardening definitivo dell’infrastruttura

Stabilisci controlli che reggano nel tempo.

• 802.1X su accesso con fallback MAB per IoT; profila i device critici.
• Segmentazione per ruolo: VLAN distinte per utente, server, gestione; nessun DHCP server fuori dai segmenti designati.
• Opzione 82 obbligatoria sugli switch d’accesso, per tracciare la porta d’origine.
• RBAC e change control sui server DHCP: chi può creare pool e opzioni? Registra ogni modifica.
• IPAM/DHCP/DNS integrati (soluzioni DDI) con audit e firma delle configurazioni.
• Controllo del piano dati: ACL che permettono DHCP (67/68) solo tra porte trusted e server autorizzati.
• Servizi di bootstrap protetti: PXE/TFTP segregati, abilitati esclusivamente in finestre di manutenzione.
• Policy endpoint: disabilita LLMNR e WPAD; imposta DNS statici per gli asset sensibili.
• Monitoraggio continuo con NDR/IDS: allerta su OFFER multipli, option set anomali, gateway inconsueti.

Tabella rischi e contromisure

Procedure operative e test

Standardizza la risposta, riduci i tempi.

Checklist di risposta

1. Conferma: raccogli OFFER/ACK sospetti e interfacce d’origine.
2. Contieni: porta in blocco o quarantena, annulla lease.
3. Ripristina: riallinea gateway/DNS, valida la reachability.
4. Indaga: analizza log, identifica l’asset che ha generato il rogue.
5. Correggi: applica hardening su switch, server e policy endpoint.

Test periodici

• Simulazioni controllate in laboratorio per verificare snooping, DAI e ACL.
• Audit configurazioni trimestrali: opzioni DHCP, binding, porte trusted.
• Esercizi tabletop con IT e sicurezza: ruoli, tempi, escalation interna.

Errori da evitare

• Affidarsi a VLAN “piatte”: favorisce la propagazione del rogue.
• Nascondere i sintomi senza indagare la causa (host compromesso o switch malconfigurato).
• Dimenticare gli IoT: stampanti, palmari, robot di magazzino spesso sono l’anello debole.
• Logging insufficiente: senza telemetria, l’incidente si ripete.

Conclusione operativa

La chiave è bloccare la trust implicita al primo hop. Con controlli di livello 2, identità alla porta e policy DDI, un DHCP compromesso diventa un incidente contenibile, non una via diretta all’escalation.