Tecniche di attacco spiegate

È il modo in cui un attaccante si estende dalla prima macchina compromessa ad altre, di solito con credenziali rubate attraverso servizi remoti come SMB, RDP, SSH o WinRM. MITRE ATT&CK lo descrive come tattica TA0008; Remote Services è la tecnica T1021.

Cerchi un host che si collega alla stessa destinazione esterna a intervalli quasi regolari, a tutte le ore, con messaggi piccoli di dimensioni simili. Lo schema appare nei dati di flusso e nei log del firewall, anche nel traffico cifrato, perché tempi, volumi e destinazione non sono cifrati.

In gran parte sì: chi si collega con chi, su quale porta, quando e quanti dati passano è visibile senza decifrare. Resta nascosto il contenuto della sessione, per esempio i comandi inviati in una sessione remota cifrata.

Quelle che generano traffico tra macchine, per esempio Network Service Discovery (T1046), Remote Services (T1021), Application Layer Protocol (T1071), Encrypted Channel (T1573) ed Exfiltration Over C2 Channel (T1041). Le tecniche che restano dentro un host spettano agli strumenti sugli endpoint.

Il beaconing C2 (command and control) è un malware che contatta a intervalli regolari il server dell'attaccante per chiedere istruzioni. In rete appare come piccole connessioni verso la stessa destinazione ogni pochi minuti, giorno e notte, spesso con una leggera variazione casuale per sembrare meno regolari. Poiché è uno schema nel tempo, resta visibile anche quando il traffico è cifrato. Anche il software legittimo lo fa, come gli agenti di aggiornamento, gli strumenti di monitoraggio e le app di chat, quindi ciò che conta è una destinazione nuova, un dispositivo che non ha motivo di averne bisogno o un ritmo che non si ferma mai, nemmeno di notte. NetSenX rileva il beaconing in ogni piano, Free compreso, e spiega nell'alert quali caratteristiche del ritmo e della destinazione lo hanno determinato.

L'esfiltrazione è il furto di dati copiandoli fuori dalla Sua rete, spesso verso un archivio cloud o un server controllato dall'attaccante, e di solito prima che un ransomware cifri qualcosa. Gli attaccanti la distribuiscono su notti e fine settimana o mantengono piccolo ogni trasferimento per eludere i semplici allarmi sui volumi. Si rileva confrontando il traffico in uscita di ogni host con la sua normalità: destinazione, volume e ora del giorno. Presti particolare attenzione ai caricamenti verso servizi di archiviazione cloud o verso indirizzi che nessun altro host usa, come gli avvisi pubblici sui gruppi ransomware descrivono di continuo. La cifratura nasconde il contenuto di un trasferimento, non il volume, la destinazione o l'orario. NetSenX rileva volumi di dati in uscita insoliti per host, in ogni piano, Free compreso.

«Living off the land» significa che gli attaccanti usano gli strumenti già presenti sui Suoi sistemi, come PowerShell, il desktop remoto o le utility di amministrazione, invece di un proprio malware. L'antivirus spesso li lascia passare perché gli strumenti sono legittimi. A tradirli è l'uso insolito, per esempio un account che accede dove non l'ha mai fatto o una postazione che apre sessioni verso molti server. Aiutano i riferimenti dell'attività normale, e anche limitare chi può usare gli strumenti di amministrazione. NetSenX rileva in rete le nuove sessioni tra host, le scansioni e il movimento laterale, in ogni piano. Ciò che avviene interamente dentro un host, come uno script che legge file, non attraversa mai la rete e richiede il rilevamento sugli endpoint.

Spesso sì, se comunica. Un piccolo computer o un bridge Wi-Fi nascosto sotto una scrivania deve raggiungere l'attaccante, quindi appare come un host che apre connessioni verso l'esterno, spesso a intervalli regolari. Controlli gli switch alla ricerca di indirizzi MAC sconosciuti e usi la port security o 802.1X dove possibile. NetSenX vede il traffico degli host nei segmenti monitorati e rileva beaconing e connessioni insolite; un dispositivo che resta in silenzio, o che si trova in un segmento non monitorato, resta invisibile.

MITRE ATT&CK è una base di conoscenza pubblica e gratuita delle tattiche e tecniche usate dagli attaccanti, costruita dall'organizzazione senza scopo di lucro MITRE a partire da incidenti reali e aggiornata due volte l'anno. Le tattiche sono gli obiettivi dell'attaccante, come l'accesso iniziale, la scoperta o l'esfiltrazione; le tecniche sono i modi per raggiungerli, ciascuna con un identificativo, per esempio T1021 per i servizi remoti. I difensori la usano come linguaggio comune: per descrivere un alert, confrontare strumenti e vedere quali tecniche coprono i loro controlli e quali no. Non è una checklist da completare e nessun prodotto copre ogni tecnica. NetSenX indica nell'alert la tecnica ATT&CK quando un rilevamento vi corrisponde, e mostra in una vista di copertura quali tecniche affrontano i rilevamenti attivati.

Descrivono un attacco a tre livelli di dettaglio. Una tattica è l'obiettivo dell'attaccante in un dato momento, il perché: il movimento laterale, per esempio, significa passare da una macchina ad altre. Una tecnica è il modo in cui lo ottiene, come l'uso di servizi remoti, e una sotto-tecnica lo precisa ulteriormente, come il desktop remoto o le condivisioni amministrative SMB. Una procedura è il modo specifico in cui un certo gruppo lo fa: quale strumento, quale comando, in quale ordine. Insieme si chiamano TTP. La distinzione conta per la difesa: bloccare una procedura, come l'hash del file di uno strumento, si aggira facilmente, mentre rilevare una tecnica, come una postazione che all'improvviso apre sessioni di amministrazione verso molti server, funziona qualunque strumento si usi. Il rilevamento di rete lavora soprattutto a livello di tecnica, per questo gli alert di NetSenX indicano tecniche e non strumenti.

La ricognizione è la raccolta di informazioni da parte dell'attaccante prima di agire. In MITRE ATT&CK è la prima tattica e comprende ciò che avviene fuori dalla Sua rete: la scansione dei Suoi indirizzi IP pubblici in cerca di servizi aperti, la raccolta di nomi dei dipendenti e formati degli indirizzi e-mail dal sito web e dai social network, la ricerca dei Suoi fornitori e di password trapelate. Gran parte di ciò Le è invisibile, perché usa fonti pubbliche. Ciò che può fare è ridurre quanto viene trovato: chiudere i servizi esposti a internet non usati, ridurre al minimo i dettagli pubblici sulla Sua infrastruttura IT e verificare se indirizzi aziendali compaiono in violazioni note. Le scansioni dei Suoi indirizzi pubblici compaiono nei log del firewall, anche se su internet sono un rumore di fondo costante. Una volta dentro, gli attaccanti fanno un secondo giro di scoperta, che è una tattica distinta e molto più facile da vedere dalla rete.

Lo sviluppo di risorse è la preparazione da parte dell'attaccante di strumenti e infrastruttura per un attacco: noleggiare server, registrare domini somiglianti, comprare o rubare account, procurarsi malware o certificati di firma del codice, o comprare l'accesso a una vittima da un broker di accesso iniziale. Avviene dalla parte dell'attaccante prima che qualcosa La raggiunga, quindi c'è poco da rilevare direttamente. Le sue tracce compaiono più tardi, ed è utile: un dominio registrato la settimana scorsa che somiglia a quello del Suo fornitore, una destinazione su server cloud appena noleggiati, un certificato emesso pochi giorni prima della connessione. I feed di threat intelligence e gli avvisi pubblicano questo tipo di infrastruttura. Registri gli errori di battitura più comuni del Suo dominio e configuri DMARC, così che il Suo nome sia più difficile da sfruttare. NetSenX non osserva gli attaccanti mentre costruiscono l'infrastruttura; vede i Suoi host collegarvisi, per esempio con un beaconing verso un nuovo server esterno.

L'accesso iniziale è la tattica con cui l'attaccante ottiene un primo appiglio nella Sua rete. Le vie d'ingresso comuni sono il phishing che induce qualcuno ad aprire un file o inserire una password, lo sfruttamento di una vulnerabilità in un sistema esposto a internet come un gateway VPN o un firewall, l'accesso a servizi remoti con password rubate o indovinate, l'abuso dell'accesso di un fornitore e i download drive-by da siti compromessi. Gli avvisi di CISA sul ransomware citano queste vie di continuo. La maggior parte delle difese sta fuori da un sensore di rete: aggiornare per primi i dispositivi esposti a internet, l'autenticazione a più fattori (MFA) su ogni accesso remoto, il filtraggio della posta e la chiusura dei servizi non necessari. L'accesso iniziale in sé è spesso visibile in rete solo in parte, ma ciò che segue di solito lo è: la macchina compromessa contatta il server dell'attaccante. NetSenX rileva questo beaconing in ogni piano, Free compreso.

L'esecuzione è la tattica di far girare il codice dell'attaccante su un sistema: una macro in un documento, uno script avviato da un utente ingannato, un comando inviato tramite uno strumento di amministrazione remota o un'attività pianificata. Avviene dentro l'host, quindi anche la difesa principale sta lì: endpoint detection and response (EDR), liste di applicazioni consentite, blocco delle macro nei file provenienti da internet e limitazione degli strumenti di scripting per gli utenti comuni. Un sensore di rete non vede l'avvio di un processo. Vede le conseguenze che attraversano la rete, e spesso basta per dare l'allarme: il nuovo programma scarica la fase successiva, poi chiama un server a intervalli regolari, oppure la macchina inizia a scansionare le vicine. NetSenX le rileva in ogni piano; non può dirLe quale programma sull'host sia stato, domanda che spetta agli strumenti degli endpoint.

La persistenza è il modo in cui gli attaccanti mantengono l'accesso nonostante riavvii, cambi di password e bonifiche: nuovi account, attività pianificate e servizi, strumenti di accesso remoto installati come se fossero legittimi, web shell su server esposti a internet, impostazioni di VPN o firewall modificate e token di sessione rubati per i servizi cloud. La maggior parte della persistenza vive sugli host e nei sistemi di identità, quindi si trova con gli strumenti degli endpoint, le revisioni della directory e i confronti di configurazione. Controlli regolarmente se ci sono account amministratore che nessuno sa spiegare, software di accesso remoto che nessuno ha approvato e regole di inoltro nelle caselle di posta. La persistenza di solito ha bisogno di una connessione di ritorno verso l'attaccante, e questa si vede in rete: un host che continua a chiamare lo stesso server esterno, anche settimane dopo la chiusura di un incidente. NetSenX rileva questo beaconing in ogni piano.

L'escalation dei privilegi è l'attaccante che trasforma un accesso limitato in maggior potere: da utente comune ad amministratore locale, e da lì ad amministratore del dominio o del cloud. Sfrutta vulnerabilità non corrette, servizi mal configurati, password salvate in script o browser e account con più diritti di quanti ne richieda il loro compito. Avviene soprattutto dentro gli host e la directory, quindi la prevenzione consiste nell'aggiornare, togliere i diritti di amministratore locale agli account di uso quotidiano, usare account di amministrazione separati solo per amministrare e rivedere regolarmente chi appartiene ai gruppi privilegiati. Un sensore di rete vede poco dell'escalation in sé. Vede ciò che l'attaccante fa con i nuovi diritti, che di norma coinvolge la rete: sessioni verso il domain controller, connessioni amministrative verso molti server, accesso ai backup. NetSenX rileva questo movimento laterale in ogni piano, Free compreso.

Stealth è la tattica di nascondere un'attività malevola o di farla sembrare normale. Dalla versione 19 di MITRE ATT&CK, pubblicata nell'aprile 2026, assorbe gran parte della precedente tattica Defense Evasion, divisa in Stealth e Defense Impairment. Stealth comprende tecniche come il camuffarsi da file o servizi legittimi, il nascondere artefatti e l'offuscare file perché strumenti e persone non li notino. Gli strumenti basati su firme qui faticano, perché ogni elemento preso da solo sembra ordinario. Ciò che resta visibile è un comportamento che non corrisponde alla storia di un host: un ritmo regolare verso una nuova destinazione, o una postazione che all'improvviso parla con molti server. Se associa i rilevamenti ad ATT&CK, aggiorni i riferimenti a Defense Evasion. NetSenX cerca questo comportamento dalla rete in ogni piano; non decifra mai il traffico, quindi valuta schemi, non contenuti.

Defense Impairment è la tattica di disattivare, indebolire o ostacolare i controlli di sicurezza. MITRE ATT&CK l'ha introdotta nella versione 19, nell'aprile 2026, dividendo la precedente tattica Defense Evasion in Stealth e Defense Impairment. Esempi tipici sono spegnere l'antivirus o gli agenti degli endpoint, fermare o cancellare i log e modificare le regole del firewall per lasciar passare il traffico dell'attaccante. Sull'host, la difesa è la protezione antimanomissione degli strumenti di sicurezza, un alert quando un agente smette di riferire e diritti di amministratore riservati a poche persone. La rete aggiunge uno sguardo indipendente: un server il cui agente si è zittito deve comunque usare la rete, e NetSenX continua a osservarne il comportamento, come beaconing, scansioni e invii, in ogni piano. Non vede lo stato dell'agente in sé; lo mostra la console degli endpoint, e conviene controllarla ogni giorno.

L'accesso alle credenziali è la tattica di rubare password, hash, ticket e token perché l'attaccante possa accedere come qualcuno di legittimo. Le tecniche comuni sono estrarre le credenziali dalla memoria di un computer, leggere password salvate in browser o script, indovinare o spruzzare password contro i servizi di accesso, catturarle in rete con trucchi di adversary-in-the-middle e richiedere ticket di servizio da decifrare offline. Le difese sono l'autenticazione a più fattori (MFA), password lunghe e uniche per gli account di servizio, meno accessi da amministratore su postazioni comuni e protezione degli endpoint contro l'estrazione della memoria. Una parte si vede in rete, come molte connessioni fallite da un host verso i servizi di accesso o trucchi ARP su un segmento; la maggior parte avviene sugli host e nella directory. NetSenX vede il lato di rete e soprattutto ciò per cui vengono poi usate le credenziali rubate: nuove sessioni tra host.

La scoperta è l'attaccante, ormai dentro, che cerca di capire che cosa contiene la Sua rete: quali host esistono, quali servizi offrono, quali condivisioni contengono file, chi sono gli amministratori e dove sono i backup. Le tecniche tipiche sono la scansione degli intervalli di indirizzi interni, l'elenco delle condivisioni di rete, le interrogazioni alla directory e la lettura della configurazione della macchina su cui si trova. A differenza della ricognizione dall'esterno, la scoperta interna attraversa la rete, il che la rende una delle fasi più visibili: un host che all'improvviso si collega a molti indirizzi interni su porte SMB, RDP o di database. Le interrogazioni alla directory compaiono nei log di identità più che a un sensore di flussi. La segmentazione limita ciò che la scoperta può raggiungere. NetSenX rileva le scansioni interne in ogni piano, Free compreso, e dal piano Pro le collega alle sessioni che seguono.

La raccolta è l'attaccante che mette insieme i dati che vuole prima di portarli fuori: copiare file dalle condivisioni in un unico posto, comprimerli in archivi, leggere caselle di posta, esportare un database, fare schermate. Spesso si manifesta come un host che all'improvviso legge da file server o database molto più di quanto abbia mai fatto, a volte di notte, seguito da una pausa mentre si creano gli archivi. I log di audit di file e database mostrano che cosa è stato letto, e gli strumenti degli endpoint vedono la creazione degli archivi. In rete, la raccolta appare come nuove sessioni da quell'host verso molti file server, e il passo successivo, l'esfiltrazione, come volumi in uscita insoliti da esso. Limiti chi può leggere che cosa, soprattutto gli account di servizio con ampio accesso ai file. NetSenX rileva nuove sessioni tra host e volumi di dati in uscita insoliti per host in ogni piano; non vede quali file sono stati letti in sessioni cifrate.

Il command and control è la tattica con cui gli attaccanti dialogano con i sistemi compromessi: inviano comandi, ricevono risultati e consegnano altri strumenti. Le tecniche comprendono contatti regolari tramite protocolli web, canali cifrati, servizi cloud o piattaforme di messaggistica legittimi usati come ripetitori, tunnel attraverso il DNS o altri protocolli, porte non standard e proxy che nascondono il server reale. Poiché il canale deve esistere perché l'attaccante possa agire, è una delle cose più affidabili da rilevare, anche quando il contenuto è cifrato: tempi, destinazione e ritmo lo tradiscono. Bloccare le destinazioni malevole note aiuta, ma non intercetta quelle nuove. NetSenX rileva il beaconing in ogni piano e il tunneling DNS e, dal piano Starter, confronta gli handshake TLS con le impronte di malware noti dove l'agente cattura i pacchetti, su Linux o come sensore SPAN/TAP.

Impact è l'obiettivo finale dell'attaccante reso visibile: cifrare dati per un riscatto, cancellare sistemi, fermare servizi, corrompere backup, deturpare siti web o manipolare dati e processi industriali. In ATT&CK comprende anche l'impedimento del ripristino, come la cancellazione delle copie shadow e dei cataloghi di backup. A questo punto il contenimento è urgente e le prove sono a rischio. La prevenzione sta prima: backup offline che l'attaccante non può raggiungere, separazione tra IT e produzione e alert sui passi precedenti. La cifratura in sé avviene sugli host; quando colpisce le condivisioni di rete, un client legge e riscrive grandi quantità di dati in poco tempo. NetSenX non ha un rilevamento dedicato alla fase di cifratura e non la ferma; sorveglia le fasi precedenti, come beaconing, scansioni, movimento laterale e volumi in uscita insoliti, in ogni piano.

La cyber kill chain è un modello pubblicato da Lockheed Martin nel 2011 che descrive un'intrusione in sette fasi: ricognizione, armamento, consegna, sfruttamento, installazione, command and control e azioni sugli obiettivi. Il suo messaggio è che l'attaccante deve riuscire in ogni fase, mentre al difensore basta interromperne una. MITRE ATT&CK è più dettagliato e più adatto a ciò che accade dopo il primo appiglio, con molte tattiche e centinaia di tecniche, quindi la maggior parte dei team usa la kill chain per spiegare un attacco alla direzione e ATT&CK per pianificare il rilevamento. Entrambi portano alla stessa conclusione pratica: gli attacchi procedono per passi, e ogni passo è un'occasione per accorgersene. Per una piccola azienda, le fasi finali, command and control, movimento dentro la rete e uscita dei dati, sono quelle in cui un rilevamento di rete come NetSenX aggiunge di più.

Parta dagli attacchi che con più probabilità dovrà affrontare, non dall'intera matrice. Prenda due o tre avvisi pubblici recenti adatti al Suo settore, per esempio un avviso di CISA su un gruppo ransomware, elenchi le tecniche citate e per ciascuna si chieda: la preverremmo, la vedremmo, e dove la vedremmo? Annoti la risposta per tecnica: endpoint, identità, posta, rete oppure niente. Le lacune che contano sono i passi in cui tutte le risposte sono niente. Poi ne verifichi una o due con un'esercitazione semplice, invece di fidarsi della tabella. Non punti alla copertura totale; punti ad avere almeno un segnale affidabile in ogni fase di un attacco tipico. NetSenX indica negli alert la tecnica ATT&CK quando ce n'è una e mostra in una vista di copertura quali tecniche affrontano i rilevamenti attivati, il che riempie la colonna di rete di questo esercizio.

Di solito la stessa sequenza. L'attaccante consolida l'appiglio perché sopravviva a un riavvio, contatta il proprio server per ricevere istruzioni, si guarda intorno per capire che cosa contiene la rete, ruba o eleva le credenziali, si sposta verso sistemi più preziosi come file server, domain controller e server di backup, raccoglie dati, li invia all'esterno e solo allora, nel caso del ransomware, cifra. Alcuni passi durano minuti, altri settimane. La maggior parte attraversa la rete: contatti regolari con un nuovo server esterno, un host che scansiona intervalli interni, nuove sessioni di amministrazione tra macchine, invii insoliti. Per questo il rilevamento di rete è prezioso dopo il primo appiglio, anche quando l'ingresso è stato invisibile. NetSenX rileva beaconing, scansioni, movimento laterale e volumi di dati in uscita insoliti in ogni piano, Free compreso, sui segmenti che monitora.

In parte. L'endpoint detection and response (EDR) vede ciò che accade su ogni macchina su cui gira, come l'avvio di uno strumento di amministrazione remota o l'estrazione di credenziali, e un buon EDR intercetta così molto movimento laterale. Gli sfuggono gli host senza agente, come stampanti, telecamere, appliance e server non gestiti, gli agenti che gli attaccanti hanno disattivato e gli spostamenti che usano strumenti legittimi con password valide, che su ogni singola macchina sembrano normali. La rete vede la relazione tra gli host: una postazione che all'improvviso apre sessioni di amministrazione verso server mai usati prima. Per questo i due funzionano meglio insieme. NetSenX rileva movimento laterale e scansioni in ogni piano, Free compreso, e dal piano Pro correla gli host in un'unica storia; non vede ciò che gira dentro un host, che resta compito dell'EDR.

Perché nulla impedisce a un attaccante che vi entra di raggiungere tutto. In una rete piatta ogni computer, stampante e server sta nello stesso segmento e può collegarsi a tutti gli altri, quindi un solo portatile infetto raggiunge direttamente il file server, il server di backup, la contabilità e le macchine di produzione. La segmentazione divide la rete in zone, come postazioni, server, backup, ospiti, stampanti e telecamere, e produzione, con regole del firewall che consentono solo le connessioni di cui ogni zona ha bisogno. Non deve essere perfetta per aiutare: separare i backup e i server più importanti dalle postazioni comuni blocca già i percorsi più dannosi. Le reti piatte rendono anche più difficile il rilevamento, perché tutto parla con tutto. La mappa di rete di NetSenX, in ogni piano, mostra chi parla davvero con chi, un buon punto di partenza per disegnare le Sue zone.

Perché si comportano allo stesso modo: contattano un server a intervalli regolari, giorno e notte, per cercare aggiornamenti, riferire il proprio stato o scaricare la configurazione. Lo fanno agenti di backup, antivirus, strumenti di gestione remota, sincronizzazione dell'ora e molte applicazioni aziendali. Per questo le regole semplici basate solo sulla regolarità producono molto rumore. Ciò che distingue il malware è il contesto: una destinazione che nessun altro in azienda usa, un dominio registrato di recente o un server noleggiato, un dispositivo senza motivo per eseguire quel software, un ritmo iniziato in un giorno preciso, o traffico che non corrisponde al programma che l'host dovrebbe eseguire. NetSenX valuta il beaconing rispetto alla storia di ciascun host e alla sua destinazione, spiega ogni alert e Le permette di segnare un software noto come falso positivo, con la decisione conservata nel log di audit.

Il tunneling DNS consiste nel nascondere dati o comandi dentro le interrogazioni DNS, quelle che ogni dispositivo fa per trasformare i nomi in indirizzi. Poiché quasi ogni rete lascia passare il DNS, gli attaccanti lo usano come canale: i dati vengono codificati in lunghi sottodomini dall'aspetto casuale di un dominio che controllano, e il loro name server risponde con istruzioni. È lento, ma attraversa firewall che bloccano tutto il resto, e serve sia per il command and control sia per rubare dati a piccoli pezzi. I segnali sono molti sottodomini unici e lunghi sotto uno stesso dominio, tipi di record insoliti come TXT e un host che fa molte più interrogazioni DNS del normale. Imporre a tutti i dispositivi l'uso dei Suoi resolver e registrarne le interrogazioni lo rende visibile. NetSenX rileva il tunneling DNS; non vede le interrogazioni che i dispositivi inviano cifrate a resolver esterni alla Sua rete.

Sì, se nessuno guarda il DNS. I dati che escono nelle interrogazioni DNS non appaiono come un grosso caricamento, perché ogni interrogazione porta solo qualche decina di byte, e molti firewall lasciano passare il DNS senza controllarlo. Si vedono nello schema: un host che invia migliaia di interrogazioni verso sottodomini dello stesso dominio sconosciuto, con nomi lunghi dall'aspetto casuale che non si ripetono mai, spesso a ritmo costante. Per renderlo visibile, lasci che i dispositivi usino solo i Suoi resolver DNS, blocchi sul firewall il DNS diretto verso internet, conservi i log dei resolver e verifichi i domini con un numero insolito di sottodomini unici. I servizi di filtraggio DNS aggiungono liste di domini di tunneling noti. NetSenX rileva il tunneling DNS sui segmenti monitorati; altre tecniche basate sul DNS, come i domini generati algoritmicamente, oggi non rientrano tra ciò su cui genera alert.

Può, e la visibilità cala. Il DNS over HTTPS (DoH) invia le interrogazioni dei nomi dentro il normale traffico web cifrato verso un resolver, spesso pubblico, così il Suo server DNS e i suoi log non le vedono mai. Browser e alcuni sistemi operativi possono attivarlo da soli, e un malware può usarlo per nascondere sia le proprie interrogazioni sia dati in tunnel. Che cosa può ancora fare: configurare tramite policy browser e dispositivi perché usino il Suo resolver, bloccare sul firewall i resolver DoH pubblici noti dove ciò si adatta al Suo ambiente, ed esaminare ogni dispositivo che invia traffico cifrato costante verso un resolver DoH ignorando il Suo server DNS. Un sensore di rete vede la connessione al resolver, i tempi e il volume, ma non i nomi al suo interno. NetSenX non decifra mai il traffico, quindi non può leggere le interrogazioni DoH; può comunque segnalare lo schema di beaconing.

L'esfiltrazione lenta è il furto di dati in piccole quantità per un lungo periodo, in modo che nessun singolo trasferimento sembri insolito: qualche centinaio di megabyte a ogni pausa pranzo per un mese, o un rivolo costante di notte, spesso verso un servizio di archiviazione cloud che molti usano legittimamente. I semplici allarmi sulla banda non la vedono, perché cercano picchi. Si scopre confrontando ogni host con la propria storia su giorni e settimane: un server che a mezzogiorno non caricava mai nulla ora lo fa ogni giorno, oppure una postazione invia un po' di dati alla stessa nuova destinazione alla stessa ora. I log dell'archivio cloud e del proxy possono mostrarlo per utente. Osservi il totale inviato per host e destinazione su una settimana, non solo per ora. NetSenX valuta il volume in uscita rispetto alle destinazioni, ai volumi e agli orari abituali di ciascun host, in ogni piano.

Perché fanno la domanda sbagliata. Un allarme sulla banda chiede se un collegamento è più occupato di un limite fisso; il furto di dati di solito è pensato per restarne al di sotto. Gli attaccanti inviano a pezzi, di notte o nelle ore di punta quando qualche centinaio di megabyte sparisce tra backup e videochiamate, e verso servizi di archiviazione cloud usati anche dal Suo personale, così nemmeno le liste di destinazioni li segnalano. Un limite fisso scatta inoltre a ogni grande trasferimento legittimo, e si finisce per non leggere più gli allarmi. La domanda utile riguarda ogni host: questa macchina sta inviando di più, verso una destinazione diversa o in un orario diverso dal solito? Serve un riferimento per host anziché per collegamento. NetSenX mantiene questo riferimento e rileva volumi di dati in uscita insoliti per host in ogni piano, Free compreso.

Cobalt Strike è uno strumento commerciale per esercitazioni red team autorizzate che i criminali usano in modo massiccio, spesso in versioni craccate, per controllare macchine compromesse. In rete il suo impianto, chiamato beacon, contatta un team server a un intervallo configurato, di solito via HTTPS, a volte via DNS o tra host interni tramite SMB. I segnali comprendono connessioni regolari con variazione casuale verso una destinazione che nessun altro usa, impostazioni predefinite o appena modificate nelle richieste web e nei certificati, impronte del client TLS che corrispondono a quelle pubblicate per configurazioni note e connessioni SMB tra postazioni che di solito non comunicano. Molti operatori cambiano la configurazione proprio per evitare questi segnali, quindi il comportamento conta più degli indicatori. NetSenX rileva beaconing e movimento laterale in ogni piano e, dal piano Starter, confronta gli handshake TLS con le impronte di malware noti dove l'agente cattura i pacchetti, su Linux o come sensore SPAN/TAP.

Spesso sì, a meno che non sappia chi la sta facendo. In una rete aziendale ci sono alcuni scanner legittimi, come uno scanner di vulnerabilità, uno strumento di inventario, un sistema di gestione della rete o il driver di una stampante che cerca dispositivi, e devono essere noti, programmati e documentati. Una postazione qualsiasi, una stampante o una telecamera che all'improvviso si collega in poco tempo a molti indirizzi interni o a molte porte è un'altra cosa: è uno dei segni più chiari che qualcuno, una volta entrato, sta mappando la rete, e di solito arriva presto, prima del danno vero. Tenga un elenco degli scanner approvati e dei loro indirizzi, così un alert si verifica in pochi secondi, e approfondisca tutto il resto in giornata. NetSenX rileva le scansioni in ogni piano, Free compreso, anche da dispositivi senza agente, quando li osserva da una porta SPAN o da un TAP.

Guardi in due punti: i log del bersaglio e lo schema in rete. I log del bersaglio, su un file server, un host di desktop remoto, un server SSH o il domain controller, mostrano gli accessi falliti e i nomi degli account tentati; molti fallimenti su molti account da una sola origine sono password spraying, molti su un solo account sono brute force. La rete mostra l'origine: un host che apre ripetutamente brevi connessioni verso un servizio di accesso, spesso su più server. Un attacco brute force al desktop remoto o a SSH dentro la LAN non è normale; indica una macchina compromessa o un test non autorizzato. Blocchi o rallenti i tentativi falliti ripetuti, richieda l'autenticazione a più fattori (MFA) dove possibile e indaghi sull'host di origine. NetSenX vede le connessioni ripetute tra host sui segmenti monitorati e rileva le scansioni e il movimento laterale che di solito le accompagnano; il conteggio degli accessi falliti sta nel log del server.

Confronti il traffico in uscita di ogni server con la sua normalità e guardi con attenzione le destinazioni di archiviazione cloud. Molti server non hanno mai bisogno di inviare molto a internet, quindi un server di database o di file che carica gigabyte verso un servizio di condivisione file o di archiviazione cloud è già insolito in sé; gli avvisi sul ransomware descrivono strumenti come Rclone usati proprio così prima della cifratura. Passi pratici: limiti quali server possono raggiungere internet, registri le connessioni in uscita sul firewall o sul proxy e controlli ogni settimana i volumi per server verso gli archivi cloud. Se usa ufficialmente un servizio cloud, separi se possibile sul proxy le sue destinazioni legittime dagli account personali. NetSenX rileva volumi di dati in uscita insoliti per host, con destinazione e orario, in ogni piano; non vede il contenuto dei caricamenti cifrati né l'account di destinazione.

PsExec e strumenti simili eseguono comandi su un computer remoto copiando un piccolo servizio attraverso le sue condivisioni amministrative e avviandolo, e protocolli di gestione remota come WinRM e il desktop remoto fanno un lavoro analogo. Gli amministratori li usano ogni giorno, ed è per questo che l'antivirus di solito li lascia passare: lo strumento è firmato e legittimo, sbagliato è solo il contesto. Gli attaccanti li usano per diffondersi da una macchina a molte, distribuire il ransomware su tutti i server insieme o eseguire script con credenziali di amministratore rubate. A tradirli è chi li usa, da dove e quando: una postazione che all'1:30 apre sessioni di amministrazione verso server mai usati, o un account che tocca decine di host in pochi minuti. Limiti quali macchine possono amministrarne altre. NetSenX rileva queste nuove sessioni amministrative tra host come movimento laterale in ogni piano.

Sì, ed è frequente. Con credenziali valide, un attaccante può accedere al desktop remoto, alla VPN, a SSH, alle condivisioni di file e ai servizi cloud come qualsiasi dipendente e usare gli strumenti di amministrazione già installati. L'antivirus non ha nulla da rilevare, perché non c'è un file malevolo, e ogni singolo accesso può sembrare normale. A tradirlo è lo schema: un account che accede da un computer mai usato, a un'ora insolita, a molti sistemi in poco tempo; una postazione che all'improvviso parla con i server; un account di servizio usato in modo interattivo. L'autenticazione a più fattori (MFA), account di amministrazione separati e limiti su quali macchine possono collegarsi a quali sono le difese principali. NetSenX vede il lato di rete, nuove sessioni tra host e scansioni, in ogni piano; non vede gli eventi di accesso nella Sua directory, che mostrano i log di identità.

Da entrambi, perché ciascuno vede ciò che sfugge all'altro. I log di autenticazione di directory, server e VPN mostrano quale account ha effettuato l'accesso dove, con quale metodo e se è fallito; sono la fonte migliore per le credenziali rubate, ma solo per i sistemi che registrano, conservano i log e li inviano dove qualcuno li legge. I flussi di rete mostrano quale host si è collegato a quale, su quale porta, con che frequenza e con quanti dati, per ogni dispositivo di un segmento monitorato, compresi quelli che non tengono log: stampanti, appliance, server non gestiti. Non mostrano i nomi degli account. In pratica, una nuova sessione tra due host che non si erano mai parlati è un segnale di rete, e l'account che c'è dietro è una questione di identità. NetSenX copre il lato di rete in ogni piano; lo affianchi ai log di accesso della directory o a un SIEM, verso cui NetSenX può esportare dal piano Business.

Il rilevamento basato su grafi tratta la rete come una mappa di chi parla con chi: ogni host è un punto, ogni connessione una linea, e la mappa viene confrontata nel tempo con la sua forma abituale. Il movimento laterale appare come nuove linee che non tornano, come una postazione improvvisamente collegata a diversi server, una catena di passaggi da una macchina all'altra o un gruppo di host che raggiungono tutti lo stesso nuovo indirizzo esterno. Il vantaggio è il contesto: una singola nuova connessione può essere innocua, mentre un nuovo percorso dal portatile di un utente, attraverso un file server, fino al server di backup non lo è. L'approccio è studiato dalla ricerca accademica da anni. Dal piano Pro, NetSenX correla gli host in un grafo di questo tipo, così una scansione seguita da nuove sessioni remote, o più host con beaconing verso la stessa destinazione, appaiono come un'unica storia invece che come alert sparsi.

Spesso sì, per costruzione. Una regola descrive qualcosa di già noto: l'hash di un file, un dominio, una sequenza di eventi che qualcuno ha già visto. È precisa ed economica e funziona bene contro il malware comune. Fallisce quando gli attaccanti cambiano un dettaglio, usano strumenti legittimi o seguono nella Sua rete un percorso per cui nessuno ha scritto una regola, come un nuovo server, un account di un fornitore dimenticato o una catena di passaggi insolita. Il rilevamento comportamentale pone un'altra domanda: questo host sta facendo qualcosa che non aveva mai fatto, rispetto alla propria storia e a host simili? Intercetta i nuovi percorsi, ma ha bisogno di tempo per imparare la normalità, e i suoi alert richiedono giudizio. La maggior parte degli ambienti maturi combina entrambe le cose. NetSenX rileva comportamenti in rete, come beaconing, scansioni, movimento laterale e volumi in uscita insoliti, e spiega ogni alert, così da distinguere un nuovo percorso di attacco da un nuovo processo aziendale.

Una stampante che all'improvviso si collega a centinaia di indirizzi interni in pochi minuti è mal configurata oppure compromessa. Alcune stampanti e i loro driver cercano legittimamente dispositivi o cartelle di destinazione per la scansione, ma quello schema è regolare e limitato; mappare interi intervalli di indirizzi non lo è. Le stampanti hanno sistemi operativi completi, spesso con firmware vecchio, password predefinite, interfacce web e rubriche salvate, quindi un attaccante può prenderne il controllo e usarla come base silenziosa da cui scansionare, inoltrare connessioni o conservare strumenti, sapendo che nessuno ne legge i log. Aggiorni il firmware, cambi la password predefinita, disattivi i servizi che non servono e metta le stampanti in un segmento proprio che raggiunga il server di stampa, ma non ogni computer. NetSenX rileva le scansioni in ogni piano, da una porta SPAN o da un TAP, senza alcun software sulla stampante.

Prima contenendolo e poi eliminandolo, in un'unica mossa coordinata. Scopra con discrezione il più possibile: quali host e account sono coinvolti, come l'attaccante entra ed esce e dove sono i suoi strumenti. Poi agisca insieme: isoli gli host colpiti sullo switch o sul firewall, blocchi le loro destinazioni esterne, disattivi o reimposti gli account compromessi da un dispositivo pulito e chiuda la via d'ingresso, come un account VPN o un servizio esposto. Agire a pezzi avverte l'attaccante, che può cambiare host o iniziare a danneggiare i sistemi. Coinvolga una società di risposta agli incidenti se non l'ha già fatto e tenga un registro. Dopo il contenimento, ricostruisca le macchine colpite e sorvegli da vicino per settimane. NetSenX non elimina gli attaccanti; mostra dalla rete quali host sono coinvolti e dove si collegano, ciò di cui ha bisogno un piano di contenimento, e in seguito segnala ogni attività ripresa.

A volte entro un'ora, a volte nell'arco di settimane. I gruppi che usano strumenti automatizzati e password di amministratore rubate possono raggiungere i server molto in fretta dopo il primo appiglio, mentre altri aspettano, esplorano e copiano dati prima di agire. I fornitori di sicurezza pubblicano misurazioni del cosiddetto breakout time, ma descrivono i propri clienti e metodi, quindi prenda ogni singolo numero con cautela. La conclusione pratica è sempre la stessa: presuma di avere poco tempo dopo il primo segnale. Stabilisca in anticipo chi può isolare un host di notte, si assicuri che gli alert arrivino a una persona che li legge e mantenga la segmentazione tra postazioni e server, così il percorso dell'attaccante si allunga. NetSenX rileva i passi che di solito seguono il primo appiglio, beaconing, scansioni e movimento laterale, in ogni piano, ed è da lì che nasce il tempo per reagire.

Cerchi segnali sul computer e in rete, e riduca comunque il rischio. Sul computer: strumenti di accesso remoto inattesi, finestre che chiedono di reinserire i dati bancari, estensioni del browser che non ha installato, software di sicurezza disattivato. In rete: il PC che contatta a intervalli regolari, giorno e notte, un server esterno sconosciuto, perché è così che i trojan bancari e di accesso remoto restano in contatto con i loro operatori. Contano anche gli avvisi della Sua banca su nuovi dispositivi o beneficiari modificati. La configurazione più sicura è un computer dedicato, o un account utente separato usato solo per la banca, senza posta, aggiornato e con approvazione a due persone per i pagamenti oltre una soglia. NetSenX rileva il beaconing da quel PC in ogni piano; non vede ciò che accade nel browser e non sostituisce i controlli di sicurezza della banca.

Guardando ciò che il server del database ha inviato all'esterno, non il database in sé. Un'esportazione dall'ERP di clienti, prezzi o buste paga è voluminosa, e il server che la ospita di norma parla con l'applicazione ERP, con il sistema di backup e con pochi utenti, non con internet. I segnali sono un grande trasferimento in uscita da quel server, o da una postazione che ha appena estratto un'esportazione corposa, soprattutto di notte o verso un archivio cloud; un file di dump del database comparso su una condivisione; oppure una nuova sessione remota verso il server poco prima. Limiti l'accesso a internet dai server di database e registri le esportazioni nell'ERP stesso. NetSenX rileva volumi di dati in uscita insoliti per host, con destinazione e orario, in ogni piano; non vede quali tabelle c'erano in un trasferimento cifrato.

Di solito sì, una volta che conosce il backup. Un backup o una sincronizzazione cloud legittimi partono da host noti verso destinazioni note a orari regolari, con volumi simili notte dopo notte, e iniziano il giorno in cui l'attività è stata impostata. Un furto di solito differisce almeno per un aspetto: un host che non carica mai nulla, una destinazione nuova, un orario insolito o un volume molto superiore alla normalità di quell'host. Quando il furto usa lo stesso provider cloud dei Suoi backup, cambiano l'account e la destinazione esatta, cosa che mostrano meglio un proxy o i log del provider rispetto ai dati di flusso. NetSenX confronta i caricamenti di ogni host con la sua storia e spiega l'alert, così il backup notturno resta riconoscibile; se dovesse comunque generare un alert, lo segni una volta come falso positivo e la decisione resta nel log di audit.

La maggior parte del traffico dalle postazioni al domain controller è innocua: accessi, criteri di gruppo, sincronizzazione dell'ora e risoluzione dei nomi avvengono a ogni ora, anche di notte. Non è normale che una postazione apra una sessione remota interattiva verso il domain controller, come il desktop remoto o la gestione remota, o ne usi le condivisioni amministrative, soprattutto da un computer di qualcuno esterno all'IT e a un'ora in cui nessuno lavora. È un passo tipico prima che un attaccante prenda il controllo della directory, crei account o distribuisca ransomware ovunque. Limiti l'accesso amministrativo ai domain controller a poche macchine di amministrazione dedicate. NetSenX rileva queste nuove sessioni amministrative tra host come movimento laterale in ogni piano e, dal piano Pro, le collega alle scansioni che spesso le precedono.

L'ARP spoofing è un dispositivo della rete locale che si annuncia falsamente come router o come un altro host, così che il traffico destinato a loro passi attraverso di esso. Permette a un attaccante di leggere il traffico non cifrato, catturare credenziali o manipolare le connessioni, e funziona solo dall'interno dello stesso segmento, per esempio da un PC compromesso o da un dispositivo collegato a una presa libera. Sugli switch gestiti, la dynamic ARP inspection insieme al DHCP snooping lo blocca; port security e 802.1X limitano chi può collegarsi; cifrare i servizi interni limita i danni. Senza switch gestiti, cerchi un indirizzo MAC che rivendica più indirizzi IP, soprattutto quello del gateway. Un sensore sul segmento vede questi annunci contraddittori, e la mappa di rete di NetSenX mostra i dispositivi dei segmenti monitorati, così un nuovo arrivato salta all'occhio.

Dipende dalla sicurezza del Wi-Fi e da ciò che è cifrato sopra. In una rete aperta, o in una in cui tutti condividono la stessa password, una persona connessa può, con un certo impegno, vedere o deviare il traffico degli altri utenti; il WPA3 rende molto più difficile l'ascolto passivo, e WPA2 o WPA3 Enterprise con credenziali individuali separano meglio gli utenti. L'isolamento dei client nelle reti ospiti impedisce del tutto ai dispositivi di parlarsi. In pratica oggi la maggior parte del traffico è protetta da HTTPS, quindi i rischi maggiori sono i reindirizzamenti verso false pagine di accesso e gli attacchi a dispositivi che usano ancora protocolli non cifrati, come vecchie stampanti o telecamere. Tenga gli ospiti su una rete isolata e il personale su credenziali individuali. NetSenX non gestisce il Wi-Fi; sui segmenti monitorati mostra quali dispositivi parlano con quali e segnala le scansioni di un nuovo arrivato.

Pochissimo: spesso da minuti a ore, a seconda di quanti dati ci sono e di quante macchine cifrano insieme. Quando inizia la cifratura, uno o più client leggono e riscrivono in poco tempo grandi quantità di dati sulle condivisioni di rete, e gli utenti iniziano a trovare file che non si aprono. A quel punto viene prima il contenimento: scolleghi gli host che stanno cifrando, porti offline o in sola lettura le condivisioni colpite e, se serve, protegga il server di backup togliendogli l'accesso alla rete. Stabilisca in anticipo chi può farlo senza chiedere. La finestra vera è prima, nei giorni di beaconing, scansioni e movimento laterale che precedono la cifratura. NetSenX non ha un rilevamento dedicato alla fase di cifratura in sé; sorveglia quei passi precedenti in ogni piano, Free compreso.

Non dalla sola rete. Un sensore di rete vede quale host ha inviato quanto, dove e quando, a volte anche protocollo e nome del server; il programma che ha aperto la connessione è noto solo sull'host stesso. Per saperlo, usi l'endpoint detection and response (EDR) o la registrazione delle connessioni del sistema operativo sui server importanti, e registri insieme eventi di processo e di rete, così da poter abbinare in seguito un trasferimento al suo processo. Firewall e proxy che autenticano gli utenti possono aggiungere l'account. In pratica l'alert di rete Le dice quale server e quale minuto guardare, il che rende rapido trovare il processo. NetSenX rileva volumi di dati in uscita insoliti per host, con orario e destinazione, in ogni piano; non indica il processo né l'utente che c'è dietro.

Un attacco alla catena di fornitura La raggiunge attraverso qualcuno di cui si fida: un produttore di software il cui aggiornamento viene manomesso, un fornitore IT il cui strumento di gestione remota viene abusato, un fornitore con accesso VPN alla Sua rete o un partner violato la cui posta viene usata per inviarLe fatture malevole. Funziona perché l'accesso o il software sono legittimi, e quindi superano i controlli che applica agli sconosciuti. Le difese sono sapere quali fornitori hanno accesso e a che cosa, dare a ciascuno l'accesso minimo necessario e account propri con autenticazione a più fattori (MFA), disattivare l'accesso quando non serve e chiedere della loro sicurezza nei contratti. La NIS2 include la sicurezza della catena di approvvigionamento tra le misure di gestione dei rischi di cibersicurezza dell'articolo 21. NetSenX non vede la creazione di un aggiornamento manomesso; vede che cosa fanno poi l'accesso o il software del fornitore nella Sua rete, come beaconing o nuove sessioni.

Uno zero-day è una vulnerabilità che gli attaccanti sfruttano prima che il produttore abbia rilasciato una correzione, quindi aggiornare non serve ancora e non esistono firme. Gli zero-day sono costosi e spesso usati contro sistemi esposti a internet, come gateway VPN, firewall e server di trasferimento file. Il rilevamento si basa quindi su ciò che accade dopo lo sfruttamento: un'appliance che all'improvviso parla con nuovi server esterni, un server web che inizia a scansionare la rete interna, nuove sessioni di amministrazione, dati in uscita. Riduca l'esposizione mantenendo il minor numero possibile di servizi raggiungibili da internet, mettendo le interfacce di gestione dietro una VPN e seguendo gli avvisi dei produttori e il catalogo Known Exploited Vulnerabilities di CISA, così da aggiornare non appena compare una correzione. NetSenX non rileva lo sfruttamento in sé; rileva il comportamento che segue, come beaconing, scansioni e volumi in uscita insoliti, in ogni piano.

Entrambi indovinano password, ma in direzioni opposte. Il brute force prova molte password contro un solo account, il che di solito ne provoca il blocco e si vede chiaramente nei log del bersaglio. Il password spraying prova una o due password comuni, come una stagione seguita da un anno, contro molti account, restando sotto le soglie di blocco, e spesso distribuisce i tentativi su ore o su più servizi. Lo spraying è più frequente contro VPN, webmail e accessi cloud, dove i nomi degli account sono facili da indovinare. Le difese sono le stesse per entrambi: autenticazione a più fattori (MFA), divieto delle password comuni e alert sugli accessi falliti su molti account da un'unica origine. In azienda, l'uno e l'altro appaiono in rete come un host che apre ripetutamente brevi connessioni verso i servizi di accesso. NetSenX mostra queste connessioni tra host; il numero di fallimenti e gli account tentati sono nei log del server o del provider di identità.

Il credential stuffing consiste nel prendere coppie di e-mail e password trapelate da altri siti e provarle automaticamente sui Suoi accessi, scommettendo sul fatto che le persone riutilizzano le password. Prende di mira servizi esposti a internet, come webmail, VPN, portali clienti e applicazioni cloud, e arriva da molti indirizzi contemporaneamente, quindi spesso sembra un normale insieme di accessi con un tasso di fallimento un po' più alto. Le difese sono l'autenticazione a più fattori (MFA), una regola contro il riutilizzo delle password, il controllo degli indirizzi aziendali nelle raccolte di violazioni note e i limiti di frequenza sulle pagine di accesso. Per gli account dei Suoi clienti, offra l'MFA e osservi i molti accessi falliti su più account. Un sensore di rete in azienda vede poco di tutto ciò, perché avviene sui Suoi servizi pubblici o presso un provider cloud. NetSenX vede a che cosa serve poi un accesso riuscito, se porta ad attività sulla Sua rete interna.

Il Kerberoasting è un attacco ad Active Directory in cui qualsiasi utente autenticato richiede ticket di servizio per gli account che eseguono servizi, poi porta via i ticket e li decifra offline per ottenere le password di quegli account. Non richiede diritti particolari, fa poco rumore e funziona meglio contro account di servizio con password deboli e vecchie, che spesso hanno privilegi ampi. Le difese sono password lunghe e casuali per gli account di servizio, preferibilmente account di servizio gestiti a rotazione automatica, tipi di cifratura robusti per Kerberos e alert nei log della directory quando un host richiede molti ticket di servizio in poco tempo. Le richieste di ticket sono eventi della directory, visibili al monitoraggio delle identità più che a un sensore di flussi. NetSenX non genera alert sull'attività Kerberos; vede a che cosa servono poi gli account decifrati, come nuove sessioni di amministrazione verso i server.

Il pass-the-hash è l'uso, da parte di un attaccante, dell'hash memorizzato di una password, preso dalla memoria o dal disco di un computer compromesso, per autenticarsi come quell'utente senza mai conoscere la password stessa. Funziona con la vecchia autenticazione NTLM, ancora diffusa in molte reti, e consente all'attaccante di spostarsi da una macchina all'altra con l'identità di un amministratore. Le difese comprendono non accedere con account di amministratore di dominio su postazioni comuni, una password di amministratore locale diversa su ogni macchina, protezioni che impediscono di leggere le credenziali dalla memoria, la limitazione o disattivazione di NTLM dove possibile e la protezione degli endpoint. Il furto dell'hash avviene su un host; il riuso appare in rete come connessioni amministrative tra macchine che di solito non comunicano. NetSenX rileva questo movimento laterale in ogni piano; non analizza il protocollo di autenticazione in sé.

Un drive-by download infetta un computer quando qualcuno visita semplicemente una pagina web: un sito legittimo compromesso, una pubblicità malevola o una pagina che si spaccia per un aggiornamento del browser o un CAPTCHA e induce l'utente a eseguire qualcosa. L'avviso di CISA sul gruppo ransomware Interlock, AA25-203A del 22 luglio 2025, descrive drive-by download da siti legittimi compromessi e la tecnica ClickFix, in cui un falso messaggio convince l'utente a incollare ed eseguire un comando. Le difese sono browser e sistemi operativi aggiornati, filtraggio DNS e web, impedire agli utenti di eseguire script incollati e insegnare che nessun sito ha mai bisogno che si esegua un comando. Una volta che qualcosa gira, di solito chiama casa: NetSenX rileva il beaconing che ne deriva verso un nuovo server esterno, in ogni piano.

Una botnet è una rete di computer, router, telecamere e altri dispositivi infetti che un criminale controlla a distanza e noleggia per spam, credential stuffing, attacchi di negazione del servizio o come ripetitore per altri reati. I proprietari se ne accorgono di rado, perché il dispositivo continua a funzionare; il prezzo è la Sua banda, il Suo indirizzo pubblico finito nelle blocklist e un attaccante con un appiglio nella Sua rete. I segnali sono un dispositivo che contatta a intervalli regolari un server di comando, raffiche improvvise di connessioni in uscita verso molti indirizzi, posta inviata da un dispositivo che non dovrebbe inviarne, o una segnalazione del provider o del CERT nazionale. Aggiorni i dispositivi connessi a internet, ne cambi le password predefinite e blocchi la posta in uscita tranne quella del server di posta. NetSenX rileva beaconing e volumi in uscita insoliti per host in ogni piano, anche per dispositivi che non possono eseguire un agente.

Un trojan di accesso remoto è un malware che dà a un attaccante il pieno controllo di un computer: può vedere lo schermo, registrare i tasti premuti, aprire file, accendere la telecamera, eseguire comandi e usare la macchina come trampolino verso la rete. Di solito arriva tramite allegati di phishing, falsi download di software o programmi craccati, e mantiene una connessione con il suo operatore, sempre aperta o riattivata a intervalli. Sul computer, la protezione degli endpoint e il controllo delle applicazioni sono le difese principali. In rete, la connessione con l'operatore è il segnale più affidabile: traffico piccolo e regolare verso una destinazione sconosciuta, spesso via HTTPS o su una porta insolita, a volte inoltrato tramite un servizio cloud legittimo. NetSenX rileva questo beaconing in ogni piano e, dal piano Starter, confronta gli handshake TLS con le impronte di malware noti dove l'agente cattura i pacchetti, su Linux o come sensore SPAN/TAP.

Un initial access broker è un criminale che entra nelle aziende e vende quell'accesso ad altri invece di usarlo: credenziali VPN, accessi al desktop remoto, una web shell su un server o il controllo di un portatile infetto. Gruppi ransomware e altri criminali comprano questi accessi su mercati criminali e da lì avviano l'attacco, a volte settimane dopo. Per una vittima ciò ha due conseguenze. La prima intrusione può essere silenziosa e sembrare scollegata dai danni successivi, e chi cifra può non essere chi è entrato. Inoltre il tempo tra accesso e attacco è un'opportunità: account usati da luoghi insoliti, un nuovo strumento di accesso remoto o un server che chiama un indirizzo esterno possono essere scoperti prima che arrivi l'acquirente. NetSenX rileva il beaconing e le nuove sessioni che un simile accesso tende a produrre, in ogni piano; gli accessi li mostrano i log di identità.

Una web shell è un piccolo script malevolo collocato su un server web, di solito tramite una vulnerabilità di un'applicazione esposta a internet, che consente a un attaccante di eseguire comandi sul server attraverso normali richieste web. È un modo comune per mantenere l'accesso a sistemi sfruttati, come server di trasferimento file, server di posta o sistemi di gestione dei contenuti, e si confonde con il normale traffico web. I segnali sono file di script nuovi o modificati nelle directory web, processi del server web che avviano interpreti di comandi e il server stesso che all'improvviso si collega a internet o a macchine interne con cui non aveva mai comunicato. Aggiorni rapidamente le applicazioni esposte, monitori le modifiche alle directory web e limiti ciò che il server web può raggiungere. Il file è visibile sull'host; NetSenX vede il comportamento di rete che segue, come un server esposto che scansiona la rete interna o invia volumi insoliti, in ogni piano.

Il tunneling di protocollo consiste nel nascondere un tipo di traffico dentro un altro, perché superi i firewall e sembri innocuo: comandi o dati rubati avvolti in interrogazioni DNS, in normali richieste web, in ping ICMP o in una connessione SSH. Gli attaccanti lo usano per tenere aperto un canale di comando quando le connessioni dirette sono bloccate, o per raggiungere sistemi interni attraverso un unico host compromesso. Si manifesta in protocolli che si comportano in modo strano: interrogazioni DNS con nomi lunghi e casuali, ping che trasportano molti più dati del solito, una sessione SSH che dura giorni e muove molti dati, o un host che inoltra connessioni per altri. Limiti quali protocolli possono uscire dalla rete e da quali host, e obblighi il DNS a passare dai Suoi resolver. NetSenX rileva il tunneling DNS e segnala beaconing e volumi in uscita insoliti in ogni piano; non decifra mai il traffico, quindi un tunnel cifrato viene valutato dal suo schema.

Perché sono considerati affidabili. Gli strumenti di assistenza e gestione remota sono firmati, installati comunemente e lasciati passare dai firewall, quindi l'antivirus li segnala di rado, e il loro traffico va verso il cloud del produttore come ogni sessione legittima. Gli attaccanti li installano dopo essere entrati, o abusano di quelli già presenti, per mantenere un accesso che sopravvive a un cambio di password. Gli avvisi di CISA su gruppi come Akira e Medusa descrivono proprio questo uso del software di accesso remoto. Tenga un elenco degli strumenti che l'azienda usa davvero, blocchi l'installazione degli altri, richieda l'autenticazione a più fattori (MFA) per quelli consentiti e rimuova quelli che non servono a nessuno. In rete, uno strumento inatteso appare come un host che si collega regolarmente a un fornitore di accesso remoto mai usato prima. NetSenX segnala questi nuovi contatti regolari come beaconing in ogni piano; decidere se uno strumento è approvato spetta a Lei.

Un wiper distrugge i dati invece di tenerli in ostaggio per un riscatto: sovrascrive file, strutture del disco o firmware in modo che i sistemi non si avviino o che i dati non si possano recuperare. Serve al sabotaggio, a volte camuffato da ransomware con una richiesta di riscatto che non porta da nessuna parte, e le aziende possono essere colpite come danno collaterale quando si diffonde attraverso fornitori o reti condivise. Poiché non c'è nulla da negoziare, backup offline e un piano di ripristino collaudato sono l'unica vera risposta. I passi prima della cancellazione somigliano a quelli di altre intrusioni: accesso, command and control, spostamento verso molte macchine, a volte tramite strumenti di gestione centralizzati che distribuiscono il wiper ovunque in una volta. NetSenX non rileva la cancellazione in sé, che avviene sugli host; sorveglia i passi precedenti, come beaconing, scansioni e movimento laterale, in ogni piano.

Il cryptojacking è l'uso dei Suoi computer, server o account cloud da parte di criminali per estrarre criptovaluta a proprio vantaggio. Raramente ruba dati, ma costa elettricità e spesa cloud, rallenta i sistemi, usura l'hardware e dimostra che qualcuno ha una via d'accesso, spesso un server esposto a internet non aggiornato o chiavi cloud rubate. Sull'host si manifesta come un carico del processore alto e prolungato dovuto a un processo sconosciuto. In rete, i miner mantengono una connessione di lunga durata con un mining pool, spesso su porte insolite, con piccoli messaggi regolari nei due sensi a ogni ora. Blocchi sul firewall le destinazioni di mining pool note dove possibile, controlli le fatture cloud per calcolo inspiegato e aggiorni i server esposti. NetSenX segnala come beaconing le connessioni regolari e persistenti verso una nuova destinazione esterna, in ogni piano; il carico del processore riguarda il monitoraggio degli endpoint o del cloud.