Lavoro remoto e servizi esposti

Sì. Il desktop remoto (RDP) aperto su internet viene scansionato in continuazione e attaccato con password rubate o indovinate, e un servizio di accesso remoto esposto è una via d'ingresso frequente nelle piccole aziende. Lo chiuda, oppure lo metta dietro una VPN o un gateway di desktop remoto con autenticazione a più fattori, e ne consenta l'uso solo ad account nominativi. Verifichi che cosa espone davvero con una scansione esterna delle porte dei Suoi indirizzi IP pubblici, e la ripeta dopo ogni modifica al firewall o al router, perché le porte inoltrate tendono a sopravvivere al progetto per cui erano state aperte. All'interno della rete NetSenX segnala le sessioni RDP insolite tra host come movimento laterale, e anche i tentativi di accesso ripetuti contro gli host monitorati, su tutti i piani. Non scansiona i Suoi indirizzi pubblici, quindi il controllo dall'esterno resta compito Suo.

Controlli prima i log della VPN stessa: accessi in orari strani o da Paesi inattesi, account che non avevano mai usato la VPN, molti tentativi falliti e nuove modifiche di configurazione o nuovi account amministratore sull'apparato. Confronti la versione del software con i bollettini di sicurezza del produttore, perché i gateway VPN sono un bersaglio frequente di falle sfruttate, ed esegua le verifiche di compromissione pubblicate dal produttore, se esistono. Dietro la VPN i passi successivi di un attaccante si vedono in rete: scansioni dal pool di indirizzi VPN, nuove sessioni da indirizzi VPN verso server mai usati, grandi trasferimenti verso l'esterno. NetSenX li rileva dove il segmento dietro la VPN è monitorato, su tutti i piani, e la sua vista VPN elenca i tunnel e le sessioni del gateway che vede, con il Paese in cui è registrato ciascun indirizzo remoto. Non legge i log dell'apparato e non può ispezionare l'apparato stesso.

Sì. Una volta connesso, un portatile in VPN è dentro la rete, spesso con un accesso ampio. Il malware preso a casa, da un download di un familiare o da un router domestico compromesso, può allora scansionare la rete dell'ufficio e raggiungere cartelle condivise e server come qualsiasi altro host interno. Limiti ciò che gli utenti VPN raggiungono ai sistemi di cui hanno bisogno, richieda l'autenticazione a più fattori, tenga aggiornati la protezione degli endpoint e il sistema dei portatili remoti e non permetta ai dispositivi personali di collegarsi alla VPN aziendale. Se il traffico VPN attraversa un segmento monitorato, NetSenX vede le connessioni del portatile e ne rileva scansioni, movimento laterale e beaconing, su tutti i piani. Un portatile con l'agente viene osservato direttamente, ovunque si trovi. Ciò che accade dentro il portatile resta compito della protezione degli endpoint.

È comune, ma è un bersaglio permanente: i server SSH raggiungibili da internet ricevono di continuo tentativi di accesso automatizzati. Se deve esporlo, consenta solo l'accesso con chiave, disattivi l'accesso con password e come root, tenga OpenSSH aggiornato e limiti gli indirizzi di origine dove possibile; una VPN o un bastion host davanti è ancora meglio. Una porta diversa riduce il rumore nei log, ma non protegge. Tenga un elenco di tutti i server SSH esposti e lo riveda, perché sono i server di prova dimenticati a restare senza patch. NetSenX vede le connessioni verso gli host monitorati e rileva scansioni, tentativi di accesso ripetuti e sessioni insolite che li riguardano, su tutti i piani. Dal piano Pro, con la cattura dei pacchetti su un agente Linux o su un sensore SPAN o TAP, il suo inventario crittografico elenca anche le versioni SSH annunciate dai server.

Il desktop remoto (RDP), la condivisione di file (SMB), le porte dei database, le interfacce di gestione di firewall, switch, stampanti e hypervisor, e i protocolli industriali come Modbus o S7 non dovrebbero essere raggiungibili da internet. Metta ciò di cui il personale ha bisogno dall'esterno dietro una VPN o un gateway con autenticazione a più fattori, e lasci il resto all'interno. Lo verifichi regolarmente con una scansione esterna dei Suoi intervalli di indirizzi, dopo ogni modifica al firewall o al router, e disattivi l'apertura automatica delle porte (UPnP) sui router. Contano anche i server in cloud: i loro gruppi di sicurezza aprono porte con la stessa facilità del firewall di un ufficio. NetSenX vede le connessioni in ingresso verso gli host monitorati, su tutti i piani, così un servizio che risponde in modo inatteso a connessioni esterne, o un host scansionato o colpito da accessi ripetuti, emerge nel suo traffico. Non scansiona i Suoi indirizzi pubblici.

Sposta dispositivi e dati aziendali su reti che Lei non controlla e moltiplica le vie d'ingresso. I portatili stanno sul Wi-Fi di casa accanto ai dispositivi della famiglia e a un vecchio router, si collegano da hotel e treni e viaggiano in posti dove possono andare persi. Il personale accede dall'esterno, quindi una password rubata diventa utilizzabile da ovunque, e i servizi di accesso remoto come i gateway VPN e il desktop remoto devono essere raggiungibili da internet. Anche l'assistenza diventa più difficile, perché aggiornamenti e correzioni dipendono dal fatto che il portatile si colleghi. La risposta riguarda soprattutto identità e dispositivi: autenticazione a più fattori ovunque, cifratura completa del disco, protezione degli endpoint e aggiornamenti automatici su ogni portatile, e una VPN o un gateway che raggiunga solo ciò che serve a ciascuno. La parte di rete è il punto in cui i dispositivi remoti raggiungono l'azienda: NetSenX vede il traffico VPN in un segmento monitorato dietro il gateway e ne rileva scansioni, movimento laterale e beaconing, su tutti i piani, e un agente su un portatile Linux o macOS osserva quel portatile ovunque si trovi.

Cominci da account e dispositivo, poi limiti ciò che la connessione raggiunge. Richieda l'autenticazione a più fattori per VPN, posta e ogni applicazione cloud; dia al personale portatili aziendali con cifratura completa del disco, protezione degli endpoint e aggiornamenti automatici, e tenga i dispositivi personali fuori dalla VPN. Configuri la VPN o il gateway di accesso remoto in modo che ogni gruppo raggiunga solo i sistemi che gli servono, non tutta la rete dell'ufficio, e registri ogni sessione. Dia al personale un modo semplice per segnalare un portatile perso o una richiesta di accesso strana, e revochi l'accesso il giorno in cui qualcuno se ne va. Poi osservi il punto in cui il lavoro remoto incontra l'azienda: con un sensore su una porta SPAN o TAP dietro il gateway VPN, NetSenX vede che cosa fanno i dispositivi remoti dentro la rete e rileva scansioni, movimento laterale, beaconing e volumi in uscita insoliti, su tutti i piani. Non gestisce account, dispositivi né la VPN; se ne occupano il Suo provider di identità, la gestione dei dispositivi e il gateway.

Solo se il personale deve raggiungere sistemi dentro la rete dell'ufficio. Se tutto ciò che si usa è in cloud, come posta, file e contabilità, una VPN aggiunge poco: protegga quei servizi con l'autenticazione a più fattori e portatili gestiti. Se in ufficio c'è un file server, un database contabile o una macchina di cui le persone hanno bisogno da casa, allora sì: usi una VPN o un gateway di accesso remoto invece di aprire quei servizi su internet, e richieda l'autenticazione a più fattori. Un'app VPN per consumatori che nasconde la navigazione è un altro prodotto e non protegge i sistemi aziendali. Qualunque cosa scelga, dia a ciascuno accesso solo a ciò che gli serve. NetSenX non fornisce una VPN. Dietro il Suo gateway VPN, un sensore su una porta SPAN o TAP vede che cosa fanno i dispositivi remoti nella rete interna e rileva scansioni, movimento laterale e beaconing, su tutti i piani.

No. Una VPN con accesso solo tramite password fa entrare nella Sua rete chiunque abbia una password rubata, indovinata o riutilizzata, e le credenziali VPN sono proprio ciò a cui puntano le pagine di phishing e gli strumenti per indovinare le password. Aggiunga l'autenticazione a più fattori (MFA) alla VPN prima di ogni altra cosa, preferisca un'app di autenticazione o una chiave hardware agli SMS e disattivi gli account che non usano la VPN da mesi. Limiti per gruppi chi può collegarsi e registri gli accessi, per vedere i tentativi da luoghi insoliti. Tenga aggiornato l'apparato VPN stesso, perché una falla nel gateway può aggirare del tutto la password. NetSenX non controlla gli accessi alla VPN; è compito della VPN e del Suo provider di identità. Dove il segmento dietro la VPN è monitorato, rileva ciò che un intruso fa dopo, come scansioni, movimento laterale o beaconing, su tutti i piani.

Perché il gateway VPN è per sua natura raggiungibile da tutto internet e considerato affidabile dalla rete interna, una falla di sicurezza al suo interno può far entrare un attaccante senza alcuna password. Negli ultimi anni falle negli apparati VPN e di accesso remoto di diversi grandi produttori sono state sfruttate su larga scala, e le agenzie nazionali di cybersicurezza pubblicano regolarmente allerte urgenti al riguardo. Tratti il gateway come il Suo sistema più esposto: si iscriva ai bollettini di sicurezza del produttore, installi le patch entro pochi giorni e non alla prossima finestra di manutenzione, dopo una falla critica esegua le verifiche di compromissione pubblicate dal produttore e limiti l'interfaccia di gestione agli indirizzi interni. Se non riesce ad aggiornare rapidamente, valuti un servizio gestito. Un sensore di rete non vede lo sfruttamento di una falla dentro l'apparato, ma vede ciò che viene dopo: monitorando il segmento dietro il gateway, NetSenX rileva scansioni, movimento laterale e beaconing dagli indirizzi VPN, su tutti i piani.

Split tunneling significa che solo il traffico verso i sistemi aziendali passa dalla VPN, mentre tutto il resto, come la navigazione e le videochiamate, esce direttamente su internet da dove si trova il portatile. Risparmia banda e rende le chiamate più fluide, per questo è diffuso. Il rischio è minore di quanto sembri se il portatile stesso è protetto: il dispositivo diventa il confine, quindi ha bisogno di protezione degli endpoint, aggiornamenti e dell'eventuale filtro web che usa. Il prezzo è la visibilità: il traffico internet che non entra mai nella VPN non attraversa mai la rete dell'ufficio, e i firewall e i sensori di rete dell'ufficio non lo vedono. Decida consapevolmente: tunnel completo se deve ispezionare tutto il traffico in modo centralizzato, altrimenti split tunneling con una forte protezione dei dispositivi. NetSenX vede la parte che attraversa un segmento monitorato; per il resto, un agente su un portatile Linux o macOS osserva le connessioni di quel portatile ovunque si trovi.

Dietro il gateway VPN, sul lato interno, dove il tunnel termina e il traffico degli utenti remoti torna a essere normale traffico interno. Un sensore davanti al gateway, sul lato internet, vede solo tunnel cifrati e ne ricava poco. In pratica, copi verso una porta SPAN o TAP la porta dello switch che collega il gateway VPN o il firewall alla rete interna, oppure il collegamento tra questo e il segmento dei server. Assegni agli utenti VPN indirizzi da un pool dedicato, così il loro traffico si riconosce facilmente. Con NetSenX un agente su quella porta SPAN o TAP conta come un solo dispositivo e osserva ogni sessione VPN che vi passa: scansioni, movimento laterale, beaconing e volumi in uscita insoliti vengono rilevati su tutti i piani, e la vista VPN elenca i tunnel e le sessioni del gateway che vede. Il traffico che un portatile in split tunneling invia direttamente su internet non raggiunge mai quel sensore.

Con i log di accesso del gateway VPN o del provider di identità, perché solo loro sanno a quale account appartiene ogni sessione. Cerchi lo stesso utente che accede da due luoghi troppo distanti per il tempo trascorso, una sessione da un Paese in cui non ha personale o un accesso da un indirizzo di un provider di hosting o di un servizio di anonimizzazione. Molti provider di identità e gateway VPN sanno segnalarlo in automatico, spesso come rilevamento di viaggio impossibile o di accesso a rischio; lo attivi e richieda l'autenticazione a più fattori, così una password rubata da sola non basta. La rete fornisce l'altra metà del quadro. La vista VPN di NetSenX elenca i tunnel e le sessioni del gateway che vede nei segmenti monitorati, con il Paese in cui è registrato l'indirizzo remoto, e segnala gli indirizzi presenti negli elenchi di servizi VPN commerciali e di nodi di uscita Tor. Non associa le sessioni agli account, quindi il posto giusto per questo avviso restano i log di identità.

Il viaggio impossibile è uno schema di accesso in cui lo stesso account entra da due luoghi tra i quali nessuno avrebbe potuto spostarsi nel tempo trascorso, per esempio Madrid alle 9:10 e un altro continente alle 9:40. Di solito indica l'uso di una password o di un token di sessione rubati, anche se un servizio VPN, una rete mobile o un proxy cloud possono dare falsi riscontri. Lo rilevano i sistemi che vedono gli accessi insieme al nome dell'account: il Suo provider di identità, la suite di produttività in cloud o il gateway VPN. La maggior parte lo offre come segnale di rischio integrato; verifichi che sia attivo e che qualcuno riceva l'avviso. La posizione deriva dai dati di registrazione dell'indirizzo, quindi la consideri un indizio, non una prova. Un sensore di rete come NetSenX non vede gli accessi agli account e non genera avvisi di viaggio impossibile. Aiuta dopo, mostrando che cosa ha fatto la sessione dentro la rete: scansioni, movimento laterale o grandi trasferimenti verso l'esterno.

In parte. Un sensore che vede il traffico del gateway VPN conosce l'indirizzo pubblico da cui arriva ogni tunnel, e quell'indirizzo si può associare al Paese in cui è registrata la sua rete. È utile ma impreciso: i dati di registrazione indicano dove è registrato il titolare della rete, non dove si trova la persona, e viaggi, reti mobili, Wi-Fi degli hotel e servizi VPN commerciali confondono il quadro. Il sensore non sa neppure a quale account appartiene un tunnel; lo sanno i log del gateway VPN. La vista VPN di NetSenX elenca i tunnel VPN e le sessioni del gateway che vede nei segmenti monitorati, con il Paese ricavato dai dati di registrazione della rete, e segnala gli indirizzi presenti negli elenchi di servizi VPN commerciali e di nodi di uscita Tor. La usi accanto ai log di accesso del gateway: i log dicono chi, la vista di rete dice da quale rete e che cosa è successo dopo.

Sì, se sul portatile gira l'agente NetSenX; altrimenti solo quando il suo traffico ripassa da un segmento monitorato. L'agente funziona su Linux e macOS e osserva le connessioni di quel portatile ovunque si trovi, a casa, in hotel o in treno, e avvisi come beaconing, scansioni o volumi in uscita insoliti arrivano nella Sua dashboard, su tutti i piani. Ogni portatile con l'agente conta come un dispositivo. Su macOS l'agente funziona in una modalità di base senza cattura dei pacchetti, quindi le funzioni che la richiedono, come il fingerprinting TLS, lì non sono disponibili. Un portatile senza agente si vede solo quando si collega dalla rete dell'ufficio o tramite una VPN il cui traffico attraversa un segmento monitorato. Ciò che l'agente non vede mai è il contenuto del traffico cifrato o ciò che accade dentro il portatile; quella parte la copre la protezione degli endpoint.

Non necessariamente. Se il personale remoto raggiunge i sistemi aziendali solo tramite VPN, un sensore su una porta SPAN o TAP dietro il gateway VPN vede già che cosa fanno i loro portatili nella rete interna, dove si produce la maggior parte dei danni, e quel sensore conta come un dispositivo. Installi l'agente su un portatile quando vuole osservarne le connessioni anche fuori dalla VPN: per esempio il portatile di un dirigente o di un amministratore, il computer di uno sviluppatore con accesso alla produzione o un portatile in split tunneling. Ogni portatile con l'agente conta come un dispositivo, quindi decida in base al rischio e non al numero di dipendenti. L'agente funziona su Linux e macOS; su macOS in una modalità di base senza cattura dei pacchetti. Su ogni portatile, con o senza agente, mantenga protezione degli endpoint, aggiornamenti e cifratura del disco, perché nessun sensore di rete vede ciò che accade dentro il dispositivo.

Di solito sì, perché contengono la casella di posta e i file più preziosi e sono quelli che viaggiano di più. Le prime misure riguardano dispositivo e account: autenticazione a più fattori resistente al phishing, cifratura completa del disco, protezione degli endpoint con qualcuno che ne legga gli avvisi, aggiornamenti automatici e una regola chiara su che cosa fare se il portatile va perso. I dirigenti sono anche il bersaglio abituale delle e-mail di frode sui pagamenti, che nessuno strumento di rete ferma; una regola di richiamata quando cambiano le coordinate bancarie, sì. Il monitoraggio di rete aggiunge una visione di ciò che fa il portatile: con l'agente NetSenX installato, su Linux o macOS, le connessioni del portatile vengono osservate ovunque si trovi, e beaconing, scansioni o volumi in uscita insoliti generano un avviso, su tutti i piani. Viene osservato il dispositivo, non la persona, e il contenuto del traffico cifrato non viene mai letto. Concordi prima il perimetro con i dirigenti, così il monitoraggio sarà una protezione che hanno chiesto loro stessi.

Tutto ciò che il portatile fa non appena è in un segmento monitorato, ed è proprio il momento in cui una compromissione presa in viaggio diventa visibile. Un malware installato in hotel o tramite un falso aggiornamento di solito contatta il suo server a intervalli regolari, cerca altri host o prova a raggiungere cartelle condivise e servizi di amministrazione. Un sensore su una porta SPAN o TAP vede queste connessioni dal primo minuto, e NetSenX rileva beaconing, scansioni, movimento laterale e volumi in uscita insoliti, su tutti i piani. Ciò che non vede è quanto è accaduto durante il viaggio: il traffico sulla rete dell'hotel non ha mai attraversato la Sua, a meno che sul portatile non giri l'agente NetSenX, che ne osserva le connessioni ovunque si trovi. Una routine sensata dopo un viaggio in luoghi ad alto rischio: una scansione completa con la protezione degli endpoint, gli aggiornamenti in sospeso e il cambio delle password se il dispositivo è rimasto fuori dalla Sua vista, per esempio a un controllo di frontiera.

Può esserlo, soprattutto in modo indiretto. I router domestici hanno spesso anni, non sono mai stati aggiornati e usano ancora la password di amministratore predefinita, e alcuni modelli hanno falle note che gli attaccanti sfruttano su larga scala per costruire reti di router dirottati. Un router compromesso può reindirizzare il traffico, spiare le connessioni non cifrate e attaccare gli altri dispositivi della rete domestica, compreso un portatile di lavoro. L'azienda non può gestire il router, quindi protegga il portatile: protezione degli endpoint, aggiornamenti, il firewall del portatile, VPN o connessioni cifrate per tutto il traffico aziendale e nessun dispositivo personale in VPN. Dia al personale una breve checklist per casa: aggiornare il router, cambiarne la password di amministratore, disattivare l'amministrazione remota e l'apertura automatica delle porte (UPnP) e mettere i dispositivi smart home su un Wi-Fi separato, se il router lo consente. NetSenX non vede le reti domestiche; vede che cosa fa il portatile quando raggiunge un segmento aziendale monitorato, oppure ovunque se vi gira l'agente.

È accettabile con un portatile protetto e connessioni cifrate, rischioso senza. La maggior parte dei siti e dei servizi aziendali è già cifrata, quindi un estraneo sulla stessa rete di un bar o di un hotel non può leggerne il contenuto, ma può vedere quali dispositivi sono presenti, tentare di attaccare i servizi aperti del Suo portatile o creare una rete falsa con lo stesso nome. Per tutto ciò che è riservato usi la VPN aziendale o l'hotspot del telefono, tenga attivo il firewall del portatile e disattivata la condivisione dei file, consideri un avviso sul certificato un motivo per disconnettersi e, alla fine, rimuova la rete perché il portatile non vi si ricolleghi in automatico. In viaggio aggiornamenti e protezione degli endpoint contano più che in ufficio. NetSenX non vede la rete del bar. Su un portatile in cui gira l'agente, su Linux o macOS, le connessioni vengono osservate ovunque si trovi, e beaconing o volumi in uscita insoliti generano un avviso su tutti i piani.

Meglio di no, e una breve regola scritta aiuta più di un divieto che nessuno fa rispettare. L'uso personale porta rischi sul dispositivo che contiene i dati aziendali: giochi ed estensioni del browser da fonti sconosciute, software piratato, bambini al portatile e account personali con password riutilizzate. Se consente un uso personale limitato, fissi limiti chiari: nessun software installato senza l'IT, nessun familiare, un profilo del browser separato per gli account personali e nessun file aziendale in uno spazio cloud personale. Si assicuri che il personale non sia amministratore locale, così la maggior parte del software indesiderato non potrà installarsi da sola. È una questione di regole e di protezione dei dispositivi, e un sensore di rete non può farla rispettare. NetSenX osserva dispositivi, non persone: rileverebbe le conseguenze, come il beaconing di un malware o caricamenti insoliti, quando il traffico del portatile attraversa un segmento monitorato o vi gira l'agente, ma non riferisce sulle abitudini di navigazione di nessuno.

Per attività limitate e a basso rischio, se fissa delle regole; ma i dispositivi personali non dovrebbero entrare nella VPN aziendale né conservare file aziendali fuori da app gestite. L'azienda non vede se un telefono o un portatile personale è aggiornato, cifrato o infetto, e non può cancellarlo quando la persona se ne va. Un compromesso diffuso: posta e chat sui telefoni personali tramite app gestite con PIN e cancellazione remota dei soli dati aziendali, accesso alla suite di produttività in cloud dal browser con autenticazione a più fattori, e tutto ciò che richiede accesso ai sistemi interni solo su dispositivi aziendali. Metta le regole per iscritto, compreso che cosa succede ai dati aziendali quando qualcuno se ne va, e le concordi con le rappresentanze dei lavoratori, se presenti. In rete, un dispositivo personale che si collega a un segmento monitorato compare sulla mappa di rete di NetSenX, e scansioni, beaconing o volumi in uscita insoliti da esso vengono rilevati su tutti i piani.

Agisca prima sugli account, poi sul dispositivo. Il giorno stesso: chiuda le sessioni attive dell'utente e cambi la password, verifichi che l'autenticazione a più fattori sia ancora legata al suo telefono, revochi il certificato o l'accesso VPN del portatile e, se usa una gestione dei dispositivi, lo blocchi o lo cancelli da remoto. Se il disco era cifrato e il portatile bloccato, i dati sono molto probabilmente al sicuro; altrimenti dia per scontato che siano leggibili e verifichi se sono coinvolti dati personali, perché una violazione dei dati personali può dover essere notificata ai sensi del GDPR: coinvolga il Suo responsabile della protezione dei dati il giorno stesso. Denunci un furto alla polizia e conservi il numero della denuncia per l'assicurazione. Poi verifichi se il dispositivo si è collegato da allora: la mappa di rete di NetSenX mostra quando un dispositivo è stato visto per l'ultima volta in un segmento monitorato, e per un portatile con l'agente la dashboard mostra quando si è fatto vivo l'ultima volta. Uno strumento di rete non può localizzare né cancellare il portatile.

In parte, e dipende più dagli strumenti dell'azienda che dalla VPN. Il traffico che passa dalla VPN attraversa la rete aziendale, quindi il suo firewall e il suo monitoraggio vedono con quali server si collega il portatile e quanti dati transitano. La maggior parte di quel traffico è cifrata, perciò un sensore di rete non vede il contenuto di pagine, messaggi e file, a meno che l'azienda non usi un sistema che lo decifra, cosa che la policy aziendale dovrebbe dichiarare. Un software installato su un portatile aziendale vede molto di più, per questo la policy sul portatile conta più della VPN. Dove si usa NetSenX, osserva dispositivi e connessioni, non persone: registra metadati di connessione come destinazioni, orari e volumi per rilevare attacchi, non decifra mai il traffico e non legge mai ciò che Lei digita. Chieda al datore di lavoro la sua policy di monitoraggio; nell'UE la normativa sulla protezione dei dati si aspetta che il datore di lavoro informi il personale su come viene monitorato.

Di solito no, e la maggior parte delle policy aziendali lo vieta. Un'app VPN personale fa passare tutto il traffico del portatile dai server di un terzo, il che può rompere la VPN aziendale, aggirare il filtro web e il monitoraggio dell'azienda e consegnare i metadati del traffico aziendale a un fornitore che nessuno ha verificato. Le app VPN gratuite, in particolare, guadagnano in qualche modo, spesso con i dati. Inoltre il Suo traffico sembra provenire da un altro Paese, il che può causare blocchi dell'account e avvisi di accesso a rischio. Se ha bisogno di riservatezza su un Wi-Fi pubblico, usi la VPN aziendale o l'hotspot del telefono. Se è amministratore, blocchi l'installazione di software non approvato e cerchi i portatili il cui traffico va all'improvviso tutto verso un unico indirizzo esterno. In un segmento monitorato, la vista VPN di NetSenX segnala gli indirizzi presenti negli elenchi di servizi VPN commerciali, così un portatile che instrada tutto verso uno di essi si nota.

Sì. Le app di desktop remoto che passano dal cloud del produttore non hanno bisogno di porte aperte, quindi scivolano oltre il firewall e creano una porta permanente verso la rete dell'ufficio protetta solo dall'account di quell'app. I truffatori che si fingono assistenza tecnica usano le stesse app, e un attaccante che ruba l'account, o che è già dentro, può tornare in qualsiasi momento tramite lo strumento installato, senza alcun malware. Chi l'ha installata di solito aveva buone intenzioni, quindi offra un'alternativa approvata: la VPN aziendale, un gateway di desktop remoto o un unico strumento di assistenza remota approvato con autenticazione a più fattori, gestito dall'IT. Poi blocchi l'installazione di software non approvato e rimuova gli altri. In rete queste app mantengono una connessione regolare con i loro server di inoltro, che NetSenX segnala come beaconing su tutti i piani; quando sul computer gira l'agente, l'avviso indica il programma locale. NetSenX non disinstalla né blocca l'app.

Con tre fonti: l'inventario software, il traffico di rete e il DNS. La console di gestione dei dispositivi o dell'antivirus di solito sa elencare i programmi installati; vi cerchi gli strumenti di desktop remoto e di assistenza remota. In rete queste app mantengono una connessione costante con i server di inoltro del produttore anche quando nessuno le usa, quindi un PC che contatta lo stesso servizio esterno ogni pochi minuti, giorno e notte, merita un controllo. I log DNS o del firewall mostrano i domini del produttore che interrogano. Una volta trovate, decida caso per caso: rimuovere lo strumento o sostituirlo con quello approvato. Eviti che si ripeta togliendo i diritti di amministratore locale e usando whitelist del software. NetSenX segnala quei collegamenti regolari come beaconing, su tutti i piani, da un sensore SPAN o TAP o dall'agente su quell'host, e quando sul computer gira l'agente l'avviso indica il programma. Non tiene un inventario del software; lo fanno i Suoi strumenti di gestione dei dispositivi.

È un unico server rafforzato da cui amministratori e fornitori devono passare per raggiungere i sistemi interni, invece di collegarsi direttamente a ogni server. Le sessioni remote terminano sul bastion, che impone l'autenticazione a più fattori, ammette solo account nominativi, registra o videoregistra ogni sessione ed è l'unico host da cui i server accettano connessioni di amministrazione. Un gateway di desktop remoto fa lo stesso per il desktop remoto, avvolgendolo in una connessione cifrata e autenticata. Le serve non appena più di un paio di persone, o un qualsiasi fornitore, amministrano i Suoi server da remoto, oppure quando SSH o il desktop remoto dovrebbero altrimenti essere esposti su internet. Tenga il bastion aggiornato e minimale, senza altro software. Il monitoraggio ha allora una regola semplice da verificare: le sessioni di amministrazione devono arrivare solo dal bastion. NetSenX segnala le sessioni insolite tra host come movimento laterale, su tutti i piani, così il traffico di amministrazione che aggira il bastion si nota.

Fail2ban aiuta, ma non rende sicuro un server SSH esposto. Blocca gli indirizzi dopo un certo numero di accessi falliti, il che riduce i tentativi di indovinare le password e il rumore nei log, ma gli attaccanti distribuiscono i tentativi su molti indirizzi, e non può nulla contro una falla del server SSH stesso o una chiave privata rubata. La vera protezione sta nella configurazione: accesso solo con chiave, accesso con password e come root disattivati, OpenSSH aggiornato e accesso limitato a indirizzi di origine noti o dietro una VPN o un bastion host. Con tutto questo in atto, Fail2ban è un livello aggiuntivo ragionevole. Verifichi regolarmente quali server espongono SSH; il rischio sono quelli dimenticati. NetSenX vede le connessioni verso i server SSH monitorati e rileva tentativi di accesso ripetuti, scansioni e sessioni insolite, su tutti i piani. Non blocca da sé gli indirizzi; lo fanno Fail2ban o il firewall.

Un po' contro il rumore, per niente contro un attaccante mirato. Gli scanner automatici che provano solo la porta 22 non lo troveranno, quindi i log si calmano e arrivano meno tentativi di indovinare le password. Ma una scansione completa delle porte trova un server SSH su qualsiasi porta, perché SSH si presenta nel suo primo messaggio, e chi cerca proprio il Suo server farà quella scansione. Consideri quindi il cambio di porta come ordine, non come protezione, e mantenga le misure che contano: accesso solo con chiave, niente password né root, un OpenSSH aggiornato e un accesso limitato per indirizzo di origine o tramite VPN o bastion host. Documenti la porta, così colleghi e il Suo stesso monitoraggio non la scambieranno per qualcosa di sconosciuto. NetSenX vede le connessioni verso gli host monitorati su qualsiasi porta e rileva scansioni, tentativi di accesso ripetuti e sessioni insolite, su tutti i piani.

Guardi il log di autenticazione del server: molti accessi falliti per root, admin o nomi utente casuali, da uno o da molti indirizzi, sono il segno classico, e strumenti come Fail2ban li contano per Lei. Su un server esposto a internet una parte di questo è rumore di fondo costante; ciò che conta è se un tentativo è riuscito, quindi cerchi accessi riusciti da indirizzi sconosciuti, in orari strani o su account che accedono di rado, e verifichi che l'accesso con password sia disattivato. I tentativi dall'interno della Sua rete sono più gravi, perché significano che sta provando un host compromesso. NetSenX segnala i tentativi di accesso ripetuti contro gli host monitorati come brute force, su tutti i piani, insieme a scansioni e sessioni insolite, così i tentativi da un host interno si notano. Dalla rete non può sapere se una password è stata accettata; il log del server sì.

Solo se un server esegue una versione vulnerabile di OpenSSH in una configurazione vulnerabile, quindi cominci trovando tutti i Suoi server SSH. regreSSHion (CVE-2024-6387), pubblicata nel luglio 2024, riguarda il server OpenSSH su Linux basato su glibc dalla versione 8.5p1 fino alla 9.8p1 esclusa, oltre a versioni molto vecchie precedenti alla 4.4p1; altre falle hanno altri intervalli, quindi legga ogni bollettino. Elenchi i server dal Suo inventario e dalla rete, compresi apparati, container e macchine di prova dimenticate. Verifichi il pacchetto installato nel sistema di tracciamento della sicurezza della Sua distribuzione, perché le distribuzioni spesso riportano le correzioni senza cambiare il numero di versione, poi installi la patch o limiti l'accesso finché non può. Dal piano Pro l'inventario crittografico NQCI, in anteprima, elenca ogni server SSH di cui ha visto il banner di versione, con la versione annunciata; richiede la cattura dei pacchetti, attivata per un agente Linux o un sensore SPAN/TAP. Un banner è un indizio, non un verdetto, quindi verifichi sul server.

Non da solo: una normale sessione SSH trasporta i tasti che Lei preme e l'output a schermo del server, e un server compromesso non può spingere un programma sul Suo computer attraverso di essa. I rischi vengono dalle funzioni che aggiunge. L'inoltro dell'agente permette al server di usare le Sue chiavi SSH mentre è connesso, quindi un server compromesso può raggiungere altri server a nome Suo; lo usi solo verso host fidati, oppure usi un'impostazione di jump host. L'inoltro delle porte e quello X11 aprono canali di ritorno verso la Sua macchina. I file che copia dal server possono contenere malware come qualsiasi download. E un client SSH vulnerabile può in teoria essere attaccato da un server malevolo, quindi tenga aggiornato il client. In rete, una sessione dal portatile di un amministratore verso un server è normale; NetSenX segnala le sessioni insolite tra host come movimento laterale, su tutti i piani, così una sessione SSH che inizia a saltare da un server all'altro si nota.

SSH può trasportare altro traffico dentro la sua connessione cifrata, quindi chi può aprire una connessione SSH in uscita può farci passare quasi qualsiasi cosa. Un inoltro di porta rende raggiungibile dall'esterno un servizio interno, o dall'interno un servizio esterno, senza che cambi alcuna regola del firewall; un inoltro dinamico trasforma la connessione SSH in un proxy per tutto il traffico di un utente. Gli attaccanti lo usano per mantenere l'accesso remoto e portare fuori dati senza dare nell'occhio. Riduca il rischio: consenta SSH in uscita solo dagli host che ne hanno bisogno e solo verso destinazioni note, disattivi gli inoltri sui server SSH dove non servono e consideri sospetta una lunga sessione SSH da una postazione di lavoro verso un indirizzo internet sconosciuto. Un sensore di rete non vede dentro il tunnel, ma vede il tunnel: NetSenX segnala le connessioni lunghe o regolari verso host esterni come beaconing e i grandi trasferimenti come volumi in uscita insoliti, su tutti i piani.

Sì, SSH è progettato per reti non fidate: la connessione è cifrata e il server dimostra la propria identità con la sua chiave host. Il punto debole è accettare una chiave host sbagliata. Alla prima connessione, e ogni volta che SSH avvisa che una chiave host è cambiata, confronti l'impronta con una ottenuta per un altro canale prima di proseguire; sulla rete di un bar, una chiave cambiata è un motivo per fermarsi. Usi l'accesso con chiave invece della password, protegga la chiave privata con una passphrase e tenga aggiornato il client SSH. Meglio ancora, si colleghi tramite la VPN aziendale o l'hotspot del telefono, così la rete del bar vede un solo tunnel cifrato. NetSenX non vede le reti Wi-Fi pubbliche. Vede la sessione SSH quando raggiunge un server monitorato, e rileva tentativi di accesso ripetuti e sessioni insolite che riguardano quel server, su tutti i piani.

Mette quel server direttamente su internet, dove le scansioni automatiche lo trovano presto e gli attacchi non finiscono mai, quindi è pericoloso tanto quanto sono deboli il servizio e la sua manutenzione. Una porta inoltrata verso un server web aggiornato ogni settimana è un rischio gestibile; una porta inoltrata verso un NAS, un videoregistratore, il desktop remoto o una vecchia macchina di prova è una via d'ingresso frequente nei piccoli uffici. Preferisca le alternative: una VPN per il personale, un servizio in cloud o un reverse proxy in un segmento di rete separato. Se deve inoltrare, inoltri una porta verso un solo host rafforzato, aggiornato, con autenticazione forte, accessi registrati e isolato dal resto della rete, perché una compromissione resti lì. Controlli nel router gli inoltri dimenticati e l'apertura automatica delle porte (UPnP), e li disattivi. NetSenX vede le connessioni in ingresso verso gli host monitorati e rileva scansioni, tentativi di accesso ripetuti e movimento laterale dall'host esposto, su tutti i piani.

Si guardi dall'esterno, regolarmente. Elenchi i Suoi indirizzi IP pubblici e i nomi di dominio, compresi i server in cloud e la connessione internet dell'ufficio, poi li scansioni dall'esterno della rete con uno scanner di porte affidabile e chieda al Suo CERT nazionale se offre un servizio di notifica dei sistemi esposti. Confronti le porte aperte con ciò che intendeva: tutto ciò che non sa spiegare, come un desktop remoto, un database, un NAS o la pagina di amministrazione di un router, va chiuso o messo dietro una VPN. Ripeta il controllo dopo ogni modifica a firewall, router o cloud, e consulti i registri pubblici dei certificati per individuare sottodomini dimenticati. Scansioni solo indirizzi Suoi o che è autorizzato a testare. NetSenX non scansiona i Suoi indirizzi pubblici. Dentro la rete vede le connessioni in ingresso verso gli host monitorati, su tutti i piani, così un servizio che risponde in modo inatteso a connessioni esterne, o un host scansionato o colpito da accessi ripetuti, emerge nel suo traffico.

Sì, e su una rete d'ufficio di solito è un rischio inutile. Universal Plug and Play (UPnP) consente a qualsiasi dispositivo della rete di chiedere al router di aprire una porta verso internet, senza password e senza avvisare nessuno. Piace alle console di gioco e alle app video; piace anche ai dispositivi compromessi e al malware, che lo usano per rendersi raggiungibili dall'esterno. Telecamere e videoregistratori spesso aprono porte in questo modo già all'installazione. Disattivi UPnP sul router dell'ufficio, e sui router domestici da cui lavora il personale, poi verifichi quali porte sono già inoltrate e rimuova quelle che non sa spiegare. Alcuni router espongono per errore UPnP anche verso internet, il che è peggio; una scansione esterna lo rivela. Un sensore di rete non vede la configurazione del router, ma ne vede l'effetto: NetSenX vede le connessioni in ingresso da internet verso gli host monitorati, così un dispositivo che all'improvviso riceve connessioni dall'esterno si nota.

Spesso nessuno fino a lunedì, ed è per questo che gli attaccanti amano i fine settimana e le festività. La soluzione non sta tanto nell'avere più persone quanto nel decidere in anticipo che cosa merita di svegliare qualcuno. La maggior parte delle piccole aziende non può coprire un turno di notte, quindi scelga pochi eventi che giustificano una telefonata, come un accesso amministrativo riuscito da un luogo insolito, una sessione remota verso un server di notte o un grande trasferimento verso l'esterno, e invii solo quelli a un telefono. Il resto può attendere il controllo del mattino. Si assicuri che VPN e provider di identità inviino gli avvisi di accesso in un posto dove qualcuno li legge, e stabilisca chi è reperibile durante le ferie. NetSenX rileva 24 ore su 24, le persone no: segnala movimento laterale, beaconing, scansioni e volumi in uscita insoliti su tutti i piani e, dal piano Pro, può inviare gli avvisi a Slack o a un webhook perché arrivino a un telefono. Non fornisce un centro operativo di sicurezza presidiato.