# Come rilevare il movimento laterale e il beaconing C2

> Come appaiono in rete il movimento laterale e il beaconing command-and-control, la corrispondenza con MITRE ATT&CK e come rilevarli in pratica.

Source page: https://netsenx.com/it/detect-lateral-movement-c2-beaconing

Ultima verifica: 6 novembre 2026

Il movimento laterale è l'attaccante che si sposta dalla prima macchina compromessa ad altre, di solito accedendo con credenziali rubate a servizi remoti. Il beaconing C2 (command-and-control) è il software compromesso che contatta il server dell'attaccante a intervalli regolari per ricevere istruzioni. Entrambi devono attraversare la rete, quindi entrambi si rilevano dal traffico, anche cifrato: il movimento laterale come sessioni insolite tra host su protocolli di amministrazione, il beaconing come un ritmo costante di piccole connessioni verso una stessa destinazione.

## Il dato da cui partire

In una guida congiunta pubblicata il 7 febbraio 2024, CISA, NSA, FBI e agenzie partner hanno avvertito che gli attaccanti che «vivono delle risorse della vittima» (living off the land) usano gli stessi strumenti legittimi degli amministratori, per cui la loro attività si confonde con il funzionamento normale, e hanno raccomandato di mantenere baseline dell'attività normale di rete, utenti e amministratori per individuare ciò che se ne discosta.

Fonte: [CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)](https://www.ncsc.govt.nz/protect-your-organisation/identifying-and-mitigating-living-off-the-land-lotl-techniques/)

## Come rilevarli

Quattro pratiche che funzionano con qualsiasi strumento e che NetSenX automatizza.

1. **Tenere una baseline di chi parla con chi** Il movimento laterale si vede solo rispetto alla normalità. Registri quali host si collegano di solito a quali server e su quali porte: una postazione che all'improvviso apre sessioni SMB o RDP verso dieci server spicca rispetto a quella baseline.
2. **Osservare il traffico est-ovest, non solo il perimetro** Il traffico tra host della LAN non passa mai dal firewall verso internet. Metta una porta SPAN o TAP, o un sensore, in ogni segmento che deve vedere.
3. **Cercare il ritmo, non il contenuto** Il beaconing appare come connessioni verso una stessa destinazione a intervalli quasi costanti, spesso con messaggi piccoli di dimensioni simili e un po' di jitter casuale. Tempi e volumi restano visibili anche quando la sessione è cifrata.
4. **Correlare tra host** Più host che inviano beacon allo stesso nuovo dominio, o un host che prima esegue una scansione e poi accede alle macchine scansionate, sono un segnale più forte di qualsiasi singola connessione.

## Corrispondenza con MITRE ATT&CK

Nomi e identificativi delle tecniche sono di MITRE. L'ultima colonna indica la categoria di rilevamento di NetSenX a cui appartiene quel traffico; non significa che venga rilevata ogni variante della tecnica.

| Tecnica | Come appare in rete | Rilevamento NetSenX |
|---|---|---|
| [T1046](https://attack.mitre.org/techniques/T1046/) Network Service Discovery (Discovery) | Un host che si collega in poco tempo a molti indirizzi o porte interni. | Scansioni |
| [T1021](https://attack.mitre.org/techniques/T1021/) Remote Services (Lateral Movement) | Una postazione che apre sessioni SMB, RDP, SSH o WinRM verso server o altre postazioni mai usati prima. | Movimento laterale |
| [T1071](https://attack.mitre.org/techniques/T1071/) Application Layer Protocol (Command and Control) | Connessioni piccole e regolari verso la stessa destinazione esterna via HTTPS, giorno e notte. | Beaconing C2 |
| [T1573](https://attack.mitre.org/techniques/T1573/) Encrypted Channel (Command and Control) | Lo stesso ritmo dentro TLS: tempi, volumi, destinazione e handshake restano visibili senza decifrare. | Beaconing C2, dai metadati |
| [T1041](https://attack.mitre.org/techniques/T1041/) Exfiltration Over C2 Channel (Exfiltration) | Un host che invia beacon e all'improvviso manda molti più dati all'esterno sullo stesso canale. | Volume insolito di dati in uscita |
| [T1048](https://attack.mitre.org/techniques/T1048/) Exfiltration Over Alternative Protocol (Exfiltration) | Grandi trasferimenti in uscita su un protocollo che l'host normalmente non usa per questo. | Volume insolito di dati in uscita |

## Che cosa fa oggi NetSenX

- Rileva scansioni, movimento laterale, beaconing C2 e volumi insoliti di dati in uscita dal comportamento in rete, su tutti i piani, Free compreso.
- Dal piano Pro, collega gli host in un grafo di chi comunica con chi, così una scansione seguita da nuove sessioni remote, o più host che inviano beacon alla stessa destinazione, appaiono come un'unica storia invece che come avvisi sparsi.
- Indica sull'avviso la tecnica MITRE ATT&CK quando un rilevamento vi corrisponde, e mostra in una vista di copertura quali tecniche coprono i rilevamenti attivi.
- Analizza il traffico cifrato da tempi, volumi e destinazioni, e dal piano Starter anche dall'handshake TLS, senza mai decifrarlo. L'handshake è visibile solo dove l'agente cattura i pacchetti: su Linux o come sensore su una porta SPAN o TAP, non nella modalità di base usata su macOS.

## Che cosa NetSenX non fa

NetSenX vede il movimento laterale solo dove attraversa un segmento monitorato: una sessione tra due host di un segmento non monitorato, o un'attività che non lascia una macchina, è fuori dalla sua vista. Non legge il contenuto delle sessioni cifrate, non sostituisce la risposta agli incidenti e non sostiene di rilevare ogni variante di ogni tecnica ATT&CK elencata in questa pagina.

## Domande degli acquirenti

### Che cos'è il movimento laterale nella cybersecurity?

È il modo in cui un attaccante si estende dalla prima macchina compromessa ad altre, di solito con credenziali rubate attraverso servizi remoti come SMB, RDP, SSH o WinRM. MITRE ATT&CK lo descrive come tattica TA0008; Remote Services è la tecnica T1021.

### Come si rileva il beaconing C2?

Cerchi un host che si collega alla stessa destinazione esterna a intervalli quasi regolari, a tutte le ore, con messaggi piccoli di dimensioni simili. Lo schema appare nei dati di flusso e nei log del firewall, anche nel traffico cifrato, perché tempi, volumi e destinazione non sono cifrati.

### Si può rilevare il movimento laterale nel traffico cifrato?

In gran parte sì: chi si collega con chi, su quale porta, quando e quanti dati passano è visibile senza decifrare. Resta nascosto il contenuto della sessione, per esempio i comandi inviati in una sessione remota cifrata.

### Quali tecniche MITRE ATT&CK vede il rilevamento di rete?

Quelle che generano traffico tra macchine, per esempio Network Service Discovery (T1046), Remote Services (T1021), Application Layer Protocol (T1071), Encrypted Channel (T1573) ed Exfiltration Over C2 Channel (T1041). Le tecniche che restano dentro un host spettano agli strumenti sugli endpoint.

## Fonti

- [CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)](https://www.ncsc.govt.nz/protect-your-organisation/identifying-and-mitigating-living-off-the-land-lotl-techniques/)
- [MITRE ATT&CK — Lateral Movement (TA0008)](https://attack.mitre.org/tactics/TA0008/)
- [MITRE ATT&CK — Command and Control (TA0011)](https://attack.mitre.org/tactics/TA0011/)

Questa pagina ha carattere informativo generale e non costituisce consulenza legale. Verifichi i Suoi obblighi con l'autorità nazionale competente o con il Suo consulente legale.

## Pagine correlate

- [Come capire se qualcuno è nella Sua rete](https://netsenx.com/it/is-someone-inside-your-network)
- [Come rilevare il ransomware in rete](https://netsenx.com/it/detect-ransomware-on-the-network)
- [Analisi del traffico cifrato](https://netsenx.com/it/encrypted-traffic-analysis)
- [NDR, EDR o SIEM](https://netsenx.com/it/blog/2026-09-24_ndr-vs-edr-vs-siem)
- [Funzionalità](https://netsenx.com/it/features)
- [Monitoraggio della rete NIS2](https://netsenx.com/it/nis2-network-monitoring)