Laborator Linux sigur pe laptop: VM, snapshot și izolare

Un laborator Linux pentru cybersecurity nu trebuie conectat direct la rețeaua casei și nici amestecat cu documentele personale. Cea mai sigură configurație pentru început folosește mașini virtuale, o rețea controlată și snapshot-uri create înaintea fiecărui exercițiu.

Scopul nu este să construiești un mediu complicat, ci unul pe care îl poți strica, reface și verifica fără să afectezi Windows-ul sau Linux-ul instalat pe laptop.

Pregătește laptopul și fișierele de instalare

Instalează VirtualBox numai din sursa oficială și actualizează sistemul principal înainte să creezi laboratorul. Pentru două mașini virtuale folosite simultan, 16 GB RAM sunt recomandabili. Cu 8 GB poți lucra cu un singur server Linux mai mic.

O configurație practică pentru prima mașină:

Sistem: Ubuntu Server sau Debian
Procesoare virtuale: 2
Memorie RAM: 2-3 GB
Disc virtual: 30 GB, alocat dinamic
Rețea inițială: NAT
Clipboard partajat: dezactivat
Drag and drop: dezactivat
Foldere partajate: niciunul
USB passthrough: dezactivat

Descarcă imaginea ISO de pe site-ul distribuției și verifică-i integritatea. Ubuntu publică fișierele SHA256SUMS și semnăturile asociate, iar verificarea confirmă atât că imaginea nu este coruptă, cât și că provine din sursa așteptată.

Alege corect modul de rețea

Setarea rețelei decide cât de mult poate comunica laboratorul cu laptopul, internetul și celelalte dispozitive din casă.

Pentru instalare și actualizări, folosește NAT. Mașina virtuală poate accesa internetul, dar nu este prezentată direct în rețeaua locală ca un calculator separat. Conexiunile inițiate din exterior nu ajung în VM fără reguli explicite de port forwarding.

Nu folosi Bridged Adapter pentru exerciții de securitate. În acest mod, VM-ul este conectat la aceeași rețea ca laptopul și poate avea acces similar către router, imprimante, dispozitive inteligente sau alte calculatoare. Documentația VirtualBox recomandă luarea în calcul a NAT, Internal Network sau Host-only atunci când accesul direct la rețeaua publică nu este necesar.

Pentru două VM-uri care trebuie să comunice doar între ele, folosește Internal Network și același nume, de exemplu:

cyber-lab

Internal Network permite comunicarea între VM-urile selectate, fără acces către host sau rețeaua externă. Host-only permite comunicarea dintre laptop și VM-uri, dar fără acces direct către rețeaua fizică.

O configurație bună este:

Adapter 1: NAT — activ doar pentru update-uri
Adapter 2: Internal Network — cyber-lab

După actualizare, poți dezactiva adaptorul NAT și păstra doar rețeaua internă.

Oprește funcțiile care creează punți spre laptop

Clipboard-ul partajat, drag and drop și folderele partajate sunt comode, dar creează căi directe de transfer între VM și sistemul principal. VirtualBox le dezactivează implicit din motive de securitate, iar transferul bidirecțional trebuie activat explicit.

Pentru laborator, păstrează:

Shared Clipboard: Disabled
Drag and Drop: Disabled
Shared Folders: Empty
USB: Disabled
Webcam și audio: Disabled dacă nu sunt necesare

Când ai nevoie să introduci un fișier, folosește un ISO separat, un repository verificat sau un folder partajat temporar, doar pentru citire. Dezactivează-l imediat după transfer.

Nu introduce în VM parole reale, chei SSH de producție, tokenuri cloud, copii ale site-urilor clienților sau documente personale.

Creează snapshot-uri cu o metodă clară

Snapshot-ul capturează starea mașinii virtuale și îți permite să revii ulterior la acel punct. VirtualBox poate salva setările, discul virtual și, dacă VM-ul rulează, starea sa curentă.

Folosește o schemă simplă:

00-instalare-curata
01-update-uri-si-unelte
02-inainte-exercitiu-servicii
03-inainte-exercitiu-firewall

Înaintea fiecărui exercițiu:

oprește complet VM-ul;
creează snapshot-ul;
notează ce urmează să modifici;
execută exercițiul;
salvează observațiile;
revino la snapshot dacă sistemul rămâne într-o stare neclară.

Snapshot-ul nu înlocuiește backup-ul. Dacă discul laptopului se defectează, snapshot-urile păstrate pe același SSD pot fi pierdute împreună cu VM-ul. Exportă periodic o copie curată pe un disc extern.

Verifică izolarea înainte să începi

În VM rulează:

ip a
ip route
ss -tulpen

Dacă ai lăsat doar Internal Network, nu ar trebui să existe rută către internet. Verifică și din setările VirtualBox că nu există port forwarding, foldere partajate sau adaptoare bridged.

Pentru exerciții sigure poți opri un serviciu și analiza logurile, bloca un port cu UFW, crea un fișier temporar pentru verificarea spațiului sau testa permisiuni într-un folder dedicat. Nu folosi mostre malware reale și nu importa fișiere necunoscute doar pentru că laboratorul este virtualizat.

Un laborator sigur are trei caracteristici: rețea limitată, nicio punte inutilă către datele personale și un punct de revenire verificat. Virtualizarea reduce riscul, dar izolarea trebuie configurată — nu presupusă.

Surse folosite

Oracle VirtualBox User Guide — modurile NAT, Internal Network, Host-only și Bridged.

Oracle VirtualBox User Guide — crearea și restaurarea snapshot-urilor.

Oracle VirtualBox Documentation — clipboard, drag and drop și foldere partajate.

Ubuntu Documentation — verificarea autenticității și integrității imaginilor ISO.