# Che cos'è…? Termini di rete e sicurezza (FAQ)

> Termini di rete e di sicurezza spiegati in modo semplice, dal firewall e la VLAN a CVE e SOC, con ciò che significano per la Sua azienda.

Source page: https://netsenx.com/it/faq/glossary

## Che cos'è un firewall?

Un firewall è un dispositivo o un programma che decide quali connessioni di rete sono consentite e blocca le altre, in base a regole che stabilisce Lei. Di solito si trova tra la rete dell'ufficio e internet, e talvolta tra segmenti interni, per esempio tra i PC d'ufficio e le macchine di produzione. Una regola può dire: i computer dell'ufficio possono andare su internet tramite le porte web, ma nessuno dall'esterno può raggiungere il file server. Un firewall è indispensabile, ma giudica le connessioni solo rispetto alle sue regole; non si accorge di un intruso che usa una connessione consentita. Il rilevamento di rete osserva ciò che accade dentro quelle connessioni consentite.

https://netsenx.com/it/faq/what-is-a-firewall

## Che cos'è un router?

Un router è il dispositivo che collega una rete a un'altra e fa passare il traffico tra di esse, quasi sempre la rete dell'ufficio e internet. Decide dove deve andare ogni pacchetto di dati, come un centro di smistamento postale. Negli uffici piccoli il router fa spesso anche da firewall, da punto di accesso Wi-Fi e da dispositivo che assegna gli indirizzi ai computer. Poiché tutto ciò che esce dalla Sua rete passa da lui, il router conta per la sicurezza: ne aggiorni il software, cambi la password di amministrazione predefinita, disattivi l'amministrazione remota da internet e controlli ogni tanto l'elenco dei dispositivi collegati.

https://netsenx.com/it/faq/what-is-a-router

## Che cos'è uno switch di rete?

Uno switch di rete è la scatola con molte prese che collega tra loro computer, stampanti e server di un ufficio e invia ogni parte del traffico solo al dispositivo a cui è destinata. Gli switch non gestiti funzionano appena collegati. Quelli gestiti si possono configurare: possono dividere la rete in segmenti separati (VLAN) e copiare il traffico su una porta di monitoraggio, funzione chiamata port mirroring o SPAN. Questa copia permette a un sensore di rete di vedere il traffico tra i dispositivi senza mettersi in mezzo. Se pensa di monitorare la rete, verifichi che lo switch principale sia gestito.

https://netsenx.com/it/faq/what-is-a-network-switch

## Che cos'è una VLAN?

Una VLAN (virtual local area network, rete locale virtuale) è un modo per dividere una rete fisica in più reti separate tramite le impostazioni dello switch, così che i dispositivi di una VLAN non possano parlare direttamente con quelli di un'altra. Un'azienda può mettere PC d'ufficio, Wi-Fi ospiti, terminali POS e telecamere in VLAN diverse e consentire solo le connessioni che servono a ciascun gruppo. Questo limita la diffusione di un'infezione. Una VLAN vale quanto le regole tra VLAN, di solito impostate sul router o sul firewall, e quelle regole cambiano nel tempo. Osservare il traffico tra i segmenti mostra se la separazione prevista regge davvero.

https://netsenx.com/it/faq/what-is-a-vlan

## Che cos'è un indirizzo IP?

Un indirizzo IP (Internet Protocol) è il numero che identifica un dispositivo in una rete, perché i dati possano raggiungerlo, come un indirizzo postale per i computer. In ufficio i dispositivi hanno di solito indirizzi privati come 192.168.1.20, che non sono raggiungibili direttamente da internet; il router ha un indirizzo pubblico, quello che vede il mondo esterno. Gli indirizzi possono cambiare quando un dispositivo si ricollega, per questo gli strumenti di sicurezza registrano anche il nome del dispositivo o il suo indirizzo fisico. Quando un avviso indica un indirizzo IP, il primo passo è di solito scoprire quale dispositivo aveva quell'indirizzo in quel momento.

https://netsenx.com/it/faq/what-is-an-ip-address

## Che cos'è un indirizzo MAC?

Un indirizzo MAC (media access control) è un identificativo fisico integrato in ogni interfaccia di rete, come la scheda Wi-Fi o la presa di rete di un portatile, scritto come sei coppie di caratteri, per esempio 3C:22:FB:1A:4D:90. I dispositivi della stessa rete locale lo usano per scambiarsi dati. A differenza dell'indirizzo IP, di solito non cambia quando ci si ricollega, quindi aiuta a riconoscere un dispositivo nel tempo, anche se telefoni e portatili moderni usano spesso indirizzi MAC casuali sul Wi-Fi per la privacy. Gli inventari di rete usano gli indirizzi MAC, insieme ai nomi dei dispositivi, per distinguerli.

https://netsenx.com/it/faq/what-is-a-mac-address

## Che cos'è il DHCP?

Il DHCP (Dynamic Host Configuration Protocol) è il servizio che assegna automaticamente a ogni dispositivo un indirizzo IP e le impostazioni di rete di base quando si collega, così nessuno deve inserirli a mano. Negli uffici piccoli lo gestisce di solito il router, nelle aziende più grandi un server. Il server DHCP conserva l'elenco di quale dispositivo ha ricevuto quale indirizzo e quando, i cosiddetti lease. Questo elenco è utile per la sicurezza: aiuta a capire quale dispositivo aveva l'indirizzo indicato in un avviso e rivela dispositivi che non sapeva fossero collegati. Conservi queste registrazioni per tutto il tempo che potrebbe servire a un'indagine.

https://netsenx.com/it/faq/what-is-dhcp

## Che cos'è il DNS?

Il DNS (Domain Name System) è l'elenco telefonico di internet: traduce nomi come netsenx.com negli indirizzi IP di cui i computer hanno bisogno per collegarsi. Ogni volta che qualcuno apre un sito o un'applicazione contatta un server, di solito avviene prima una richiesta DNS. Per questo il DNS è utile alla sicurezza: i nomi che un dispositivo richiede mostrano dove sta cercando di andare, compreso un server di malware o un servizio di IA non approvato. Anche gli attaccanti abusano del DNS, per esempio nascondendo dati nelle richieste, il cosiddetto tunneling DNS. Far passare il DNS dai propri resolver e conservarne i log aiuta le indagini.

https://netsenx.com/it/faq/what-is-dns

## Che cos'è il NAT (traduzione degli indirizzi di rete)?

Il NAT (network address translation) è la tecnica con cui un router permette a molti dispositivi con indirizzi privati di condividere un unico indirizzo internet pubblico. Quando un PC del Suo ufficio si collega a un sito, il router sostituisce l'indirizzo privato del PC con il proprio indirizzo pubblico e ricorda quale risposta spetta a quale dispositivo. Grazie al NAT i dispositivi d'ufficio non sono raggiungibili direttamente da internet per impostazione predefinita, il che aiuta, ma il NAT non è un firewall: le regole di port forwarding possono aprire deliberatamente un varco verso l'interno. In un'indagine il NAT significa che dall'esterno si vede solo l'indirizzo del router, quindi devono essere i Suoi log a mostrare quale dispositivo interno era.

https://netsenx.com/it/faq/what-is-nat-network-address-translation

## Che cos'è una porta di rete?

Una porta di rete è un numero che indica a quale servizio di un dispositivo è destinata una connessione, così che un computer possa ospitare insieme un server web, un server di posta e l'accesso remoto. Esempi comuni: la porta 443 per i siti sicuri, la 22 per l'amministrazione remota via SSH, la 3389 per il desktop remoto e la 445 per la condivisione di file. Una porta si dice aperta quando un servizio è in ascolto su di essa. Le porte aperte esposte su internet sono un punto di ingresso frequente per gli attaccanti, ed è per questo che conviene sapere quali ha. Una scansione delle porte è qualcuno che prova molte porte per trovarne di aperte.

https://netsenx.com/it/faq/what-is-a-network-port

## Che cos'è un pacchetto di rete?

Un pacchetto di rete è una piccola unità di dati inviata su una rete; messaggi, file e pagine web più grandi vengono divisi in molti pacchetti e ricomposti all'arrivo. Ogni pacchetto ha un'intestazione, come la busta di una lettera, con indirizzi e porte di mittente e destinatario, e un contenuto. La cifratura protegge il contenuto, ma buona parte dell'intestazione resta leggibile perché la rete possa consegnare il pacchetto. Gli strumenti di sicurezza che catturano i pacchetti possono leggere queste intestazioni e alcuni campi di protocollo non cifrati; NetSenX lo fa dove la cattura dei pacchetti è attiva e non decifra mai il contenuto.

https://netsenx.com/it/faq/what-is-a-network-packet

## Che cos'è un protocollo di rete?

Un protocollo di rete è un insieme concordato di regole su come i dispositivi si scambiano dati, così che apparecchi di produttori diversi si capiscano. Alcuni protocolli trasportano dati (TCP e UDP), altri trovano gli indirizzi (DHCP, ARP), traducono i nomi (DNS), proteggono i dati (TLS) o servono scopi precisi, come SSH per l'amministrazione remota, SMB per la condivisione di file o Modbus per le macchine industriali. Gli strumenti di sicurezza riconoscono i protocolli per capire che cosa fa una connessione. Un protocollo inatteso, come traffico di amministrazione remota da una stampante o comandi industriali da un portatile d'ufficio, è spesso un segnale da verificare.

https://netsenx.com/it/faq/what-is-a-network-protocol

## Che cos'è una sottorete?

Una sottorete è un intervallo di indirizzi IP che forma una parte di una rete, per esempio da 192.168.10.0 a 192.168.10.255 per l'ufficio e un altro intervallo per i server. Dividere una rete in sottoreti, di solito insieme alle VLAN, raggruppa i dispositivi e permette al router o al firewall di controllare il traffico tra i gruppi. Gli amministratori scrivono le sottoreti in forma breve, come 192.168.10.0/24, dove il numero dopo la barra indica quanto è ampio l'intervallo. Nei report di sicurezza, la scansione di una sottorete significa che un dispositivo ha bussato a molti indirizzi di quell'intervallo, spesso segno che qualcuno sta mappando la rete.

https://netsenx.com/it/faq/what-is-a-subnet

## Che cos'è una LAN, e che cos'è una WAN?

Una LAN (local area network, rete locale) è la rete all'interno di un edificio o di una sede, che collega i suoi computer, stampanti e server. Una WAN (wide area network, rete geografica) collega reti a distanza, per esempio più uffici della stessa azienda o una sede con internet. Il traffico dentro la LAN spesso non passa mai dal firewall al confine con internet, quindi un firewall da solo non vede un PC compromesso che attacca il file server accanto. Questo traffico interno, talvolta chiamato traffico est-ovest, è ciò che il rilevamento di rete osserva da una porta mirror. I collegamenti tra sedi, spesso VPN, meritano la stessa attenzione.

https://netsenx.com/it/faq/what-is-a-lan-and-a-wan

## Che cos'è un server proxy?

Un server proxy è un intermediario che apre connessioni per conto di altri dispositivi: un computer chiede una pagina al proxy e il proxy la recupera. Le aziende usano i proxy per filtrare i siti, registrare l'accesso al web o memorizzare contenuti in cache. Alcuni proxy ispezionano il traffico cifrato decifrandolo e cifrandolo di nuovo, il che richiede di installare un certificato aziendale su ogni dispositivo e solleva questioni di privacy. Anche gli attaccanti usano proxy, per nascondere da dove proviene il loro traffico. Un sensore di rete che vede connessioni accumularsi verso un proxy o un servizio di anonimizzazione inatteso ha trovato qualcosa da verificare. NetSenX non decifra mai il traffico e non funziona da proxy.

https://netsenx.com/it/faq/what-is-a-proxy-server

## Che cos'è un TAP di rete?

Un TAP di rete (test access point) è un piccolo dispositivo hardware inserito su un cavo di rete che copia tutto il traffico che lo attraversa verso una porta di monitoraggio, senza modificare né ritardare il traffico originale. Svolge lo stesso compito di una porta mirror su uno switch gestito, ma funziona su qualsiasi cavo e non perde pacchetti quando lo switch è carico. I TAP sono comuni dove gli switch non sono gestiti, nelle reti industriali o quando un revisore vuole una copia indipendente. Con NetSenX un agente su un host collegato a un TAP osserva l'intero segmento e conta come un solo dispositivo.

https://netsenx.com/it/faq/what-is-a-network-tap

## Che cos'è NetFlow, cioè i dati di flusso?

NetFlow e formati simili come IPFIX e sFlow sono riepiloghi delle connessioni di rete che router e switch possono esportare: chi ha parlato con chi, su quali porte, quando e con quanti byte e pacchetti. Un record di flusso è come una bolletta telefonica: elenca le chiamate, non ciò che è stato detto. I dati di flusso servono per pianificare la capacità e per notare volumi o destinazioni insoliti, e costano meno da conservare del traffico completo. Perdono dettagli come le risposte DNS o l'handshake TLS. NetSenX legge una propria copia del traffico da un agente o da una porta mirror, invece di basarsi soltanto sui record di flusso esportati.

https://netsenx.com/it/faq/what-is-netflow-and-flow-data

## Che cos'è l'ARP, e che cos'è l'ARP spoofing?

L'ARP (Address Resolution Protocol) è il modo in cui i dispositivi di una rete locale trovano l'indirizzo fisico che corrisponde a un indirizzo IP, per esempio per consegnare traffico al router. Poiché l'ARP si fida di qualsiasi risposta arrivi, un attaccante sulla stessa rete può inviare risposte false e spacciarsi per il router o per un altro dispositivo. È l'ARP spoofing, che gli permette di leggere o alterare il traffico in transito, una forma di attacco man-in-the-middle. Gli switch gestiti hanno protezioni contro questo. NetSenX genera avvisi di ARP spoofing dal piano Pro, sui segmenti che monitora.

https://netsenx.com/it/faq/what-is-arp-and-arp-spoofing

## Che cosa sono TCP e UDP?

TCP (Transmission Control Protocol) e UDP (User Datagram Protocol) sono i due modi principali in cui i dati viaggiano sulle reti. TCP stabilisce una connessione, numera i pacchetti e reinvia quelli persi, così che tutto arrivi completo e in ordine; lo usano siti web, posta e trasferimenti di file. UDP invia semplicemente i pacchetti senza controlli, il che è più veloce e si adatta a chiamate vocali, video, richieste DNS e parte del traffico web più recente. Per gli strumenti di sicurezza la differenza conta: una connessione TCP ha un inizio e una fine chiari, mentre il traffico UDP deve essere raggruppato dallo strumento. Scansioni e flood possono usare entrambi.

https://netsenx.com/it/faq/what-is-tcp-and-udp

## Che cosa sono ICMP e ping?

L'ICMP (Internet Control Message Protocol) trasporta messaggi di controllo e di errore tra i dispositivi, come host non raggiungibile. Il ping è lo strumento più semplice che lo usa: invia un breve messaggio a un indirizzo e attende una risposta, per verificare se un dispositivo è raggiungibile e con quale rapidità. Gli amministratori usano il ping ogni giorno. Anche gli attaccanti, per scoprire quali indirizzi sono attivi prima di scansionarli, e i flood di messaggi ICMP possono sovraccaricare un collegamento o un dispositivo. Molti firewall limitano l'ICMP proveniente da internet. NetSenX genera un avviso sui flood ICMP in ogni piano.

https://netsenx.com/it/faq/what-is-icmp-and-ping

## Che cos'è SMB, il protocollo di condivisione dei file?

SMB (Server Message Block) è il protocollo che la maggior parte delle reti d'ufficio usa per condividere file e stampanti, per esempio quando apre un documento su un'unità di rete. Poiché dà accesso ai dati aziendali e serve anche all'amministrazione remota, gli attaccanti vi fanno grande affidamento una volta dentro: per copiare dati, diffondersi su altre macchine e, negli attacchi ransomware, cifrare i file delle cartelle condivise. SMB non dovrebbe mai essere raggiungibile da internet. All'interno della rete, una postazione che all'improvviso apre sessioni SMB verso molti server è un classico segnale di movimento laterale, che NetSenX segnala in ogni piano.

https://netsenx.com/it/faq/what-is-the-smb-file-sharing-protocol

## Che cos'è un domain controller?

Un domain controller è il server che verifica gli accessi e conserva l'elenco centrale di utenti, computer e permessi in molte reti aziendali, tipicamente con Active Directory di Microsoft. Quando qualcuno accede a un computer aziendale, il domain controller conferma chi è e a che cosa può accedere. Per questo è il bersaglio più prezioso per un attaccante: chi lo controlla controlla gli account dell'azienda. Lo protegga con account di amministrazione separati, autenticazione a più fattori dove possibile e un accesso di rete rigoroso. Una postazione che all'improvviso dialoga in modo insolito con il domain controller merita una verifica.

https://netsenx.com/it/faq/what-is-a-domain-controller

## Che cos'è l'NTP, e perché l'ora esatta conta per la sicurezza?

L'NTP (Network Time Protocol) mantiene sincronizzati gli orologi di computer e dispositivi di rete con una fonte oraria precisa. Sembra un dettaglio, ma ogni log, avviso e cronologia di un incidente ne dipende. Se il firewall è avanti di cinque minuti, il server indietro di due ore e un videoregistratore ha impostato l'anno sbagliato, nessuno può ricostruire che cosa è successo e in quale ordine, e le prove per assicuratori, revisori o autorità si indeboliscono. Punti tutti i dispositivi sulla stessa fonte oraria affidabile, controlli ogni tanto che coincidano e annoti il fuso orario dei Suoi log. È una delle misure di sicurezza più economiche che esistano.

https://netsenx.com/it/faq/what-is-ntp-and-why-does-time-matter-for-security

## Che cos'è syslog?

Syslog è uno standard di lunga data per inviare i messaggi di log da dispositivi come firewall, switch, router e server a un punto centrale. Invece di far tenere a ogni dispositivo un piccolo log proprio che viene sovrascritto dopo pochi giorni, tutti inviano i loro messaggi a un server di log o a un SIEM (security information and event management). I log centralizzati sono più difficili da cancellare per un attaccante e più facili da consultare quando bisogna capire che cosa è successo. Verifichi che i dispositivi importanti inviino syslog da qualche parte, che gli orologi siano corretti e che l'archivio conservi abbastanza storico per un'indagine.

https://netsenx.com/it/faq/what-is-syslog

## Che cos'è l'SNMP?

L'SNMP (Simple Network Management Protocol) permette agli amministratori di monitorare, e talvolta configurare, dispositivi di rete come switch, stampanti e router: il loro stato, i contatori del traffico e le impostazioni. È molto diffuso e molto vecchio. Le versioni più vecchie proteggono l'accesso solo con una parola condivisa, la community string, spesso lasciata al valore predefinito public o private, il che consente a chiunque sulla rete di leggere, o persino modificare, le impostazioni dei dispositivi. Usi, se possibile, SNMP versione 3 con credenziali adeguate, cambi i valori predefiniti e limiti quali host possono interrogare i dispositivi. Traffico SNMP da un host inatteso può indicare che qualcuno sta mappando la rete.

https://netsenx.com/it/faq/what-is-snmp

## Che cos'è un endpoint?

Un endpoint è un dispositivo all'estremità di una connessione di rete che persone o programmi usano direttamente: portatili, PC fissi, server, telefoni e tablet, talvolta stampanti o terminali. La sicurezza degli endpoint è la protezione installata su questi dispositivi, dall'antivirus all'EDR (endpoint detection and response). Il termine conta perché molti prodotti di sicurezza coprono solo gli endpoint. I dispositivi che non possono eseguire quel software, come telecamere, controllori dell'edificio o macchine industriali, restano scoperti, così come un endpoint la cui protezione è stata disattivata. Il rilevamento di rete li osserva tutti attraverso il loro traffico.

https://netsenx.com/it/faq/what-is-an-endpoint

## Che cos'è un host in una rete?

In una rete, un host è qualsiasi dispositivo con un indirizzo che invia o riceve traffico: un PC, un server, una stampante, un telefono, una telecamera o una macchina virtuale. Gli strumenti di sicurezza parlano di host invece che di computer perché negli attacchi sono spesso coinvolti dispositivi che nessuno considera computer. Quando un avviso dice che un host fa beaconing o scansioni, il primo compito è capire quale dispositivo fisico o virtuale sia e a chi appartenga. Nei prezzi di NetSenX un dispositivo è un host su cui gira l'agente NetSenX; un agente su una porta mirror osserva ogni host di quel segmento.

https://netsenx.com/it/faq/what-is-a-host-in-networking

## Che cos'è una DMZ in una rete?

Una DMZ (zona demilitarizzata) è un segmento di rete separato per i server che devono essere raggiungibili da internet, come un server web pubblico, un gateway di posta o un gateway di accesso remoto, tenuto distinto dalla rete interna. Se uno di questi server esposti viene compromesso, le regole del firewall tra la DMZ e la rete interna limitano ciò che l'attaccante può raggiungere dopo. L'idea è semplice: ciò che è rivolto verso internet non deve stare accanto al Suo file server. Osservi attentamente il traffico dalla DMZ verso i sistemi interni; un server della DMZ che inizia ad aprire sessioni verso l'interno è un forte segnale di problemi.

https://netsenx.com/it/faq/what-is-a-dmz-in-networking

## Che cosa sono il traffico in uscita (egress) e in entrata (ingress)?

Il traffico in entrata (ingress) sono i dati che arrivano nella Sua rete dall'esterno; il traffico in uscita (egress), quelli che la lasciano. Tradizionalmente gran parte dello sforzo va all'entrata, per fermare gli attaccanti alla porta. L'uscita merita altrettanta attenzione, perché quasi ogni attacco deve inviare qualcosa all'esterno: malware che chiama il suo server di controllo, dati rubati che vengono caricati o personale che invia file aziendali a servizi non approvati. Semplici regole sull'uscita, come consentire il DNS in uscita solo dai propri resolver, aiutano già. NetSenX osserva da vicino l'uscita: il beaconing verso server esterni e i volumi in uscita insoliti generano avvisi in ogni piano.

https://netsenx.com/it/faq/what-is-egress-and-ingress-traffic

## Che cosa sono il traffico est-ovest e nord-sud?

Il traffico nord-sud scorre tra la Sua rete e il mondo esterno, per esempio da un PC d'ufficio a internet; il traffico est-ovest scorre tra dispositivi dentro la Sua rete, per esempio da un PC al file server. Il firewall al confine vede il traffico nord-sud, ma di solito non quello est-ovest. Una volta dentro, la maggior parte del lavoro di un attaccante è est-ovest: scansioni, accessi ad altre macchine, copia di dati su un server intermedio. Per questo il movimento laterale emerge nel traffico interno, visto da una porta mirror dentro la rete. NetSenX osserva entrambe le direzioni sui segmenti che monitora.

https://netsenx.com/it/faq/what-is-east-west-and-north-south-traffic

## Che cosa sono larghezza di banda e latenza?

La larghezza di banda è quanti dati una connessione può trasportare al secondo, come la larghezza di una strada; la latenza è quanto tempo impiegano i dati ad arrivare, come la durata del viaggio. Una videochiamata richiede una banda moderata e bassa latenza; un backup notturno richiede banda ma tollera la latenza. Entrambe contano per la sicurezza in due modi. Un salto improvviso della banda in uscita di un dispositivo può indicare un furto di dati o un'infezione da malware. E gli strumenti di sicurezza posti in linea sul traffico possono aggiungere latenza, cosa che i sensori passivi su una porta mirror non fanno, perché ricevono solo una copia.

https://netsenx.com/it/faq/what-is-bandwidth-and-latency

## Che cosa sono WPA2 e WPA3?

WPA2 e WPA3 (Wi-Fi Protected Access, versioni 2 e 3) sono gli standard di sicurezza che cifrano il traffico Wi-Fi e controllano chi può collegarsi a una rete senza fili. WPA3 è più recente e protegge meglio dai tentativi di indovinare le password. In ufficio usi WPA2 o WPA3 con una password robusta o, meglio ancora, la modalità enterprise in cui ogni persona accede con il proprio account, così da poter revocare l'accesso di chi se ne va senza cambiare la password a tutti. Tenga gli ospiti su una rete separata che non raggiunge i dispositivi interni. Gli standard vecchi come WEP e WPA non vanno più usati.

https://netsenx.com/it/faq/what-is-wpa2-and-wpa3

## Che cos'è un'API?

Un'API (application programming interface) è un modo definito con cui un programma parla con un altro, per esempio perché il software di contabilità recuperi i movimenti bancari o perché un sistema di ticket riceva gli avvisi di sicurezza. Le API sono di solito protette da chiavi o token che fanno da password per i programmi. Queste chiavi sono preziose per gli attaccanti, quindi le conservi in modo sicuro, dia a ciascuna solo i permessi necessari, le rinnovi e le elimini quando un'integrazione non è più in uso. NetSenX offre l'accesso via API dal piano Pro, così avvisi e dati possono confluire nei Suoi strumenti.

https://netsenx.com/it/faq/what-is-an-api

## Che cos'è il single sign-on (SSO)?

Il single sign-on (SSO) permette di accedere una volta con un account aziendale e poi usare molte applicazioni senza una password separata per ciascuna. Un fornitore di identità centrale verifica l'accesso, idealmente con autenticazione a più fattori, e comunica a ogni applicazione chi è la persona, spesso tramite uno standard come SAML o OpenID Connect. L'SSO fa bene alla sicurezza perché ci sono meno password da rubare e chi lascia l'azienda perde l'accesso ovunque appena il suo account viene disattivato. Il rovescio è che l'account centrale diventa molto prezioso e va protetto bene. In NetSenX l'SSO con SAML è disponibile nel piano Enterprise.

https://netsenx.com/it/faq/what-is-single-sign-on-sso

## Che cos'è il NAC (controllo dell'accesso alla rete)?

Il NAC (network access control) verifica i dispositivi prima di farli entrare in rete, per esempio richiedendo un certificato aziendale, un sistema operativo aggiornato o un indirizzo fisico noto prima che una porta dello switch o una rete Wi-Fi li accetti. I dispositivi sconosciuti possono essere rifiutati o indirizzati a una rete ospiti. Il NAC riduce il rischio che qualcuno si colleghi semplicemente a una presa a muro, ma non osserva ciò che i dispositivi ammessi fanno dopo: un portatile aziendale compromesso supera il controllo. Il rilevamento di rete lo completa osservando il comportamento una volta che i dispositivi sono in rete.

https://netsenx.com/it/faq/what-is-nac-network-access-control

## Che cos'è il malware?

Il malware è qualsiasi software scritto per fare danni a un computer o a una rete: rubare dati, cifrare file per chiedere un riscatto, spiare gli utenti o dare a un attaccante il controllo remoto. Virus, worm, trojan, ransomware e spyware sono tutti tipi di malware. Di solito arriva tramite un allegato e-mail, un link malevolo, un falso download o un servizio non aggiornato esposto su internet. Antivirus ed EDR lo cercano su ogni computer. Una volta in esecuzione, il malware deve quasi sempre comunicare in rete, con chi lo gestisce o con altre macchine, ed è proprio questo traffico che un sensore di rete come NetSenX osserva.

https://netsenx.com/it/faq/what-is-malware

## Che differenza c'è tra virus, worm e trojan?

Sono tutti e tre malware, ma si diffondono in modo diverso. Un virus si attacca a un file o a un programma e si diffonde quando qualcuno apre o condivide quel file. Un worm si propaga da solo nella rete, di solito sfruttando una vulnerabilità e senza alcuna azione dell'utente, ed è per questo che può infettare centinaia di macchine in pochi minuti. Un trojan si presenta come qualcosa di utile, una fattura o uno strumento gratuito, così l'utente lo installa di sua volontà; non si copia da solo, ma spesso apre una porta sul retro. Per chi difende, il worm è il più rumoroso in rete, perché scansiona e contatta molte macchine in fretta.

https://netsenx.com/it/faq/what-is-the-difference-between-a-virus-a-worm-and-a-trojan

## Che cos'è un attacco DDoS?

Un attacco DDoS (Distributed Denial of Service, negazione del servizio distribuita) inonda un sito, un server o una connessione internet con così tanto traffico, da così tante fonti, che gli utenti veri non riescono più ad accedere. Il traffico arriva di solito da una botnet di macchine compromesse, quindi bloccare un singolo indirizzo non serve. Questi attacchi vengono usati spesso per estorsione o per distrarre il team di sicurezza mentre succede altro. La protezione arriva dal fornitore di connettività, dal fornitore di hosting o da un servizio anti-DDoS dedicato, che assorbono l'ondata prima che arrivi a Lei. Uno strumento di rilevamento nella Sua rete non ferma un DDoS; può aiutarLa a capire se le Sue macchine vi partecipano.

https://netsenx.com/it/faq/what-is-a-ddos-attack

## Che cos'è un attacco brute force?

Un attacco brute force prova le password una dopo l'altra finché una funziona, contro l'accesso alla posta, una VPN, un desktop remoto o un server SSH. Le varianti moderne usano elenchi di password trapelate oppure provano una password comune su molti account (password spraying) per evitare i blocchi. Le difese sono note: password lunghe e uniche, autenticazione a due fattori, blocco dell'account dopo i tentativi falliti e nessun servizio di accesso esposto a tutto internet. Il riferimento definitivo sono i log di accesso del servizio stesso. In rete, molte connessioni fallite verso un servizio di accesso in poco tempo formano uno schema visibile, e NetSenX lo cerca in tutti i piani, sul traffico che vede.

https://netsenx.com/it/faq/what-is-a-brute-force-attack

## Che cos'è una scansione delle porte?

Una scansione delle porte verifica quali porte di rete sono aperte su una macchina o su un intervallo di indirizzi, per capire quali servizi sono attivi, come web, condivisione file o desktop remoto. Gli amministratori scansionano le proprie reti per fare inventario. Gli attaccanti scansionano per trovare un varco e, una volta dentro, scansionano di nuovo dall'interno per cercare il bersaglio successivo. Le scansioni da internet colpiscono ogni indirizzo pubblico a tutte le ore e sono per lo più rumore. Una scansione che parte da un computer della Sua rete è un'altra cosa, e spesso uno dei primi segni visibili di un intruso. NetSenX rileva le scansioni in tutti i piani.

https://netsenx.com/it/faq/what-is-a-port-scan

## Che cos'è un attacco man-in-the-middle?

In un attacco man-in-the-middle l'attaccante si inserisce di nascosto tra due parti che credono di comunicare direttamente, per esempio tra un portatile e il router, o tra un utente e un sito web. Da lì può leggere il traffico, rubare password o modificare ciò che viene inviato. I metodi comuni sono falsi hotspot Wi-Fi, l'ARP spoofing in una rete locale e trucchi che portano un dispositivo a fidarsi del server sbagliato. La cifratura con certificati verificati correttamente, come HTTPS, sventa la maggior parte dei tentativi. NetSenX segnala l'ARP spoofing dal piano Pro, coprendo la forma più comune di questo attacco in una rete locale.

https://netsenx.com/it/faq/what-is-a-man-in-the-middle-attack

## Che cos'è una vulnerabilità nella sicurezza informatica?

Una vulnerabilità è una debolezza che un attaccante può sfruttare per fare ciò che non dovrebbe poter fare: eseguire codice proprio, leggere dati o aggirare un accesso. Può essere un bug software, una password predefinita mai cambiata, un servizio configurato male o un vecchio protocollo rimasto attivo. Le vulnerabilità dei prodotti diffusi ricevono identificativi pubblici e punteggi di gravità, così si può verificare se si è coinvolti. Non tutte pesano allo stesso modo: una falla in un gateway VPN esposto su internet è molto più urgente di una in un programma che nessuno può raggiungere. Il primo passo è sapere che cosa usa e che cosa è esposto.

https://netsenx.com/it/faq/what-is-a-vulnerability

## Che cos'è un exploit?

Un exploit è un codice o una tecnica che sfrutta una vulnerabilità specifica per far fare a un sistema ciò che vuole l'attaccante. La vulnerabilità è la finestra aperta; l'exploit è chi la scavalca. Appena viene pubblicato un exploit per un prodotto diffuso, gli attaccanti spesso scandagliano tutto internet in cerca di sistemi vulnerabili nel giro di giorni, a volte di ore. Per questo è così importante aggiornare in fretta i sistemi esposti. Dopo un exploit riuscito, l'attaccante di solito apre nuove connessioni, scarica strumenti o passa ad altre macchine, e questa attività può essere visibile in rete anche quando l'exploit in sé non lo era.

https://netsenx.com/it/faq/what-is-an-exploit

## Che cos'è una patch di sicurezza?

Una patch di sicurezza è un aggiornamento di un produttore di software o hardware che corregge una vulnerabilità. Esistono patch per sistemi operativi, browser, software da ufficio, firewall, gateway VPN, stampanti e dispositivi industriali. Installarle rapidamente è una delle misure di sicurezza più efficaci che ci siano, perché la maggior parte degli attacchi sfrutta vulnerabilità note, non nuove. Aggiorni prima i sistemi esposti su internet, poi tutto il resto con un calendario regolare. Alcuni sistemi non si possono aggiornare, come vecchie macchine che controllano la produzione; hanno bisogno di un'altra protezione, per esempio un segmento di rete separato e il monitoraggio di ciò con cui comunicano.

https://netsenx.com/it/faq/what-is-a-security-patch

## Che cos'è una CVE?

Una CVE (Common Vulnerabilities and Exposures) è un identificativo pubblico di una vulnerabilità nota, scritto per esempio CVE-2024-3400: l'anno, poi un numero. L'elenco è gestito dalla MITRE Corporation con organizzazioni partner, e il numero CVE permette a produttori, team di sicurezza e strumenti di riferirsi esattamente allo stesso problema. Quando un produttore pubblica un bollettino di sicurezza, elenca le CVE corrette. Se legge che una CVE è sfruttata attivamente, verifichi se usa il prodotto e la versione interessati e applichi la patch o la soluzione temporanea indicata dal produttore. L'Unione europea gestisce anche una propria banca dati delle vulnerabilità, curata dall'ENISA.

https://netsenx.com/it/faq/what-is-a-cve

## Che cos'è il punteggio CVSS?

Il CVSS (Common Vulnerability Scoring System) assegna a una vulnerabilità un punteggio di gravità da 0 a 10, in base a fattori come la possibilità di attaccarla via rete, la necessità di un accesso e ciò che un attaccante può farci. I punteggi da 9,0 in su sono considerati critici. Il punteggio aiuta a fare ordine, ma descrive la vulnerabilità in generale, non la Sua situazione. Una falla critica in un sistema che nessuno può raggiungere può contare meno di una media sulla Sua VPN esposta. Abbini il punteggio a due domande: è esposto da noi? Si sa che è sfruttato in questo momento?

https://netsenx.com/it/faq/what-is-a-cvss-score

## Che cos'è una vulnerabilità zero-day?

Uno zero-day è una vulnerabilità che gli attaccanti conoscono e sfruttano prima che il produttore abbia rilasciato una correzione: chi difende ha avuto zero giorni per aggiornare. Gli zero-day hanno valore e si usano soprattutto in attacchi mirati, anche se alcuni poi si diffondono ampiamente. Non essendoci patch, e spesso nemmeno una firma, gli strumenti che cercano solo il male già noto non vedono l'exploit in sé. Aiuta ciò che succede dopo: la macchina compromessa inizia a comportarsi diversamente, si collega a destinazioni nuove, scansiona o sposta dati. Il rilevamento comportamentale in rete punta a questa fase, mentre buoni backup e segmentazione limitano i danni.

https://netsenx.com/it/faq/what-is-a-zero-day

## Che cosa sono le TTP?

TTP sta per Tactics, Techniques and Procedures (tattiche, tecniche e procedure): come lavora un attaccante, più che quale file o indirizzo usa. Una tattica è l'obiettivo, come entrare, restare nascosto o rubare dati. Una tecnica è un modo per raggiungerlo, come rubare password o spostarsi tra le macchine con strumenti remoti. Le procedure sono i passi concreti di un determinato gruppo. Il framework MITRE ATT&CK è il catalogo comune di queste tecniche. Le TTP contano perché gli attaccanti cambiano facilmente indirizzi e file, ma cambiano lentamente le abitudini: rilevare i comportamenti dura più a lungo che bloccare un elenco di indicatori noti.

https://netsenx.com/it/faq/what-are-ttps

## Che cos'è la threat intelligence?

La threat intelligence è l'insieme delle informazioni sugli attaccanti e sui loro metodi che aiutano a difendersi: indirizzi e domini malevoli noti, impronte di file, descrizioni di campagne attive e dei settori presi di mira. Proviene da fornitori di sicurezza, CSIRT nazionali, associazioni di settore e fonti pubbliche. È più utile quando è aggiornata e pertinente per Lei; un elenco di un milione di vecchi indirizzi produce soprattutto rumore. Per una piccola impresa, la forma pratica è di solito quella già integrata negli strumenti che ha già, più gli avvisi del CSIRT Italia sulle vulnerabilità sfruttate. Integra il monitoraggio della Sua rete, ma non lo sostituisce.

https://netsenx.com/it/faq/what-is-threat-intelligence

## Che cos'è la superficie di attacco?

La superficie di attacco è tutto ciò che un attaccante potrebbe usare per entrare: server esposti su internet, gateway VPN, account di posta, strumenti di accesso remoto, servizi cloud, telefoni e portatili del personale, fornitori con accesso e perfino porte aperte inutilizzate. Più è ampia, più c'è da difendere. Ridurla costa spesso meno che difenderla: spenga i servizi che nessuno usa, chiuda gli accessi remoti aperti a tutto internet, elimini gli account vecchi e limiti l'accesso dei fornitori. Un buon primo esercizio è elencare ciò che espone su internet; l'elenco di solito è più lungo del previsto.

https://netsenx.com/it/faq/what-is-an-attack-surface

## Che cos'è un threat actor (attore della minaccia)?

Un threat actor è chi sta dietro a un attacco: un gruppo criminale, una squadra sostenuta da uno Stato, un hacktivista, una persona sola o qualcuno dall'interno, come un dipendente scontento. Si usa questo termine perché a prendere le decisioni è una persona o un gruppo, non un software. La maggior parte degli attacchi contro le piccole e medie imprese viene da gruppi criminali mossi dal denaro, di solito con ransomware, estorsione o frodi sulle fatture, e scelgono le vittime per opportunità, non per nome. Sapere quali attori colpiscono il Suo settore aiuta a decidere dove investire per primo, ma le difese di base sono le stesse contro quasi tutti.

https://netsenx.com/it/faq/what-is-a-threat-actor

## Che cos'è un'APT (minaccia persistente avanzata)?

Un'APT (advanced persistent threat, minaccia persistente avanzata) è un attaccante capace e ben dotato di mezzi, spesso sostenuto da uno Stato, che prende di mira organizzazioni precise e cerca di restare dentro a lungo senza farsi notare, di solito per spionaggio o sabotaggio. Avanzata, perché usa strumenti propri e metodi accurati; persistente, perché ritorna. I suoi bersagli sono pubbliche amministrazioni, difesa, energia e i loro fornitori, ed è così che anche le medie imprese finiscono nel suo raggio. Questi attaccanti evitano malware rumorosi e usano normali strumenti di amministrazione, perciò i segnali sono soprattutto comportamentali: connessioni insolite tra macchine interne e contatti discreti e regolari con server esterni.

https://netsenx.com/it/faq/what-is-an-apt

## Che cosa sono i falsi positivi e i falsi negativi?

Un falso positivo è un avviso su qualcosa di innocuo: lo strumento dice attacco, ma era un backup o un nuovo programma. Un falso negativo è un attacco che lo strumento non ha visto. Ogni strumento di rilevamento commette entrambi gli errori, e tirano in direzioni opposte: lo renda più sensibile e avrà più falsi allarmi; lo renda più silenzioso e Le sfuggirà di più. Troppi falsi positivi sono pericolosi a modo loro, perché le persone smettono di leggere gli avvisi. Quando confronta gli strumenti, chieda come gestiscono i falsi allarmi e come se ne segnala uno, invece di fidarsi di un unico numero di accuratezza.

https://netsenx.com/it/faq/what-are-false-positives-and-false-negatives

## Che cos'è un SOC (security operations centre)?

Un SOC (security operations centre, centro operativo di sicurezza) è un team, con i suoi strumenti, che sorveglia gli avvisi di sicurezza di un'organizzazione, li analizza e risponde agli incidenti, spesso 24 ore su 24. Le grandi aziende ne hanno uno proprio. La maggior parte delle PMI non riesce a dotarlo di personale, quindi acquista il servizio da un fornitore di sicurezza gestita oppure si affida a una o due persone dell'IT che guardano gli avvisi in orario d'ufficio. Qualunque sia il modello, gli strumenti dovrebbero produrre pochi avvisi, su cui una persona possa agire. NetSenX non fornisce un servizio SOC; dà al Suo team o al Suo fornitore gli avvisi di rete con il loro contesto.

https://netsenx.com/it/faq/what-is-a-soc-security-operations-centre

## Che cos'è un CSIRT o un CERT?

Un CSIRT (Computer Security Incident Response Team), detto anche CERT, è un team che gestisce gli incidenti di sicurezza. Ogni Paese UE ha un CSIRT nazionale; in Italia è il CSIRT Italia dell'Agenzia per la Cybersicurezza Nazionale. Con la direttiva NIS2, le aziende interessate notificano gli incidenti significativi al proprio CSIRT o all'autorità competente: un preallarme entro 24 ore, una notifica più completa entro 72 ore e una relazione finale entro un mese. I CSIRT nazionali pubblicano anche avvisi sulle vulnerabilità sfruttate, a cui conviene iscriversi. Le grandi aziende a volte hanno un proprio CSIRT interno. NetSenX tiene traccia delle scadenze di notifica NIS2 in tutti i piani.

https://netsenx.com/it/faq/what-is-a-csirt-or-cert

## Che cos'è un penetration test?

Un penetration test, o pentest, è un attacco autorizzato ai Suoi sistemi condotto da specialisti di sicurezza per trovare le debolezze prima degli attaccanti veri. I tester provano a entrare da internet, oppure partono dall'interno della rete come se fossero un intruso o un dipendente infedele, e poi riferiscono fin dove sono arrivati e come porre rimedio. Un pentest è una fotografia di un momento e di un perimetro, di solito qualche giorno di lavoro. Vale la pena farlo una volta l'anno o dopo grandi cambiamenti. È anche un buon test del Suo rilevamento: chieda poi se i Suoi strumenti hanno notato i tester, e quando.

https://netsenx.com/it/faq/what-is-a-penetration-test

## Che cosa sono il red team e il blue team?

Nelle esercitazioni di sicurezza il red team fa la parte dell'attaccante e il blue team difende. Un'esercitazione red team è più ampia di un pentest: punta a un obiettivo, come leggere la cartella condivisa della contabilità, con ogni mezzo realistico e restando nascosta, quindi mette alla prova persone e processi oltre alla tecnologia. Il blue team è chi rileva e risponde, spesso il team IT o di sicurezza. Quando le due parti lavorano insieme apertamente e condividono ciò che ha funzionato, si parla di purple teaming. La simulazione di attacchi (breach and attack simulation) di NetSenX, nel piano Business, esegue passi di attacco simulati e sicuri per verificare che cosa nota il Suo rilevamento.

https://netsenx.com/it/faq/what-are-red-teams-and-blue-teams

## Che cos'è una scansione delle vulnerabilità?

Una scansione delle vulnerabilità è un controllo automatico dei Suoi sistemi rispetto a una banca dati di vulnerabilità note e impostazioni deboli, come patch mancanti, password predefinite o cifratura obsoleta. Lo scanner osserva ciò che ogni macchina rivela e produce un elenco di riscontri con la relativa gravità. Costa meno e si fa più spesso di un pentest, ma trova solo problemi noti e non valuta come si combinano. Scansioni regolarmente dall'esterno tutto ciò che espone su internet, e dall'interno almeno ogni pochi mesi. Si aspetti molti riscontri; parta da quelli sui sistemi esposti che si sa essere sfruttati.

https://netsenx.com/it/faq/what-is-a-vulnerability-scan

## Che cos'è un honeypot nella sicurezza informatica?

Un honeypot è un'esca: un server, un dispositivo o un account fittizio predisposto in modo che nessun utente legittimo debba mai toccarlo. Dato che nessuno dovrebbe collegarsi, qualsiasi connessione è sospetta per definizione, e questo dà un avviso quasi privo di falsi allarmi. Gli honeypot su internet attirano scansioni continue e servono soprattutto a studiare il comportamento degli attaccanti. In una rete aziendale, una semplice falsa cartella condivisa o una falsa pagina di accesso può intercettare un intruso che si guarda intorno. Gli honeypot vanno isolati con cura, perché non diventino essi stessi una via d'accesso alla rete vera.

https://netsenx.com/it/faq/what-is-a-honeypot

## Che cos'è una sandbox nella sicurezza?

Una sandbox è un ambiente isolato in cui si può aprire in sicurezza un file o un link sospetto per vedere che cosa fa, senza mettere a rischio i sistemi reali. I servizi di sicurezza della posta inviano spesso gli allegati in una sandbox prima di consegnarli: se il file tenta di scaricare altro codice, cambiare impostazioni di sistema o contattare server strani, viene bloccato. Le sandbox fermano molto, ma gli autori di malware le conoscono, e parte del malware aspetta, controlla se è osservato o si attiva solo sul computer di un utente reale. Per questo la sandbox è uno strato tra diversi, accanto alla protezione dei dispositivi e al monitoraggio della rete.

https://netsenx.com/it/faq/what-is-a-sandbox-in-security

## Che cosa sono allowlist e denylist?

Una allowlist (elenco dei consentiti) indica ciò che è permesso, e tutto il resto viene bloccato. Una denylist (elenco dei vietati) indica ciò che viene bloccato, e tutto il resto è permesso. Firewall, filtri della posta e controlli delle applicazioni usano entrambe. Le allowlist sono più rigide e sicure, per esempio quando una macchina di produzione può parlare solo con i tre sistemi di cui ha bisogno, ma richiedono lavoro di manutenzione. Le denylist sono più semplici, ma fermano solo ciò che è già noto come dannoso. Questi termini sostituiscono i vecchi whitelist e blacklist. Nel rilevamento, allowlist significa anche contrassegnare un'attività nota e innocua, come un server di backup, perché smetta di generare avvisi.

https://netsenx.com/it/faq/what-are-allowlists-and-denylists

## Che cosa sono IDS e IPS?

Un IDS (Intrusion Detection System, sistema di rilevamento delle intrusioni) osserva il traffico di rete e lancia un avviso quando vede qualcosa che corrisponde a uno schema di attacco noto. Un IPS (Intrusion Prevention System, sistema di prevenzione delle intrusioni) sta sul percorso del traffico e può anche bloccarlo. Molti firewall oggi includono un IPS. Entrambi si basano soprattutto su firme di attacchi noti, quindi sono forti contro le minacce note e più deboli contro metodi nuovi o attaccanti che usano strumenti normali. Un IPS che blocca per errore ferma anche il traffico aziendale. L'NDR (Network Detection and Response) aggiunge l'analisi del comportamento. NetSenX è un NDR: osserva e avvisa, non sta sul percorso del traffico e non lo blocca da sé.

https://netsenx.com/it/faq/what-are-ids-and-ips

## Che cos'è il SOAR?

Il SOAR (Security Orchestration, Automation and Response) è un software che collega gli strumenti di sicurezza e automatizza i passaggi di routine nella gestione di un avviso: raccogliere il contesto, aprire un ticket, isolare un portatile, bloccare un indirizzo, avvisare la persona giusta. Si basa su playbook, sequenze di passi scritte per ogni tipo di incidente. Il SOAR è prezioso per i team che gestiscono molti avvisi al giorno, e richiede lavoro per essere configurato e mantenuto. I team piccoli ottengono spesso gran parte del beneficio con collegamenti più semplici. NetSenX invia gli avvisi a Slack o a un webhook dal piano Pro e li esporta verso un SIEM dal piano Business.

https://netsenx.com/it/faq/what-is-soar

## Che cos'è la DLP (data loss prevention)?

Gli strumenti DLP (Data Loss Prevention, prevenzione della perdita di dati) cercano di impedire che dati sensibili, come elenchi clienti, numeri di carta o progetti, escano dall'azienda nel modo sbagliato: inviati per e-mail, caricati su un cloud personale o copiati su una chiavetta USB. Funzionano riconoscendo i contenuti e applicando regole, e vanno configurati con cura per non bloccare il lavoro normale. NetSenX non è uno strumento DLP e non legge il contenuto del Suo traffico. In tutti i piani segnala però i trasferimenti in uscita insoliti, per esempio una macchina che all'improvviso invia a un indirizzo esterno molti più dati del solito, che spesso è il segno visibile di un furto.

https://netsenx.com/it/faq/what-is-dlp-data-loss-prevention

## Che cos'è un registro di audit (audit log)?

Un registro di audit è la traccia di chi ha fatto cosa e quando: chi ha effettuato l'accesso, chi ha cambiato un'impostazione, chi ha esportato un report, chi ha chiuso un avviso. Un buon registro di audit non si può modificare di nascosto dopo e conserva le voci abbastanza a lungo da servire in un'indagine. Revisori e autorità lo chiedono perché dimostra che i controlli vengono applicati davvero, non solo scritti. Dopo un incidente, è con il registro di audit che si ricostruiscono gli eventi. NetSenX tiene un registro di audit delle azioni sul Suo account in tutti i piani e, dal piano Starter, aggiunge per gli avvisi una traccia di prova che rende visibile qualsiasi modifica successiva.

https://netsenx.com/it/faq/what-is-an-audit-log

## Che cos'è il dwell time nella sicurezza informatica?

Il dwell time (tempo di permanenza) è il tempo che un attaccante trascorre in una rete prima di essere scoperto. Il rapporto M-Trends 2026 di Mandiant indica una mediana globale di 14 giorni per gli incidenti esaminati nel 2025, e molte intrusioni durano molto di più. Più il dwell time è lungo, più l'attaccante può imparare, rubare e preparare; per questo i gruppi ransomware passano spesso giorni a mappare una rete prima di cifrarla. Il dwell time scende quando qualcuno osserva l'interno della rete, non solo il perimetro. Lo accorcia il rilevamento dei primi passi, come scansioni interne, contatti regolari con un server esterno o connessioni insolite tra macchine.

https://netsenx.com/it/faq/what-is-dwell-time

## Che cosa sono MTTD e MTTR?

L'MTTD (Mean Time to Detect) è il tempo medio tra l'inizio di un attacco e il momento in cui qualcuno se ne accorge. L'MTTR (Mean Time to Respond, a volte to Recover) è il tempo medio tra la scoperta e il contenimento o la risoluzione. Entrambi misurano quanto funziona un programma di sicurezza, ed entrambi dovrebbero scendere nel tempo. Per una piccola impresa, numeri approssimativi ma onesti valgono più di numeri precisi: quando abbiamo trovato qualcosa l'ultima volta, come l'abbiamo trovato e quanto abbiamo impiegato ad agire? Se la risposta è che glielo ha detto qualcuno da fuori, il rilevamento è la lacuna da colmare per prima.

https://netsenx.com/it/faq/what-are-mttd-and-mttr

## Che cos'è lo shadow IT?

Lo shadow IT è qualsiasi software, servizio cloud o dispositivo che il personale usa per lavoro senza che l'IT lo sappia o l'abbia approvato: un account personale di condivisione file, uno strumento di progetto gratuito, un router privato in magazzino, un'estensione del browser. Di solito nasce con buone intenzioni, perché le persone vogliono portare a termine il lavoro. Il rischio è che i dati aziendali finiscano dove nessuno li protegge, ne fa il backup o può cancellarli quando qualcuno se ne va. Vietare tutto funziona di rado. Meglio scoprire che cosa si usa, offrire alternative approvate e fissare una regola semplice. NetSenX mostra i dispositivi che vede nella Sua rete e segnala l'uso di servizi di IA dal piano Pro.

https://netsenx.com/it/faq/what-is-shadow-it

## Che cos'è una violazione dei dati (data breach)?

Una violazione dei dati è qualsiasi incidente di sicurezza in cui i dati vengono persi, rubati, distrutti, modificati o visti da qualcuno che non dovrebbe vederli. Non serve un hacker: un'e-mail con dati dei clienti inviata all'indirizzo sbagliato è anch'essa una violazione. Secondo il GDPR, una violazione che riguarda dati personali va notificata all'autorità di controllo, in Italia il Garante per la protezione dei dati personali, entro 72 ore da quando se ne viene a conoscenza, salvo che sia improbabile che presenti un rischio per le persone; gli interessati vanno informati quando il rischio è elevato. Il rapporto IBM Cost of a Data Breach 2025 stima il costo medio globale in 4,44 milioni di dollari USA.

https://netsenx.com/it/faq/what-is-a-data-breach

FAQ: https://netsenx.com/it/faq