# Che aspetto ha in rete l'attività di Cobalt Strike?

Cobalt Strike è uno strumento commerciale per esercitazioni red team autorizzate che i criminali usano in modo massiccio, spesso in versioni craccate, per controllare macchine compromesse. In rete il suo impianto, chiamato beacon, contatta un team server a un intervallo configurato, di solito via HTTPS, a volte via DNS o tra host interni tramite SMB. I segnali comprendono connessioni regolari con variazione casuale verso una destinazione che nessun altro usa, impostazioni predefinite o appena modificate nelle richieste web e nei certificati, impronte del client TLS che corrispondono a quelle pubblicate per configurazioni note e connessioni SMB tra postazioni che di solito non comunicano. Molti operatori cambiano la configurazione proprio per evitare questi segnali, quindi il comportamento conta più degli indicatori. NetSenX rileva beaconing e movimento laterale in ogni piano e, dal piano Starter, confronta gli handshake TLS con le impronte di malware noti dove l'agente cattura i pacchetti, su Linux o come sensore SPAN/TAP.

FAQ: [Tecniche di attacco spiegate](https://netsenx.com/it/faq/attacks) · https://netsenx.com/it/faq/what-does-cobalt-strike-look-like-on-the-network

## Da leggere dopo

- https://netsenx.com/it/detect-lateral-movement-c2-beaconing
- https://netsenx.com/it/is-someone-inside-your-network

## Domande correlate

- [Una scansione interna delle porte è il segno di un intruso?](https://netsenx.com/it/faq/is-internal-port-scanning-a-sign-of-an-intruder)
- [Come capiamo se qualcuno sta tentando di indovinare password nella nostra rete interna?](https://netsenx.com/it/faq/how-to-know-if-someone-is-guessing-passwords-internally)
- [Come rileviamo grandi caricamenti da un server verso un archivio cloud?](https://netsenx.com/it/faq/how-to-detect-large-uploads-to-cloud-storage-from-a-server)
- [Che cos'è l'abuso di PsExec o delle condivisioni amministrative, e perché l'antivirus non lo segnala?](https://netsenx.com/it/faq/what-is-psexec-and-admin-share-abuse)
- [Gli attaccanti possono muoversi nella nostra rete con password rubate e senza malware?](https://netsenx.com/it/faq/can-attackers-move-with-stolen-passwords-and-no-malware)