Sono stato violato?

Cerchi i comportamenti cambiati: nuove destinazioni in uscita, connessioni a intervalli regolari, accessi a orari insoliti, una macchina che si collega a molte altre e volumi insoliti in uscita. Ognuno si verifica nei log di firewall, DNS e directory. Due o più insieme meritano un'indagine; un monitoraggio continuo della rete li osserva ogni giorno, non solo il giorno in cui qualcuno guarda.

Sì. Nell'avviso congiunto AA24-038A del 7 febbraio 2024, CISA, NSA e FBI hanno riferito che attori di Volt Typhoon avevano mantenuto l'accesso agli ambienti IT di alcune vittime per almeno cinque anni. Gli attaccanti che usano gli stessi strumenti di amministrazione del Suo team IT lasciano poche firme, ed è per questo che conta il comportamento in rete.

Esporti dal firewall o dal server DNS le destinazioni in uscita più frequenti ed esamini quelle rare; verifichi gli accessi riusciti fuori dall'orario lavorativo; conti quanti host interni contatta ogni postazione sulle porte SMB, RDP, SSH e WinRM; e confronti il volume in uscita di ogni server con la sua stessa media.

No. NetSenX aggiunge la visione della rete: vede i dispositivi senza agente e i movimenti tra host. La protezione degli endpoint continua a coprire ciò che accade dentro ogni macchina. Il piano Free non ha limiti di tempo e non richiede la carta di credito, quindi può vedere prima che cosa trova nella Sua rete.

Sì. Gli attaccanti che usano password rubate e gli strumenti di amministrazione già presenti sui Suoi sistemi possono restare nascosti a lungo: non si rompe nulla, quindi nessuno guarda. A tradirli è il comportamento, per esempio un computer che contatta a intervalli regolari un nuovo server esterno, una macchina che si collega a molte altre o invii di dati di notte. NetSenX rileva beaconing, scansioni, movimento laterale e volumi di dati in uscita insoliti in ogni piano, Free compreso. Non vede l'attività che non passa mai dalla rete.

Spesso sì. Un attaccante che controlla una macchina la usa per guardarsi intorno e proseguire: cerca altri host, prova le password salvate sulla prima macchina e si collega con protocolli di amministrazione come SMB, RDP o SSH. In una rete piatta, dove ogni computer raggiunge ogni server, nulla lo rallenta. Tre misure gratuite limitano fin dove arriva: segmenti la rete in modo che le postazioni non raggiungano server di cui non hanno bisogno, tolga i diritti di amministratore locale agli account di uso quotidiano e usi una password diversa per ogni sistema. NetSenX rileva le scansioni e le nuove sessioni tra host che questo movimento crea, in ogni piano, Free compreso. Non vede ciò che l'attaccante fa dentro la prima macchina prima che qualcosa tocchi la rete.

Raramente da sola. La lentezza ha di solito cause comuni: un backup, un aggiornamento del sistema operativo, una videochiamata, un collegamento saturo. Vale la pena approfondire quando si accompagna a traffico che non sa spiegare, per esempio un server che di notte carica grandi quantità di dati, un computer che contatta a intervalli regolari una destinazione sconosciuta o un dispositivo che non inviava quasi nulla e all'improvviso invia molto. Parta dal firewall o dal router: quale indirizzo interno usa la banda e dove va il traffico? Se è un'attività nota, il caso è chiuso. Un monitor delle prestazioni mostra che un collegamento è occupato; NetSenX mostra i volumi in uscita insoliti per host, valutati rispetto alla normalità di quell'host, e se lo schema somiglia a una fuga di dati.

Può esserlo. Disattivare gli strumenti di sicurezza è un primo passo frequente di attaccanti e ransomware, perché elimina un testimone prima che inizi il lavoro vero. Controlli nella console di protezione degli endpoint chi o che cosa ha modificato l'impostazione e quando, cerchi su quella macchina nuovi account amministratore, nuovi servizi e attività pianificate, e la isoli se non riesce a spiegare la modifica. Chieda al supporto del produttore se può essere stato un aggiornamento; a volte la risposta è proprio questa. È una prova dell'endpoint: un sensore di rete non vede un'impostazione cambiata su un computer. Può però mostrare se quella macchina ha poi iniziato a comportarsi in modo insolito in rete, per esempio contattando a intervalli regolari un nuovo server esterno o aprendo sessioni verso altri host, cosa che NetSenX rileva in ogni piano.

Parta da ciò che ha già: i lease DHCP del router o del server, le tabelle degli indirizzi MAC degli switch e l'elenco dei client del controller Wi-Fi. Li confronti con il Suo inventario e approfondisca tutto ciò che non si spiega; la prima metà di un indirizzo MAC identifica il produttore, il che spesso dice se si tratta di una stampante, di un telefono o di un piccolo computer. Port security o 802.1X impediscono già in partenza ai dispositivi sconosciuti di entrare in rete. La mappa di rete di NetSenX, in ogni piano, mostra gli host visti sui segmenti monitorati e con chi comunicano, così un nuovo dispositivo che inizia a trasmettere salta all'occhio. Un dispositivo che resta muto, o che si trova su un segmento non monitorato, non compare.

Sì, dall'access point o dal controller Wi-Fi: l'elenco dei client mostra ogni dispositivo connesso con indirizzo MAC, potenza del segnale e spesso un nome. Lo confronti con ciò che si aspetta e controlli nei lease DHCP del router quali dispositivi hanno ottenuto un indirizzo di recente. Alcune impostazioni rendono l'elenco più affidabile: una rete ospiti separata per visitatori e telefoni personali, una password Wi-Fi cambiata quando qualcuno lascia l'azienda e WPA2 o WPA3 Enterprise con credenziali individuali invece di una chiave condivisa. I telefoni moderni usano un indirizzo MAC diverso su ogni rete, quindi un indirizzo sconosciuto non prova un'intrusione. NetSenX non gestisce il Wi-Fi, ma la sua mappa di rete mostra i dispositivi che comunicano sui segmenti monitorati, così un nuovo arrivato che raggiunge i server interni salta all'occhio.

Sì, se la presa è collegata a una porta attiva dello switch. Un visitatore, un fornitore o un intruso può collegare un portatile oppure lasciare dietro una stampante un piccolo computer come un Raspberry Pi, che da quel momento si trova all'interno del Suo firewall. Prevenire costa poco: scolleghi le porte non usate, usi 802.1X o almeno la port security perché solo i dispositivi noti abbiano accesso, metta sale riunioni e reception su una rete ospiti e guardi dietro le stampanti e sotto le scrivanie durante i giri di controllo. Il rilevamento è il secondo livello. La mappa di rete di NetSenX, in ogni piano, mostra i nuovi dispositivi che iniziano a comunicare sui segmenti monitorati, e NetSenX segnala come beaconing un dispositivo nascosto che contatta l'esterno a intervalli regolari. Se il dispositivo raggiunge l'attaccante con una propria connessione mobile, è visibile solo ciò che fa dentro la Sua rete, come una scansione; un dispositivo che si limita ad ascoltare resta invisibile.

Di solito da qualche giorno a qualche settimana, a volte molto di più. Il rapporto M-Trends 2026 di Mandiant indica in 14 giorni la mediana globale del tempo di permanenza (dwell time), cioè il tempo tra l'inizio di un'intrusione e la sua scoperta, per gli incidenti esaminati nel 2025. Una mediana nasconde una coda lunga: metà di quelle intrusioni è durata di più. Il tempo è breve quando l'attaccante fa rumore, come con il ransomware, e lungo quando cerca un accesso silenzioso o il furto di dati; le intrusioni scoperte da un soggetto esterno sono in genere durate più di quelle che un'azienda trova da sola. A ridurlo è l'osservazione del comportamento, non solo delle firme: contatti regolari con un nuovo server esterno, scansioni, nuove sessioni tra host. NetSenX li rileva in ogni piano, Free compreso, sui segmenti che monitora.

La maggior parte del monitoraggio non lascia nulla di visibile sullo schermo, quindi guardi che cosa è installato e chi gestisce il computer. Il monitoraggio aziendale compare di norma nell'elenco dei programmi installati o dei profili di gestione e dovrebbe essere descritto in una policy scritta; nel dubbio chieda all'IT o alle risorse umane. Possono indicare qualcosa di non autorizzato uno strumento di accesso remoto che non ha installato, il mouse o le finestre che si muovono da soli, una nuova estensione del browser, la spia della webcam che si accende o un software di sicurezza disattivato. In rete, un computer che invia regolarmente dati a un server esterno sconosciuto è il segnale tecnico più chiaro. NetSenX osserva dispositivi e connessioni, mai persone: rileva questo tipo di beaconing in ogni piano, ma non vede che cosa gira dentro il computer.

Di solito non direttamente. Lo sniffing passivo, un dispositivo che si limita ad ascoltare, non trasmette nulla e quindi non lascia quasi tracce. Si può invece rilevare il lavoro che l'attaccante deve fare per vedere traffico non destinato a lui. In una rete con switch deve deviarlo, per esempio con l'ARP spoofing, oppure collegarsi a una porta mirror, a un hub o a un TAP. Funzioni degli switch come la dynamic ARP inspection e il DHCP snooping bloccano la deviazione, la port security limita chi può collegarsi, e cifrare i servizi interni con HTTPS, SSH e la cifratura SMB rende il traffico catturato molto meno utile. Un sensore che osserva il segmento vede annunci ARP insoliti e il nuovo dispositivo che inizia a trasmettere; un ascoltatore che resta del tutto muto è invisibile a NetSenX come a qualsiasi sensore di rete.

Da molti, se la rete glielo consente. Una volta dentro, l'attaccante raggiunge ogni sistema che la macchina compromessa può raggiungere e accede ovunque funzionino le password salvate o rubate. Cartelle condivise, un file server leggibile da tutti e la stessa password di amministratore su ogni computer allungano l'elenco. Lo accorciano tre cose: segmenti che tengono le postazioni lontane dai server di cui non hanno bisogno, account con i diritti minimi che consentono comunque di lavorare e l'autenticazione a più fattori (MFA) per l'accesso remoto e gli accessi da amministratore. I dati rubati devono inoltre attraversare la rete due volte: quando l'attaccante raccoglie i file da altri host e quando li invia all'esterno. NetSenX rileva le nuove sessioni tra host e i volumi di dati in uscita insoliti per host, in ogni piano, Free compreso.

Attraverso un servizio che risponde su quell'indirizzo, oppure attraverso una persona. L'indirizzo IP pubblico in sé non è una porta; lo sono le porte aperte dietro di esso. Gli attaccanti scandagliano tutto internet in cerca di desktop remoti, gateway VPN, firewall con gestione remota, server di posta e web, poi provano password rubate o vulnerabilità note su tutto ciò che risponde. L'altra via frequente salta del tutto l'indirizzo pubblico: un'e-mail di phishing induce un dipendente a eseguire qualcosa e il computer infetto contatta poi da sé l'attaccante. Verifichi dall'esterno quali porte espone, chiuda tutto ciò che non serve, metta il resto dietro una VPN con autenticazione a più fattori (MFA) e aggiorni per primi i dispositivi esposti a internet. Sui segmenti monitorati, NetSenX mostra quali host vengono raggiunti dall'esterno e rileva il beaconing che segue un'infezione.

Sì, e spesso una via facile. Stampanti, telecamere IP, videoregistratori, smart TV e sistemi di controllo accessi funzionano con piccoli sistemi operativi aggiornati di rado, spesso con le password predefinite, e non possono eseguire un antivirus. Gli attaccanti li usano in due modi: come appiglio nascosto che nessuno sorveglia e come punto di partenza per scansionare il resto della rete. Cambi le password predefinite, aggiorni il firmware, disattivi i servizi che non usa e metta questi dispositivi in un segmento di rete separato, che non raggiunga i Suoi server né internet oltre lo stretto necessario. Poiché non può installarvi un agente, li osservi dalla rete: da una porta SPAN o da un TAP, NetSenX vede le loro destinazioni e rileva beaconing e scansioni, in ogni piano, senza alcun software sul dispositivo.

Possono esserlo. Smart TV, dispositivi per la condivisione dello schermo e sistemi di videoconferenza sono computer con microfoni, telecamere e accesso alla rete, aggiornati secondo i tempi dei produttori, quando lo sono. Molti contattano il cloud del produttore tutto il giorno, anche in standby, e alcuni accettano la condivisione dello schermo da chiunque sia sulla stessa rete. Li metta in un segmento di rete separato che non raggiunga i Suoi file server né i portatili proiettati, disattivi le funzioni che non usa, cambi le password predefinite e installi gli aggiornamenti. Poi verifichi che cosa fanno davvero: osservati da una porta SPAN o da un TAP, NetSenX vede le loro destinazioni e rileva beaconing e scansioni in ogni piano, senza software sul dispositivo. Se un cloud del produttore all'estero sia accettabile lo decide Lei; NetSenX mostra il traffico, non giudica il produttore.

Spesso è il dipendente, ma lo sa solo dopo aver controllato. Accessi da un nuovo paese o da un nuovo operatore capitano in viaggio, con un telefono nuovo o con una rete mobile che esce da un'altra città, ma anche quando qualcuno usa una password rubata. Chieda direttamente alla persona, tramite un canale diverso dall'account in questione, se era lei. Poi guardi i log di identità del servizio: l'autenticazione a più fattori (MFA) è stata completata, sono state aggiunte regole della casella di posta o nuovi dispositivi, lo stesso account ha effettuato l'accesso da due luoghi lontani nel giro di un'ora? Queste prove si trovano nei log del Suo provider di identità, della VPN e dei servizi SaaS, non nella rete. NetSenX aggiunge il lato rete, per esempio un dispositivo che poi inizia a scansionare o apre nuove sessioni verso i server; non vede gli eventi di identità e non collega un accesso a una persona.

A volte sì, perché una reinstallazione pulisce solo le macchine reinstallate. Ciò che sopravvive di solito sta altrove: password e token di sessione rubati, account creati nella directory o nei servizi cloud, uno strumento di accesso remoto su un server che nessuno ha reinstallato, script pianificati su una condivisione di rete, regole del firewall modificate o un backup che conteneva già i loro strumenti. Prima di dichiarare chiuso un incidente, reimposti tutte le credenziali che potrebbero essere state esposte, controlli ovunque nuovi account, regole di inoltro della posta e software di accesso remoto, confronti le impostazioni di firewall e VPN con una copia sicura e ripristini solo da backup precedenti all'intrusione. Poi tenga d'occhio la rete per diverse settimane. Nuove connessioni verso i server dell'attaccante sono un segnale tipico di qualcosa sfuggito; NetSenX rileva il beaconing C2 in ogni piano, Free compreso.

In parte sì. Diversi enti nazionali offrono servizi gratuiti: in Spagna il servizio Antibotnet di INCIBE verifica se il Suo indirizzo IP pubblico compare nelle segnalazioni di dispositivi infetti, e i CERT nazionali di altri paesi inoltrano segnalazioni simili ai titolari delle reti interessate; chieda al Suo provider internet se gliele trasmette. Aiutano anche i controlli gratuiti dal Suo lato: il log delle connessioni in uscita bloccate dal firewall, i log DNS con richieste verso domini malevoli noti e qualsiasi dispositivo che contatta lo stesso server esterno giorno e notte. Una verifica di reputazione Le dice che qualcosa dietro il Suo indirizzo pubblico è stato segnalato, non quale dispositivo sia. NetSenX rileva il beaconing C2 per host in ogni piano, Free compreso, e indica così il dispositivo stesso.

Una compromise assessment è un'indagine di durata limitata che risponde a una sola domanda: c'è un attaccante nel nostro ambiente adesso, o c'è stato di recente? Gli specialisti esaminano le prove di endpoint, log e rete alla ricerca di segni di intrusione, invece di verificare se un'intrusione è possibile, come fa un penetration test. Ha senso prima di un'acquisizione, dopo che un fornitore o un'azienda del Suo settore è stata violata, quando eredita una rete che nessuno ha documentato o quando è successo qualcosa di strano che nessuno ha saputo spiegare. Chieda al fornitore di quali dati ha bisogno, quanto indietro può guardare e che cosa non coprirà. La sua qualità dipende dalle prove che esistono già: la cronologia di rete registrata prima dell'inizio vale più di tutto ciò che si raccoglie dopo. NetSenX conserva gli alert e le loro motivazioni per la durata della cronologia del Suo piano: 30 giorni con Free, di più con i piani a pagamento.

Scopra come è stata attaccata e controlli esattamente quel percorso nella Sua azienda. Legga la dichiarazione pubblica, l'avviso del Suo CSIRT nazionale o dell'organismo di settore e le notizie che indicano il metodo: una VPN o un firewall sfruttati, un fornitore comune, il phishing, un gruppo ransomware noto. I gruppi criminali riutilizzano spesso la stessa vulnerabilità o lo stesso accesso di un fornitore contro molte aziende insieme, quindi se condivide software o fornitori di servizi con la vittima, chieda direttamente al fornitore. Aggiorni il prodotto indicato, riveda gli accessi remoti e gli account dei fornitori e verifichi che i backup siano offline e ripristinabili. Poi cerchi in rete i primi passi: nuovi server esterni contattati a intervalli regolari, scansioni interne e nuove sessioni di amministrazione. NetSenX li rileva in ogni piano, Free compreso; non può dirLe che cosa accade sui segmenti che non monitora.

Ogni collegamento con quell'azienda e tutto ciò che è nuovo. Parta da ciò che vi unisce: tunnel VPN condivisi, account di accesso remoto che usa sui Suoi sistemi, trasferimenti di file, thread di e-mail e cartelle cloud condivise. Sospenda o cambi quelle credenziali finché non conferma che cosa è stato colpito e tratti con cautela le sue e-mail che chiedono di cambiare le coordinate di pagamento, perché gli attaccanti riutilizzano i thread di posta rubati. Se il suo avviso o la sua dichiarazione elenca indicatori di compromissione, come indirizzi IP, domini o hash di file, li cerchi nei log di firewall, proxy e DNS delle ultime settimane. Poi osservi il comportamento: host che all'improvviso contattano a intervalli regolari nuovi server esterni, scansioni, invii insoliti. NetSenX li rileva in ogni piano, e la sua mappa di rete mostra chi comunica con chi sui segmenti monitorati.

Trasformi l'incidente dell'anno scorso in un test. Annoti ogni passo dell'attaccante, dal primo accesso al momento in cui ve ne siete accorti, e per ciascuno si chieda quale controllo o quale log lo vedrebbe oggi. Poi chiuda le lacune: se l'ingresso è stato un account VPN senza autenticazione a più fattori (MFA), verifichi che ogni account remoto ora ce l'abbia; se ve ne siete accorti solo alla cifratura, individui quale passo precedente ha attraversato la rete e se oggi qualcosa lo segnalerebbe. Un'esercitazione tabletop o una breach and attack simulation (BAS) riproduce lo scenario senza danni reali. NetSenX copre i passi di rete comuni alla maggior parte degli incidenti, come beaconing, scansioni, movimento laterale e volumi di dati in uscita insoliti, in ogni piano; la breach and attack simulation è inclusa dal piano Business. Ciò che avviene solo dentro un host richiede la protezione degli endpoint.

Perché all'interno nessuno guardava nel posto giusto. Un cliente riceve una fattura falsa dalla Sua casella violata, una banca segnala bonifici strani, la polizia o un CERT nazionale trova i Suoi dati su un server criminale, oppure gli attaccanti lo annunciano sul loro sito di leak. In azienda i segnali c'erano spesso, ma nessuno li leggeva: log del firewall che nessuno controlla, un alert dell'antivirus chiuso come rumore, un server che carica dati di notte. I rapporti M-Trends di Mandiant hanno più volte rilevato che le intrusioni scoperte da un soggetto esterno erano in corso da più tempo di quelle trovate dall'azienda stessa. Saperlo da fuori Le toglie anche il controllo sui tempi e sul messaggio. Leggere ciò che già attraversa la rete cambia le cose; NetSenX lo trasforma in alert spiegati su beaconing, scansioni, movimento laterale e invii insoliti, in ogni piano, Free compreso.

Chiedendosi chi, verso dove e quando, e confrontando la risposta con la normalità. Un backup sposta dati da host noti verso una destinazione nota, di solito a orario fisso e con un volume simile ogni notte. Un aggiornamento scarica dai server del produttore su molti host in una breve raffica. Un furto ha un altro aspetto: un host che carica raramente invia molto, verso una destinazione che nessun altro usa, a un'ora in cui di solito tace, oppure una postazione inizia all'improvviso a leggere molte condivisioni di file. Tenga un breve elenco delle attività pianificate, con host e orari, così che chiunque possa confrontarvi un alert. NetSenX valuta ogni host rispetto alle sue destinazioni, ai volumi e agli orari abituali, spiega in ogni alert quali caratteristiche del traffico lo hanno determinato e Le permette di segnare un alert come falso positivo, con la decisione conservata nel log di audit.

Registrandola prima che serva. La normalità descrive chi comunica con chi, quando e quanto: quali server usa ogni postazione, quali servizi esterni raggiunge, quando girano i backup, quali dispositivi restano in silenzio di notte. La maggior parte delle piccole aziende non l'ha mai messa per iscritto, ed è per questo che nel mezzo di un incidente una connessione strana è difficile da giudicare. Parta da un semplice elenco di server, attività pianificate, strumenti di accesso remoto e fornitori che si collegano dall'esterno. I log del firewall e dei DNS di una settimana normale danno un primo quadro. NetSenX apprende la normalità di ogni host dal traffico dei segmenti che monitora e vi confronta ogni nuova connessione, e la sua mappa di rete, in ogni piano, mostra chi parla con chi. Un sensore appena installato ha bisogno di tempo con il Suo traffico prima che la sua idea di normalità sia affidabile, e NetSenX Le dice quando non ha ancora dati sufficienti.

Un indicatore di compromissione è un elemento di prova che fa pensare a un attacco a un sistema: un indirizzo IP o un dominio noto per essere usato dagli attaccanti, l'hash di un file malevolo, un nome di file sospetto, l'impronta TLS di un client malware noto o una modifica di configurazione che un malware introduce. Li pubblicano gli avvisi di CISA, dei CERT nazionali e dei ricercatori di sicurezza, perché altri possano cercarli nei propri log. Sono utili e di breve durata: gli attaccanti cambiano server e ricompilano gli strumenti, quindi un indirizzo malevolo il mese scorso può oggi appartenere a qualcuno di innocente. Per questo gli indicatori integrano l'osservazione del comportamento, senza sostituirla. Cerchi nei log di firewall, proxy e DNS gli indicatori di ogni avviso che La riguarda. Dal piano Starter, NetSenX confronta gli handshake TLS con le impronte di malware noti dove l'agente cattura i pacchetti, su Linux o come sensore SPAN/TAP, e rileva comportamenti come il beaconing in ogni piano.

Sì. Antivirus e strumenti di protezione degli endpoint cercano file malevoli noti e comportamenti sospetti sulla macchina, e possono riferire solo dalle macchine su cui sono installati e attivi. Un attaccante che accede con una password rubata e usa gli strumenti di amministrazione già presenti dà loro poco da segnalare, e una stampante, una telecamera o un server senza agente non segnalano nulla. Uno strumento disattivato può inoltre sembrare tranquillo invece che rosso. Verifichi quali macchine riferiscono davvero alla console, quando ciascuna si è fatta viva l'ultima volta e se qualcuna tace da giorni. Poi aggiunga un secondo sguardo, indipendente: la rete. Sui segmenti che monitora, NetSenX osserva i comportamenti che la attraversano, come il beaconing verso un nuovo server esterno, le scansioni, le nuove sessioni tra host e gli invii insoliti, in ogni piano, Free compreso, che un host abbia o meno un agente.

Lo tratti come un incidente finché non ha una spiegazione. I nuovi account amministratore sono un modo frequente con cui gli attaccanti mantengono l'accesso, e spesso hanno nomi dall'aria normale, come una variante di un account di servizio o di supporto. Non lo cancelli subito: lo disattivi, annoti nome, momento della creazione e chi o che cosa lo ha creato, e salvi i log della directory e del sistema che lo mostrano prima che vengano sovrascritti. Poi chieda ai soggetti più ovvi, come il Suo fornitore IT o un produttore di software, se lo hanno creato loro. Se nessuno lo ha fatto, cerchi che cos'altro è cambiato nello stesso momento, reimposti da un dispositivo pulito le password degli altri amministratori e chiami il Suo fornitore di risposta agli incidenti. L'account in sé è una prova di identità che un sensore di rete non vede; NetSenX mostra se gli host usati in quel periodo hanno iniziato a scansionare o ad aprire nuove sessioni verso i server.

Prima di tutto, se si tratta di un'attività che conosce. Guardi orario, destinazione e volume e li confronti con il calendario dei backup, gli aggiornamenti software e qualsiasi sincronizzazione con un servizio cloud. Un backup noto va verso una destinazione nota a un orario fisso. Se la destinazione è nuova, il volume insolito o il server a quell'ora di solito tace, individui sul server stesso il processo responsabile, verifichi chi ha effettuato l'accesso poco prima e controlli nel log del firewall o del proxy da quanto tempo succede. Isoli il server da internet se il trasferimento continua e nessuno sa spiegarlo. NetSenX rileva i volumi di dati in uscita insoliti per host in ogni piano e conserva orario, destinazione e volume di ogni alert per la durata della cronologia del Suo piano; non vede quali file c'erano in un trasferimento cifrato.

Non necessariamente, ma vuol dire che qualcosa dietro quell'indirizzo si è comportato male, o è stato segnalato per questo. Le cause comuni sono una casella di posta o un dispositivo compromesso che invia spam, un computer infettato da malware che fa parte di una botnet, un servizio aperto sfruttato da altri, oppure un indirizzo che apparteneva a qualcun altro prima che il provider lo assegnasse a Lei. Verifichi di quale lista si tratta e quale motivo indica, controlli nei log del server di posta e del firewall eventuali invii o connessioni in uscita insoliti e cambi la password di ogni casella che ha inviato messaggi inattesi. Chieda la rimozione solo dopo aver eliminato la causa, altrimenti sarà inserito di nuovo. Una blocklist indica il Suo indirizzo pubblico, condiviso da molti dispositivi; NetSenX rileva beaconing e traffico in uscita insolito per host, in ogni piano, e La aiuta così a trovare il dispositivo.

È possibile, quindi verifichi invece di liquidare la cosa. Molti casi si spiegano con l'hardware: un mouse difettoso, un ricevitore wireless che capta un altro dispositivo, un touchpad che reagisce a una manica. L'altra spiegazione è il controllo remoto, da parte del Suo supporto IT o di qualcun altro con uno strumento di accesso remoto. Chieda all'IT se in quel momento qualcuno era collegato, controlli i programmi installati e gli strumenti di assistenza remota in esecuzione e verifichi se sono seguiti nuovi account, cambi di password o pagamenti. Se nessuno sa spiegarlo, scolleghi il computer dalla rete, lo lasci acceso e chiami il Suo fornitore di risposta agli incidenti. Gli strumenti di controllo remoto hanno bisogno di una connessione di rete, spesso verso un server relay del produttore, quindi il traffico si vede: NetSenX mostra le connessioni di quel computer e segnala come beaconing i contatti regolari con un nuovo server esterno, in ogni piano.

Osservi prima di agire, e poi agisca tutto in una volta. Un attaccante che si accorge di essere osservato può cancellare le prove, spostarsi su un'altra macchina o avviare prima la cifratura, quindi eviti passi rumorosi, come reimpostare la password dell'utente o lanciare una scansione completa, prima di avere un piano. Raccolga prima con discrezione ciò che può: la cronologia della console degli endpoint, i log del firewall e dei DNS e le connessioni che il computer stabilisce. Decida con il Suo fornitore di risposta agli incidenti quali account e host contenere, poi lo faccia insieme: isolare, reimpostare le credenziali da un dispositivo pulito e bloccare le destinazioni dell'attaccante nella stessa breve finestra. Lavori da un dispositivo pulito e non discuta l'incidente tramite una casella di posta che potrebbe essere compromessa. Un sensore NetSenX su una porta SPAN o un TAP osserva senza toccare il computer, e i suoi alert indicano destinazioni, orari e volumi di cui un piano di contenimento ha bisogno.