# Come rilevare il ransomware in rete

> I segnali di rete che precedono la cifratura del ransomware, mappati su MITRE ATT&CK, e che cosa il rilevamento di rete può e non può fare.

Source page: https://netsenx.com/it/detect-ransomware-on-the-network

Ultima verifica: 7 novembre 2026

Rilevare il ransomware in rete significa cogliere l'attacco nelle fasi che precedono la cifratura del primo file. L'attaccante deve prima raggiungere una macchina, contattare il proprio server, trovare i file server e i backup, spostarsi su di essi e, nella maggior parte degli attacchi attuali, copiare i dati all'esterno per avere una seconda leva di ricatto. Ognuna di queste fasi attraversa la rete e lascia uno schema: connessioni regolari verso un server esterno, un host che scansiona molti altri, nuove sessioni di amministrazione, un grande caricamento di notte. La cifratura è l'ultima fase, e quella che la rete vede meno.

## Il dato da cui partire

Nell'avviso congiunto AA24-131A, pubblicato per la prima volta il 10 maggio 2024, CISA, FBI e agenzie partner hanno riferito che gli affiliati di Black Basta avevano colpito oltre 500 organizzazioni nel mondo, adottavano un modello di doppia estorsione che cifra i sistemi ed esfiltra i dati, e usavano RClone per esfiltrare i dati prima della cifratura.

Fonte: [CISA, FBI, HHS and MS-ISAC — Joint advisory AA24-131A, #StopRansomware: Black Basta, first published 10 May 2024](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-131a)

## I segnali in rete, nell'ordine in cui di solito compaiono

Nessuno prova da solo un ransomware. Visti in quest'ordine, o insieme, meritano un'indagine in giornata.

1. **Un nuovo server esterno, contattato a intervalli regolari** Una postazione inizia a collegarsi a una destinazione che nessun altro usa, ogni pochi minuti, giorno e notte. Spesso è il canale di comando e controllo dell'attaccante o uno strumento di accesso remoto che nessuno ha approvato.
2. **Un host che scansiona la rete interna** La macchina compromessa sonda gli intervalli interni alla ricerca di porte SMB (445), RDP (3389) e di database aperte, per trovare file server, backup e controller di dominio.
3. **Nuove sessioni di amministrazione verso molti server** Sessioni remote SMB, RDP o WinRM da una postazione verso server che non ha mai usato, spesso fuori orario, mostrano che l'attaccante si avvicina ai dati.
4. **Un grande caricamento prima che qualcosa venga cifrato** La copia dei dati verso un archivio cloud, con strumenti come RClone, appare come un volume in uscita insolito da un server che di solito invia poco, spesso di notte.
5. **Letture e riscritture massicce sulle condivisioni** Quando inizia la cifratura, un client legge e riscrive in poco tempo grandi quantità di dati sulle condivisioni di rete. A questo punto il contenimento viene prima di tutto.

## Corrispondenza con MITRE ATT&CK

Nomi e identificativi delle tecniche sono di MITRE. L'ultima colonna indica la categoria di rilevamento di NetSenX a cui appartiene quel traffico; non significa che venga rilevata ogni variante della tecnica.

| Tecnica | Come appare in rete | Rilevamento NetSenX |
|---|---|---|
| [T1046](https://attack.mitre.org/techniques/T1046/) Network Service Discovery (Discovery) | Un host che si collega in poco tempo a molti indirizzi interni su porte SMB, RDP o di database. | Scansione |
| [T1021.002](https://attack.mitre.org/techniques/T1021/002/) Remote Services: SMB/Windows Admin Shares (Lateral Movement) | Una postazione che apre sessioni SMB sulle condivisioni amministrative di server che non ha mai usato. | Movimento laterale |
| [T1071](https://attack.mitre.org/techniques/T1071/) Application Layer Protocol (Command and Control) | Connessioni piccole e regolari verso la stessa destinazione esterna via HTTPS, giorno e notte. | Beaconing C2 |
| [T1567.002](https://attack.mitre.org/techniques/T1567/002/) Exfiltration Over Web Service: Exfiltration to Cloud Storage (Exfiltration) | Un server che carica su un servizio di archiviazione cloud molti più dati del solito. | Volume di dati in uscita insolito |
| [T1486](https://attack.mitre.org/techniques/T1486/) Data Encrypted for Impact (Impact) | La cifratura gira sugli host. Quando colpisce le condivisioni di rete, un client legge e riscrive grandi volumi via SMB. | Nessun rilevamento dedicato: NetSenX osserva le fasi che la precedono |

## Che cosa fa oggi NetSenX

- Rileva scansioni, movimento laterale, beaconing C2 e volumi di dati in uscita insoliti dal comportamento in rete, in ogni piano, Free compreso.
- Spiega ogni avviso in linguaggio semplice, indicando le caratteristiche di rete che ne hanno determinato il punteggio, così un team piccolo distingue un'intrusione da un nuovo job di backup.
- Indica nell'avviso la tecnica MITRE ATT&CK quando un rilevamento corrisponde a una, e mostra in una vista di copertura quali tecniche coprono i rilevamenti attivi.
- Segue le scadenze dell'articolo 23 della NIS2 se un incidente si rivela significativo e prepara per il Suo DPO la notifica di violazione dell'articolo 33 del GDPR.

## Che cosa NetSenX non fa

NetSenX non ferma la cifratura su un host, non ripristina i file e non ha un rilevamento dedicato alla fase di cifratura in sé: quello è il compito della protezione degli endpoint (EDR) e dei backup offline. Vede solo i segmenti che Lei monitora e non decifra mai il traffico. Un attacco che inizia e finisce su una sola macchina lascia poco da vedere alla rete, e un avviso è un motivo per indagare, non la prova di un ransomware.

## Domande degli acquirenti

### Quali sono i primi segnali di ransomware in una rete?

Connessioni regolari di una postazione verso un nuovo server esterno, un host che scansiona gli intervalli interni alla ricerca di porte SMB, RDP o di database, nuove sessioni di amministrazione verso molti server e un grande caricamento verso il cloud da un server che di solito invia poco. Di norma arrivano in quest'ordine, prima che venga cifrato qualsiasi file.

### Il monitoraggio di rete può rilevare il ransomware prima della cifratura?

Spesso sì, perché le fasi che precedono la cifratura attraversano la rete: connessioni di comando e controllo, scansioni, movimento laterale e furto di dati. È la finestra in cui un attacco si può ancora fermare. Non tutti gli attacchi mostrano tutte queste fasi, e uno confinato a una sola macchina lascia poco da vedere alla rete.

### NetSenX ferma il ransomware?

No. NetSenX segnala il comportamento di rete che di solito precede il ransomware, così il Suo team può agire finché c'è tempo. Isolare gli host, allontanare l'attaccante e ripristinare i dati restano compiti del Suo team, della protezione degli endpoint e dei backup.

### Che cosa fare per primo se vediamo questi segnali?

Scollegare dalla rete gli host coinvolti, conservarne i log, reimpostare le credenziali usate su di essi e chiamare il Suo fornitore di incident response. Se la Sua organizzazione rientra nella NIS2, il termine di 24 ore per il preallarme decorre da quando viene a conoscenza di un incidente significativo.

## Fonti

- [CISA, FBI, HHS and MS-ISAC — Joint advisory AA24-131A, #StopRansomware: Black Basta, first published 10 May 2024](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-131a)
- [MITRE ATT&CK — Data Encrypted for Impact (T1486)](https://attack.mitre.org/techniques/T1486/)
- [Directive (EU) 2022/2555 (NIS2), Articles 21, 23 and 41 — EUR-Lex](https://eur-lex.europa.eu/eli/dir/2022/2555/oj)

Questa pagina ha carattere informativo generale e non costituisce consulenza legale. Verifichi i Suoi obblighi con l'autorità nazionale competente o con il Suo consulente legale.

## Pagine correlate

- [Come rilevare movimento laterale e beaconing C2](https://netsenx.com/it/detect-lateral-movement-c2-beaconing)
- [Come capire se qualcuno è nella Sua rete](https://netsenx.com/it/is-someone-inside-your-network)
- [Monitoraggio della rete NIS2](https://netsenx.com/it/nis2-network-monitoring)
- [Che cos'è l'NDR?](https://netsenx.com/it/what-is-ndr)
- [Prezzi e piano Free](https://netsenx.com/it/pricing)