Retour aux articles • MATÉRIEL • • 2 min de lecture

Hak5 LAN Turtle : Audit & Accès Réseau

Anatomie de la Hak5 LAN Turtle : adaptateur USB-Ethernet sous OpenWrt, audit d'exposition LAN, administration distante SSH/WireGuard et défense 802.1X.

#edc #hak5 #lan-turtle #reseau #ethernet #cybersecurite
Hak5 LAN Turtle : Audit & Accès Réseau

1. Architecture de la Hak5 LAN Turtle

Sous l’apparence d’un simple adaptateur USB vers Ethernet RJ45, la Hak5 LAN Turtle abrite un système sur puce réseau complet exécutant une distribution Linux embarquée basée sur OpenWrt. Alimentée par le port USB d’un hôte ou d’un chargeur, elle expose en interne deux interfaces réseau reliées par routage ou pontage :

  • L’interface USB émulant une carte réseau (CDC Ethernet / RNDIS) côté machine hôte ;
  • Le contrôleur physique eth1 connecté au câble RJ45 vers le commutateur d’entreprise.
Architecture & Flux : Hak5 LAN Turtle : Audit & Accès Réseau

2. Cas d’Usage en Audit & Administration Réseau

Dans le cadre d’un test d’intrusion autorisé (Red Team) ou d’une sonde de diagnostic déportée, la LAN Turtle permet :

FonctionnalitéMécanisme TechniqueUsage en Audit de Sécurité
Sonde d’Accès DistantTunnel sortant SSH Reverse (autossh) ou WireGuardMaintenir un point de diagnostic sécurisé vers un sous-réseau distant derrière un NAT
Inventaire LLDP / DHCPÉcoute des annonces de commutateur et baux DHCPVérifier la segmentation effective entre VLAN Bureautique et VLAN Serveurs
Test de Résilience DNSÉvaluation de la résolution locale sur l’interface USBTester le comportement d’un poste face à des réponses DNS non signées (sans DNSSEC)

3. Contre-Mesures Blue Team : Détection USB & Réseau

  1. Politique de contrôle des périphériques USB (GPO / udev / USBGuard) : Bloquer l’instanciation automatique de nouvelles cartes réseau USB (USB Class 02h : Communications and CDC Control) non inscrites sur la liste blanche matérielle de l’entreprise.
  2. Dynamic ARP Inspection (DAI) & DHCP Snooping : Sur le commutateur, associer chaque port à une seule adresse MAC autorisée (Port Security) et rejeter toute réponse DHCP émise depuis un port d’accès utilisateur.
  3. Filtrage Egress strict : N’autoriser les flux sortants (SSH 22/tcp, UDP 51820) que depuis les bastions d’administration identifiés.

Sources

Si vous voulez plus d’information sur l’infrastructure vous pouvez voir mon repo à ce sujet : https://github.com/ravindrajob/InfraAtHome