Sviluppo di un ambiente di test emulato per un sistema di rilevamento delle intrusioni

Abstract

Questa tesi sviluppa e analizza un ambiente di test emulato per la cybersecurity come base per la ricerca sul rilevamento delle intrusioni. VMware ospita una macchina Kali Linux e un target Metasploitable intenzionalmente vulnerabile. OpenClaw collega agli strumenti di Kali un modello linguistico di grandi dimensioni eseguito in locale tramite Ollama, mentre Telegram e l'OpenClaw Gateway forniscono l'interfaccia per l'operatore. L'ambiente consente di tradurre richieste di valutazione di alto livello in azioni concrete di test di sicurezza.

Lo studio principale dimostra la traduzione da obiettivo a strumento (goal-to-tool) per la ricognizione di rete e l'enumerazione dei servizi. Uno studio pilota di supporto, mappato su MITRE ATT&CK, registra, su quindici attività legate da dipendenze, un esito Pass, cinque Partial, sei Fail e tre Unsupported tool/function. Le sue sei classi di errore (E1–E6) caratterizzano problemi relativi a contesto di esecuzione, prerequisiti, assunzioni, output, passaggio di consegne tra fasi e grounding degli strumenti. La dimostrazione attesta la fattibilità nella configurazione testata, mentre lo studio pilota individua i requisiti di affidabilità per la generazione di attività più complesse.

Una revisione strutturata delle botnet abilitate da agenti e delle minacce auto-propaganti estende questa analisi alla sicurezza del runtime degli agenti. Distingue la propagazione dal controllo coordinato e individua stato persistente, strumenti, credenziali e comunicazione come punti rilevanti di osservazione e di applicazione dei controlli. La tesi integra questi risultati in una proposta di architettura di riferimento e in un'agenda di valutazione che collega l'esecuzione affidabile alla tracciabilità della provenienza, all'integrità dello stato e al ripristino. La strumentazione IDS e i controlli difensivi restano sviluppi futuri; il contributo sperimentale è costituito dall'ambiente emulato e dall'attività di sicurezza documentata al suo intern

This thesis develops and analyzes an emulated cybersecurity test environment as a foundation for intrusion-detection research. VMware hosts a Kali Linux machine and an intentionally vulnerable Metasploitable target. OpenClaw connects a locally served large language model through Ollama to the Kali toolset, while Telegram and the OpenClaw Gateway provide the operator interface. The environment allows high-level assessment requests to be translated into concrete security-testing actions.

The primary study demonstrates goal-to-tool translation for network reconnaissance and service enumeration. A supporting MITRE ATT&CK-mapped pilot records one Pass, five Partial, six Fail, and three Unsupported tool/function outcomes across fifteen dependency-linked tasks. Its six error classes (E1–E6) characterize execution-context, prerequisite, assumption, output, handoff, and tool-grounding problems. The demonstration establishes feasibility in the tested configuration, while the pilot identifies reliability requirements for more complex activity generation.

A structured review of agent-enabled botnets and self-propagating threats extends this analysis to runtime security. It distinguishes propagation from coordinated control and identifies persistent state, tools, credentials, and communication as relevant observation and enforcement points. The thesis integrates these findings into a proposed reference architecture and an evaluation agenda linking reliable execution to provenance, state integrity, and recovery. IDS instrumentation and defensive controls remain future work; the experimental contribution is the emulated environment and the security activity documented within it.

Keywords: emulated test environment, intrusion detection system, cybersecurity, AI agents, penetration testing, OpenClaw, MITRE ATT&CK, agentic security.