# Zero trust, identità e segmentazione (FAQ)

> 45 domande su Zero trust, identità e segmentazione, in linguaggio semplice: cosa verificare, cosa mostra NetSenX e cosa un sensore non vede.

Source page: https://netsenx.com/it/faq/zero-trust

## Lo zero trust è realistico per una piccola azienda?

Come direzione sì, come prodotto da comprare no. Zero trust significa non fidarsi di una connessione solo perché arriva dall'interno della rete: ogni utente e ogni dispositivo dimostra chi è e riceve accesso solo a ciò che gli serve, verificato di continuo. Una piccola azienda va lontano con pochi passi: autenticazione a più fattori su ogni account esposto a internet, reti separate per ospiti, dispositivi IoT e server, diritti di amministratore solo dove servono e tramite account amministrativi separati, e una VPN o un gateway che raggiunga solo i sistemi usati da ciascun gruppo. Li faccia in quest'ordine; ogni passo è utile da solo. Il monitoraggio di rete verifica il risultato: NetSenX mostra quali host parlano davvero tra loro nei segmenti monitorati, su tutti i piani, così un percorso che non dovrebbe esistere diventa visibile.

https://netsenx.com/it/faq/is-zero-trust-realistic-for-a-small-business

## Come verifichiamo che la segmentazione della rete funzioni davvero?

La provi da entrambi i lati, poi osservi il traffico reale. Da un host che non dovrebbe entrare, provi a raggiungere il segmento protetto con un semplice test di connessione, e dall'interno del segmento protetto verifichi che cosa raggiunge verso l'esterno. Esamini le regole del firewall tra i segmenti cercando autorizzazioni troppo ampie, vecchie eccezioni e regole che nessuno sa spiegare. Poi osservi, perché le regole derivano: ogni richiesta di modifica, ogni nuova applicazione e ogni visita di un fornitore può aggiungere un'eccezione, e la vera prova sono le connessioni che attraversano davvero un confine. Ripeta il test dopo le modifiche alla rete e almeno una volta l'anno. NetSenX mostra sulla mappa di rete la comunicazione tra host nei segmenti monitorati e segnala come movimento laterale le nuove sessioni che non corrispondono al comportamento normale di un host, su tutti i piani, così un percorso inatteso tra segmenti è visibile alla prima volta che viene usato. Un percorso che esiste ma non viene mai usato resta invisibile a qualsiasi sensore passivo.

https://netsenx.com/it/faq/how-to-check-that-network-segmentation-works

## Che cosa significa in pratica «assume breach» (presumere la violazione)?

Significa pianificare come se un attaccante fosse già dentro, invece di contare solo sul tenerlo fuori. Il motivo è pratico: phishing, password rubate e accessi dei fornitori fanno sì che il perimetro venga superato prima o poi, quindi le domande diventano fin dove arriva un intruso e quanto in fretta lo si nota. In pratica: limitare ciò che ogni account e ogni host può raggiungere, separare gli account amministrativi da quelli di tutti i giorni, conservare log e tracce di rete abbastanza a lungo per indagare, tenere backup offline, osservare i movimenti all'interno della rete e provare che cosa farà quando arriva un avviso, compreso chi decide di scollegare una macchina. Il rilevamento dentro la rete ne fa parte: NetSenX osserva il traffico tra host per scansioni, movimento laterale e beaconing, su tutti i piani, così i passi di un intruso dopo l'ingresso diventano visibili.

https://netsenx.com/it/faq/what-does-assume-breach-mean

## Il controllo degli accessi alla rete (NAC) può sostituire il monitoraggio?

No, fanno lavori diversi. Il controllo degli accessi alla rete (NAC) decide quali dispositivi possono entrare nella rete e in quale segmento finiscono, spesso con 802.1X, certificati di dispositivo o un controllo del loro stato. Non osserva che cosa fa poi un dispositivo ammesso, e la maggior parte delle intrusioni usa dispositivi e account entrati legittimamente: un portatile colpito da phishing, l'account di un fornitore, una stampante con firmware vecchio. Se può, usi entrambi: il NAC per tenere fuori i dispositivi sconosciuti e mettere quelli noti al posto giusto, il monitoraggio per vedere quando un dispositivo noto inizia a comportarsi da intruso. In una piccola azienda il NAC può partire in modo semplice, con la sicurezza delle porte sugli switch e un Wi-Fi con certificati. NetSenX copre la parte di monitoraggio: rileva scansioni, movimento laterale e beaconing dai dispositivi ammessi su tutti i piani, e la sua mappa di rete mostra i dispositivi visti nei segmenti monitorati.

https://netsenx.com/it/faq/can-network-access-control-replace-monitoring

## Una VPN contraddice lo zero trust?

Una VPN classica sì, sotto un aspetto: una volta connesso, il dispositivo dell'utente di solito è dentro la rete con un accesso ampio, cioè nel modello «affidabile perché interno» da cui lo zero trust si allontana. Non significa che la VPN debba sparire domani. Può avvicinarla molto allo zero trust: richiedere l'autenticazione a più fattori, dare a ogni gruppo accesso solo ai sistemi che gli servono, verificare prima della connessione che il dispositivo sia un portatile aziendale gestito e aggiornato, e registrare ogni sessione. I prodotti di zero-trust network access (ZTNA) fanno il passo successivo e collegano l'utente a un'applicazione alla volta invece che alla rete. In ogni caso, dia per scontato che una sessione VPN possa essere abusata e osservi che cosa fa. Con un sensore su una porta SPAN o TAP dietro il gateway VPN, NetSenX rileva scansioni, movimento laterale e beaconing dai dispositivi degli utenti VPN, su tutti i piani.

https://netsenx.com/it/faq/does-a-vpn-contradict-zero-trust

## Che cos'è lo zero-trust network access (ZTNA)?

Lo ZTNA è un modo di dare agli utenti remoti accesso a singole applicazioni invece che all'intera rete. L'utente accede tramite un provider di identità, il servizio verifica l'utente, il dispositivo e spesso posizione e stato, e solo allora apre una connessione verso quell'unica applicazione; il resto della rete resta invisibile all'utente. Molti prodotti lo offrono come servizio cloud con un piccolo connettore dentro la Sua rete, così nulla deve restare in ascolto su internet. In una piccola azienda può sostituire la VPN per le applicazioni web e il desktop remoto, e rende più semplice dare a un fornitore accesso a un sistema senza aprirgli la rete. Non elimina la necessità di osservare l'interno: un server applicativo compromesso può ancora raggiungere i vicini. NetSenX non fornisce ZTNA; rileva movimento laterale e scansioni dagli host dei segmenti monitorati, su tutti i piani.

https://netsenx.com/it/faq/what-is-zero-trust-network-access-ztna

## Serve ancora un firewall se abbiamo zero trust o SASE?

Sì, nella maggior parte degli uffici. Il secure access service edge (SASE) sposta in un servizio cloud il filtro web, l'accesso remoto sicuro e alcune funzioni del firewall, e lo zero trust cambia il modo in cui si concede l'accesso, ma Le serve ancora qualcosa che blocchi le connessioni non richieste da internet verso l'ufficio, separi i segmenti di rete tra loro e controlli che cosa possono raggiungere i server e i dispositivi su cui non gira mai il client SASE. Stampanti, telecamere, macchine e molti server non hanno agente e li protegge solo la rete che li circonda. Il ruolo del firewall quindi si riduce senza scomparire: protezione in ingresso, segmentazione e regole in uscita per i dispositivi non gestiti. Tenga le sue regole brevi e revisionate. NetSenX non sostituisce un firewall né un servizio SASE e non blocca nulla. Osserva il traffico che attraversa i segmenti monitorati e rileva scansioni, movimento laterale, beaconing e volumi in uscita insoliti, su tutti i piani, il che Le dice quando uno dei due livelli viene aggirato.

https://netsenx.com/it/faq/is-a-firewall-still-needed-with-zero-trust-or-sase

## Come limitano il movimento laterale la segmentazione e il privilegio minimo?

Riducono ciò che un intruso può raggiungere dal primo dispositivo compromesso. Il movimento laterale consiste nel saltare da quel dispositivo ad altri, di solito tramite desktop remoto, cartelle condivise o strumenti di amministrazione e con password raccolte strada facendo. La segmentazione mette firewall o regole di accesso tra gruppi di sistemi, così un portatile d'ufficio compromesso non riesce nemmeno ad aprire una sessione verso il server del database o il sistema di backup. Il privilegio minimo fa sì che gli account trovati su quel portatile non possano accedere neppure ai server, perché gli utenti normali non sono amministratori locali ovunque e gli account amministrativi non si usano per la posta. Un elenco degli host autorizzati a usare protocolli amministrativi restringe ancora la falla. Niente di tutto ciò è perfetto, ed è per questo che va abbinato al rilevamento. NetSenX segnala come movimento laterale le nuove sessioni tra host su protocolli amministrativi che non corrispondono al comportamento normale di un host, su tutti i piani, e dal piano Pro le collega tra host in un'unica storia.

https://netsenx.com/it/faq/how-does-segmentation-limit-lateral-movement

## Da dove comincio a segmentare una rete d'ufficio piatta?

Dai sistemi la cui perdita farebbe più male e dai dispositivi di cui si fida meno. Un ordine pratico per una piccola azienda: ospiti e dispositivi personali su una rete propria con solo accesso a internet; stampanti, telecamere, schermi e altri dispositivi IoT su una rete dei dispositivi che non possa avviare connessioni verso i PC; server, soprattutto backup, file server e controller di dominio, su una rete server che i PC raggiungono solo sulle porte necessarie; e un percorso dedicato per l'amministrazione. Ogni passo è utile da solo, e la maggior parte degli switch gestiti e dei firewall lo consente con VLAN e regole. Prima di scrivere le regole, guardi chi parla davvero con chi, per non rompere una dipendenza dimenticata, come uno scanner che salva su una cartella condivisa. La mappa di rete di NetSenX mostra gli host dei segmenti monitorati e chi parla con chi, su tutti i piani, il che fornisce questa immagine di partenza e poi mostra se i nuovi confini reggono.

https://netsenx.com/it/faq/where-to-start-segmenting-a-flat-office-network

## Come separo IT e OT con VLAN e liste di accesso?

Usi le VLAN per separare le reti e un firewall, non solo le liste di accesso degli switch, per controllare ciò che passa tra loro. Metta controllori di produzione, HMI e server SCADA in VLAN dedicate, ponga un firewall tra loro e la rete d'ufficio e aggiunga una piccola DMZ per i sistemi che servono a entrambi i lati, come una copia dell'historian o un gateway di accesso remoto. Scriva le regole come lista di autorizzazioni: quale host d'ufficio può raggiungere quale host OT, su quale porta, e nient'altro; il resto va negato e registrato. Le liste di accesso degli switch servono per separazioni semplici dentro l'OT, ma non tengono traccia dello stato delle connessioni ed è facile sbagliare su larga scala. Pianifichi la modifica con il tecnico OT e in una finestra di manutenzione, perché una dipendenza trascurata può fermare una linea. Poi osservi il confine: dal piano Pro NetSenX segnala il traffico che attraversa i livelli della rete di stabilimento, da una porta SPAN o TAP, senza sondare alcun dispositivo OT.

https://netsenx.com/it/faq/how-to-segment-it-and-ot-with-vlans-and-acls

## Che cos'è la microsegmentazione e serve alle piccole aziende?

La microsegmentazione consiste nel controllare il traffico tra singoli server o carichi di lavoro, non solo tra zone della rete, così che due server nello stesso segmento non possano parlarsi se una regola non lo consente. Di solito si realizza con firewall sugli host, gruppi di sicurezza dell'hypervisor o del cloud, oppure un agente che applica la policy su ogni macchina. È molto efficace contro un intruso che passa da un server all'altro, e comune nei data center e nel cloud. La maggior parte delle piccole aziende ottiene prima di più con una segmentazione normale: reti separate per ospiti, dispositivi, utenti e server. Se gestisce molti server, la versione economica della microsegmentazione consiste nell'attivare il firewall di ciascun server e consentire solo le connessioni che gli servono. Qualunque cosa scelga, lasci che sia il traffico reale a guidare le regole. La mappa di rete di NetSenX mostra quali host parlano tra loro nei segmenti monitorati, su tutti i piani, e gli avvisi di movimento laterale mostrano le sessioni che non corrispondono al comportamento normale di un host.

https://netsenx.com/it/faq/what-is-microsegmentation

## Una VLAN è un confine di sicurezza?

Solo quando il traffico tra VLAN passa da un firewall o da regole di accesso che impongono qualcosa. Una VLAN da sola separa domini di broadcast su uno switch; se il router tra le VLAN lascia passare tutto, la separazione è di facciata, ed è una scoperta frequente nelle piccole reti. Porte di switch configurate male possono anche permettere a un attaccante di saltare tra VLAN, per esempio porte trunk lasciate aperte ai dispositivi degli utenti o la VLAN predefinita usata per tutto. Perché le VLAN contino: instradi tra loro tramite un firewall con lista di autorizzazioni, imposti le porte utente su un'unica VLAN di accesso, disattivi le porte inutilizzate e tenga le interfacce di gestione in una VLAN dedicata. Poi verifichi con il traffico reale che le regole reggano. NetSenX mostra le connessioni tra host nei segmenti monitorati e rileva scansioni e movimento laterale su tutti i piani, così un host che raggiunge un'altra VLAN dove non dovrebbe diventa visibile, purché quel traffico passi da un collegamento copiato.

https://netsenx.com/it/faq/is-a-vlan-a-security-boundary

## Come verifico che il Wi-Fi ospiti non raggiunga la nostra rete interna?

Si colleghi alla rete ospiti con un telefono o un portatile e provi a raggiungere i sistemi interni: apra l'indirizzo di un file server, la pagina web di una stampante, la pagina di amministrazione del router e il server dei nomi interno dell'ufficio. Sulla Sua rete, un semplice test di connessione o un ping verso gli intervalli di indirizzi interni mostra se qualcosa risponde. Poi controlli la configurazione: isolamento dei client attivo, rete ospiti in una VLAN propria o su una porta del router dedicata, solo accesso a internet e interfaccia di amministrazione del sistema Wi-Fi non raggiungibile da lì. Ripeta il controllo dopo ogni modifica al sistema Wi-Fi, perché aggiornamenti del firmware e nuovi access point possono reimpostare le configurazioni. Se il segmento ospiti è monitorato, NetSenX mostra i dispositivi ospiti sulla mappa di rete e segnala qualsiasi loro sessione verso host interni, oltre a scansioni o movimento laterale, su tutti i piani. Un dispositivo ospite che raggiunge un server interno compare come una connessione che non dovrebbe esistere.

https://netsenx.com/it/faq/how-to-check-guest-wifi-cannot-reach-the-internal-network

## Basta un Wi-Fi ospiti separato per la sicurezza?

È un buon primo passo, ma solo se è davvero separato e non è l'unica separazione che ha. Una rete ospiti con un nome proprio ma con lo stesso intervallo di indirizzi e senza regole verso l'ufficio non è affatto separata; verifichi che sia isolata e offra solo l'accesso a internet. Inoltre protegge solo dagli ospiti: i telefoni del personale, le smart TV e la macchina del caffè spesso finiscono invece sulla rete dell'ufficio. Metta i dispositivi personali e IoT sulla rete ospiti o su una rete dei dispositivi, tenga i portatili aziendali su una rete con autenticazione tramite certificato o per utente, cambi regolarmente la password ospiti e non lasci che la rete ospiti raggiunga le interfacce di amministrazione del Wi-Fi stesso. Poi lo confermi con il traffico reale. Se il segmento ospiti è monitorato, NetSenX ne elenca i dispositivi sulla mappa di rete e segnala qualsiasi loro connessione verso host interni, scansioni o movimento laterale, su tutti i piani.

https://netsenx.com/it/faq/is-a-separate-guest-wifi-enough

## Qualcuno può collegare un dispositivo a una presa di rete libera del nostro ufficio?

Nella maggior parte dei piccoli uffici sì: una presa attiva in una sala riunioni, alla reception o dietro una stampante dà a chiunque vi colleghi un dispositivo lo stesso accesso alla rete di un PC aziendale. Un piccolo computer nascosto lì può contattare il suo proprietario e fare da porta d'ingresso alla rete per mesi. La chiuda con misure semplici: disattivi le porte degli switch e le prese a muro non usate, metta sale riunioni e reception sulla rete ospiti, usi la sicurezza delle porte per consentire solo dispositivi noti su una porta, oppure 802.1X perché un dispositivo debba autenticarsi prima di ottenere qualsiasi accesso. Ogni tanto faccia un giro dell'ufficio e controlli gli switch alla ricerca di dispositivi sconosciuti. NetSenX aiuta a trovare ciò che è già entrato: la sua mappa di rete elenca i dispositivi visti nei segmenti monitorati, compresi quelli senza agente, su tutti i piani, e un dispositivo nascosto che chiama l'esterno a intervalli regolari viene segnalato come beaconing. Un dispositivo che resta in silenzio, o che si trova in un segmento non monitorato, non viene visto.

https://netsenx.com/it/faq/can-someone-plug-a-device-into-a-free-network-socket

## Che cos'è 802.1X e serve a un piccolo ufficio?

802.1X è uno standard che obbliga un dispositivo a dimostrare la propria identità prima che una porta dello switch o una rete Wi-Fi lo faccia entrare, di solito con un certificato o con nome utente e password verificati da un server di autenticazione. Un dispositivo che non supera la prova non ottiene accesso o finisce in una rete ospiti limitata. È il modo più efficace per impedire ai dispositivi sconosciuti di collegarsi semplicemente, e nel Wi-Fi sostituisce una password condivisa con credenziali per utente o per dispositivo, così l'accesso di chi se ne va può essere revocato singolarmente. Richiede switch e access point che lo supportino, un server di autenticazione, spesso incluso nei servizi di identità cloud o nei firewall, e un po' di attenzione con stampanti e dispositivi che non sanno autenticarsi. Molti piccoli uffici iniziano con 802.1X solo sul Wi-Fi e con la sicurezza delle porte sulle prese cablate. NetSenX non impone l'accesso alla rete; la sua mappa di rete mostra i dispositivi visti nei segmenti monitorati, su tutti i piani, il che aiuta a trovare quelli sfuggiti al Suo controllo degli accessi.

https://netsenx.com/it/faq/what-is-802-1x-and-does-a-small-office-need-it

## L'autenticazione a più fattori basta a impedire il furto degli account?

Ne ferma la maggior parte, ma non tutti. L'autenticazione a più fattori (MFA) blocca gli attacchi che si basano solo su una password rubata o indovinata, ed è per questo che la chiedono gli assicuratori e la NIS2 la elenca tra le sue misure. Gli attaccanti si sono adattati: usano pagine di accesso false che inoltrano il codice in tempo reale, rubano il cookie di sessione dopo l'accesso, inondano l'utente di richieste push finché una viene approvata, o convincono l'helpdesk a reimpostare un telefono. Alzi l'asticella: preferisca metodi resistenti al phishing come le passkey o le chiavi di sicurezza hardware, soprattutto per amministratori e amministrazione contabile; usi la corrispondenza dei numeri nelle notifiche push; limiti la durata delle sessioni; e faccia verificare l'identità all'helpdesk prima di reimpostare la MFA. Osservi i log di accesso per individuare gli accessi a rischio. Un sensore di rete non vede gli accessi. Ciò che NetSenX mostra è che cosa fa poi in rete il dispositivo di un account sottratto, come movimento laterale, scansioni o grandi caricamenti, su tutti i piani.

https://netsenx.com/it/faq/is-mfa-enough-to-stop-account-takeover

## Un'introduzione parziale della MFA conta per assicuratori e auditor?

Di solito non come «MFA in uso», e una risposta imprecisa in un modulo può creare problemi in seguito. I questionari assicurativi e gli auditor chiedono in genere dove la MFA è imposta: posta, accesso remoto, applicazioni cloud, account amministrativi e backup. Se la MFA copre la posta ma non la VPN, o gli utenti ma non gli amministratori, lo scriva con precisione, perché l'istruttoria di un sinistro lo verificherà. Chiuda prima le lacune che gli attaccanti sfruttano di più: accesso remoto, posta, account amministrativi e console dei backup, poi le restanti applicazioni cloud. Rimuova le eccezioni non più necessarie e documenti quelle che mantiene, con un motivo e una data di scadenza. Gli account di servizio che non possono usare la MFA vanno limitati a origini note e osservati al suo posto. NetSenX non verifica la copertura della MFA; la riporta il Suo provider di identità. NetSenX aggiunge alle prove la parte di rete: uno storico degli avvisi con marca temporale per i segmenti monitorati, conservato per il periodo di conservazione del Suo piano.

https://netsenx.com/it/faq/does-a-partial-mfa-rollout-count

## Quali metodi MFA resistono al phishing?

Le passkey e le chiavi di sicurezza hardware basate sullo standard FIDO2, e le smart card con certificati. Resistono al phishing perché la chiave verifica l'indirizzo web con cui sta dialogando e non risponde a un sito falso, quindi non c'è alcun codice che l'utente possa digitare nel posto sbagliato. Le app di autenticazione con corrispondenza dei numeri sono una buona seconda scelta; i codici via SMS e le semplici notifiche push «approva o rifiuta» sono i più deboli, perché una pagina falsa convincente o un utente stanco possono consegnarli. Cominci dagli account che contano di più: amministratori, amministrazione contabile, direzione e chiunque abbia accesso ai backup o ai dati dei clienti. Tenga una chiave di riserva per persona e una procedura di recupero documentata, così una chiave persa non porta a una reimpostazione frettolosa e insicura. La MFA risiede nel Suo provider di identità, non nella rete. NetSenX non vede gli accessi; mostra che cosa fanno i dispositivi nei segmenti monitorati dopo l'uso di qualsiasi account.

https://netsenx.com/it/faq/which-mfa-methods-resist-phishing

## Che cos'è la MFA fatigue, o push bombing?

È un attacco in cui qualcuno che conosce già la password di un utente lancia un accesso dopo l'altro, così il telefono dell'utente si riempie di richieste di approvazione, spesso di notte, finché l'utente tocca «approva» per farle smettere. A volte l'attaccante telefona o scrive anche all'utente fingendosi l'IT. Funziona contro le semplici notifiche push «approva o rifiuta». Le difese stanno dal lato dell'identità: attivi la corrispondenza dei numeri, così l'utente deve digitare un numero mostrato sulla schermata di accesso; mostri luogo e applicazione nella notifica; limiti il numero di richieste al minuto; generi un avviso in caso di rifiuti ripetuti; e spieghi al personale che una richiesta inattesa significa che qualcuno conosce la sua password, quindi va rifiutata e va chiamato l'IT. Meglio ancora, passi gli account chiave a passkey o chiavi hardware. Un sensore di rete non vede queste richieste. NetSenX mostra che cosa succede se un attaccante entra: sessioni insolite, scansioni o caricamenti dal dispositivo dell'utente nei segmenti monitorati, su tutti i piani.

https://netsenx.com/it/faq/what-is-mfa-fatigue-or-push-bombing

## Chi ha diritti di amministratore nella nostra azienda e come lo verifichiamo?

Di solito più persone e account di quanto chiunque pensi, quindi costruisca l'elenco dai sistemi stessi, non a memoria. Controlli i gruppi di amministratori nella directory o nel provider di identità cloud, gli amministratori locali su PC e server, i ruoli amministrativi in ogni applicazione cloud come posta, contabilità e condivisione di file, gli account amministrativi di firewall, switch, Wi-Fi e backup, e gli account usati dal Suo fornitore IT. Cerchi ex dipendenti, account condivisi, account inattivi da mesi e account di servizio con diritti di amministratore. Poi riduca: rimuova ciò che non serve a nessuno, dia agli amministratori un account amministrativo separato, richieda per tutti una MFA resistente al phishing e ripeta la revisione ogni trimestre e a ogni uscita. È lavoro sull'identità, e un sensore di rete non può elencare i diritti di amministratore. NetSenX aiuta dall'altro lato: segnala come movimento laterale l'uso di protocolli amministrativi tra host che non corrisponde al loro comportamento normale, su tutti i piani.

https://netsenx.com/it/faq/how-to-find-out-who-has-admin-rights

## Che cosa significa in pratica il privilegio minimo?

Significa che ogni persona, account e sistema riceve solo l'accesso che gli serve per il suo lavoro, per il tempo in cui gli serve, e niente di più. In pratica, in una piccola azienda: il personale non è amministratore locale del proprio PC; gli amministratori usano un account amministrativo separato per le attività di amministrazione e uno normale per posta e navigazione; le cartelle condivise sono aperte ai team che le usano, non a tutti; i fornitori ottengono l'accesso ai sistemi che seguono, attivato quando serve; gli account di servizio hanno solo i diritti necessari alla loro applicazione; e gli accessi vengono rivisti quando qualcuno cambia ruolo o se ne va. Il vantaggio è che una password rubata o un portatile infetto arrivano molto meno lontano. Riduce anche il rumore: un accesso insolito risalta di più quando l'accesso normale è ristretto. NetSenX osserva il lato di rete di tutto questo: segnala come movimento laterale le nuove sessioni tra host che non corrispondono al loro comportamento normale, su tutti i piani, e spesso rivela accessi che nessuno intendeva concedere.

https://netsenx.com/it/faq/what-is-least-privilege-in-practice

## Anche gli account di servizio e i token API vanno monitorati?

Sì, e spesso sono gli account meno sorvegliati dell'azienda. Gli account di servizio eseguono backup, scansioni, integrazioni e attività pianificate, spesso con diritti ampi, password che non cambiano mai e senza autenticazione a più fattori. Token e chiavi API dei servizi cloud stanno in script, file di configurazione e repository di codice, dove un attaccante che ne trova uno può usarlo da qualsiasi luogo. Tenga un inventario con un responsabile per ciascuno, dia loro solo i diritti necessari, conservi i segreti in un vault invece che in file, li ruoti secondo un calendario e subito quando se ne va qualcuno che vi aveva accesso, limiti da dove possono essere usati e generi un avviso quando uno viene usato da un luogo o in un orario insolito; lo mostrano i log di identità e del cloud. In rete un account di servizio viene sempre usato da un host: NetSenX segnala quell'host quando avvia nuove sessioni verso altri host, esegue scansioni o carica volumi insoliti, su tutti i piani. Il token in sé, dentro il traffico cifrato, non lo vede.

https://netsenx.com/it/faq/do-service-accounts-and-api-tokens-need-monitoring

## Gli account amministrativi condivisi sono un problema, e che cosa usare al loro posto?

Sì. Quando più persone usano un unico account amministrativo, poi nessuno sa dire chi ha fatto che cosa, la password viene cambiata di rado quando qualcuno se ne va e l'autenticazione a più fattori è difficile da legare a una persona, così l'account spesso ne resta privo. Dia a ogni amministratore, compreso il personale del Suo fornitore IT, un account amministrativo nominativo con MFA resistente al phishing, e rimuova o disattivi quello condiviso. Dove un account integrato non si può rimuovere, come l'amministratore locale sui PC o l'account di emergenza di un firewall, dia a ogni macchina una password casuale unica gestita da uno strumento, conservi sigillate le credenziali di emergenza e generi un avviso quando vengono usate. Registri le azioni amministrative per persona e riveda ogni trimestre l'elenco degli account amministrativi. Un sensore di rete non può dire quale persona ha usato un account. NetSenX mostra da quale host partono le sessioni amministrative e segnala come movimento laterale quelle che non corrispondono al comportamento normale di un host, su tutti i piani, così un account condiviso usato da una macchina insolita si nota.

https://netsenx.com/it/faq/how-to-handle-shared-admin-accounts

## I password manager sono sicuri per un'azienda?

Sì, per la maggior parte delle aziende sono molto più sicuri delle alternative: password riutilizzate, fogli di calcolo e foglietti adesivi. Un buon password manager aziendale permette a ciascuno di usare password lunghe e uniche, condivide le credenziali del team senza inviarle per e-mail e revoca l'accesso di chi se ne va in un solo passaggio. Il vault diventa prezioso, quindi lo protegga: richieda per esso una MFA resistente al phishing, scelga un fornitore che cifri il vault in modo da non poterne leggere il contenuto, verifichi dove sono conservati i dati, blocchi l'accesso al vault da dispositivi non gestiti se il prodotto lo consente e documenti la procedura di recupero. Non conservi le credenziali amministrative del password manager soltanto al suo interno. Un password manager da solo non ferma il phishing, anche se aiuta, perché non inserisce una password in un sito falso. NetSenX non vede password né vault; osserva che cosa fanno i dispositivi in rete.

https://netsenx.com/it/faq/are-password-managers-safe-for-a-company

## Che cosa rende buona una policy aziendale sulle password?

Lunghezza, unicità e autenticazione a più fattori, invece di regole di complessità e cambi mensili obbligatori. Le linee guida del NIST sull'identità digitale (SP 800-63B) privilegiano le password lunghe, il confronto delle nuove password con elenchi di password già trapelate e il cambio quando ci sono prove di compromissione, non secondo un calendario fisso, perché i cambi periodici forzati spingono le persone verso schemi prevedibili. In pratica: una lunghezza minima che consenta le passphrase, nessun riutilizzo tra sistemi, un password manager per tutti, il blocco delle password trapelate e comuni, il blocco o il rallentamento dopo errori ripetuti e la MFA su tutto ciò che è esposto a internet. Gli account amministrativi e di servizio meritano password più lunghe, generate casualmente e conservate in un vault. Spieghi i motivi al personale; una policy che si capisce viene seguita di più. NetSenX non impone password. In rete segnala come brute force i tentativi di accesso ripetuti contro gli host monitorati, su tutti i piani, il che mostra quando qualcuno sta provando a indovinare.

https://netsenx.com/it/faq/what-makes-a-good-company-password-policy

## Che cos'è il single sign-on (SSO) e migliora la sicurezza?

Il single sign-on (SSO) permette di accedere una volta con un account aziendale presso un provider di identità e poi usare molte applicazioni senza password separate, di solito tramite gli standard SAML o OpenID Connect. Se ben realizzato migliora la sicurezza: meno password da riutilizzare o rubare, un solo punto in cui imporre la MFA e le regole sui dispositivi, un solo punto in cui vedere gli accessi e un solo interruttore da spegnere quando qualcuno se ne va, che chiude in un colpo l'accesso a tutte le applicazioni collegate. Il rovescio della medaglia è la concentrazione: il provider di identità diventa la chiave di tutto, quindi ne protegga gli account amministrativi con una MFA resistente al phishing, conservi sigillato un account di emergenza e osservi i suoi log di accesso. Le applicazioni fuori dallo SSO mantengono password proprie; le elenchi perché le uscite del personale non le dimentichino. Lo SSO è infrastruttura di identità, non monitoraggio di rete, e NetSenX non vede gli accessi. Mostra che cosa fanno i dispositivi in rete dopo che qualcuno ha effettuato l'accesso.

https://netsenx.com/it/faq/what-is-single-sign-on-and-does-it-improve-security

## Come monitoriamo l'accesso remoto di uno studio commercialista esterno ai nostri PC?

Prima renda l'accesso ristretto e visibile, poi lo osservi. Concordi per iscritto quali PC possono raggiungere i contabili, con quale strumento, in quali orari e con quali account, idealmente un account nominativo per persona con autenticazione a più fattori. Preferisca uno strumento di accesso remoto che controlla Lei, con registrazione delle sessioni, a uno installato dal commercialista; lo attivi per la finestra di chiusura mensile e poi lo disattivi. Tenga i PC dell'amministrazione in un segmento che non può raggiungere il resto della rete. Chieda allo studio come protegge i propri sistemi, perché la loro compromissione diventa la Sua. Poi osservi lo schema: le sessioni remote compaiono in rete come connessioni da un indirizzo esterno verso host interni precisi in orari precisi. NetSenX mostra queste connessioni e, se una sessione inizia a raggiungere altri host interni, segnala movimento laterale, su tutti i piani; i collegamenti regolari di uno strumento remoto fuori dalla finestra concordata compaiono come beaconing. NetSenX non gestisce chi ha accesso.

https://netsenx.com/it/faq/how-to-monitor-an-external-accountants-remote-access

## Che cosa succede se il nostro fornitore IT esterno o il nostro commercialista viene violato?

Il suo accesso diventa l'accesso dell'attaccante. Un fornitore IT di solito ha diritti di amministratore sui Suoi server, strumenti di gestione remota su ogni PC e password dei Suoi account cloud; uno studio commercialista può avere accesso remoto ai PC dell'amministrazione e all'home banking. Gli attaccanti lo sanno, e alcuni grandi incidenti si sono propagati da un fornitore di servizi a molti dei suoi clienti. Si prepari prima che accada: elenchi ogni fornitore con accesso e ciò che raggiunge, richieda account nominativi con autenticazione a più fattori, limiti i suoi strumenti ai sistemi che segue, chieda come protegge il proprio ambiente e come La informerà di un incidente, e scriva questi obblighi nel contratto, cosa che la NIS2 si aspetta anche nell'ambito della sicurezza della catena di approvvigionamento. Stabilisca come ne interromperebbe l'accesso in un'emergenza. NetSenX mostra le connessioni del fornitore verso la Sua rete e rileva movimento laterale, scansioni, beaconing e volumi in uscita insoliti dagli host che usa, su tutti i piani. Non monitora i sistemi del fornitore stesso.

https://netsenx.com/it/faq/what-happens-if-our-outsourced-it-or-bookkeeper-is-hacked

## Come trovo i vecchi strumenti di accesso remoto lasciati dai fornitori sui nostri server?

Unendo l'inventario software e il traffico di rete. Su ogni server elenchi i programmi installati e i servizi in esecuzione e cerchi strumenti di desktop remoto e di assistenza remota, client VPN e agenti di piattaforme di gestione remota; chieda a ogni fornitore quali strumenti ha installato, quando e se li usa ancora. In rete cerchi ciò che questi strumenti fanno anche a riposo: collegamenti regolari ai server di inoltro del produttore, o connessioni da un indirizzo cloud che nessuno dalla Sua parte sa spiegare. Rimuova ciò che non serve più, metta ciò che serve dietro un Suo percorso di accesso controllato e cambi le password che il fornitore conosceva. NetSenX segnala i collegamenti regolari come beaconing su tutti i piani e inserisce le destinazioni esterne su server cloud noleggiati nella sua coda di revisione, dove Lei le conferma, le segna come sospette o le rimanda a dopo. Quando sul server gira l'agente, l'avviso indica anche il programma locale.

https://netsenx.com/it/faq/how-to-find-old-remote-access-tools-suppliers-left-on-servers

## Come controlliamo e monitoriamo l'accesso dei fornitori esterni alla nostra rete?

Con un unico percorso controllato, account nominativi e una traccia di ogni sessione. Tenga un registro dei fornitori con accesso: chi sono, quali sistemi raggiungono, con quale strumento e in base a quale contratto. Faccia passare tutti gli accessi dei fornitori da un gateway, una VPN o un bastion host di Sua proprietà, con autenticazione a più fattori e un account personale per ogni tecnico; attivi l'accesso per finestre concordate e poi lo disattivi; registri o videoregistri le sessioni. Riveda il registro ogni trimestre e rimuova gli accessi non più usati. Chieda ai fornitori di informarLa degli incidenti dalla loro parte e verifichi di poter interrompere rapidamente il loro accesso. In rete le sessioni dei fornitori dovrebbero allora partire solo da quell'unico percorso. NetSenX mostra le connessioni, rileva movimento laterale e scansioni dagli host usati dai fornitori, su tutti i piani, e inserisce le destinazioni esterne su server cloud noleggiati nella sua coda di revisione, così uno strumento che aggira il Suo percorso diventa visibile.

https://netsenx.com/it/faq/how-to-monitor-third-party-vendor-access

## Che cosa significa in pratica la sicurezza della catena di approvvigionamento NIS2 per una piccola azienda?

Significa gestire i rischi di cybersicurezza che arrivano da fornitori e prestatori di servizi come parte della propria gestione del rischio. La direttiva (UE) 2022/2555 elenca la sicurezza della catena di approvvigionamento tra le misure del suo articolo 21, compresa la sicurezza dei rapporti con fornitori e prestatori di servizi diretti. In pratica, per un soggetto che rientra nell'ambito: sapere quali fornitori hanno accesso ai Suoi sistemi o dati, valutare quanto è critico ciascuno, richiedere nei contratti misure di sicurezza di base e la notifica degli incidenti, limitare e controllare il loro accesso e rivedere tutto questo regolarmente. Se fornisce un soggetto rientrante nella NIS2, si aspetti richieste di prove simili anche se la NIS2 non La riguarda direttamente. I recepimenti nazionali possono aggiungere dettagli, quindi verifichi la legge del Suo Paese. NetSenX non valuta i fornitori. Mostra che cosa fa il loro accesso nella Sua rete monitorata: connessioni, movimento laterale, scansioni e beaconing dagli host che usano, su tutti i piani.

https://netsenx.com/it/faq/what-is-nis2-supply-chain-security-for-a-small-company

## Come ci accorgeremmo che il dispositivo di un ex dipendente si collega ancora?

Soprattutto tramite gli account, in parte tramite la rete. Sul lato identità: disattivi gli account della persona l'ultimo giorno, revochi i certificati VPN e le sessioni delle applicazioni, rimuova i suoi dispositivi dalla gestione dei dispositivi, cambi le password condivise che conosceva e controlli le regole di inoltro della posta e i dispositivi personali registrati per la MFA. Poi osservi i log di accesso di quell'account e generi un avviso a ogni utilizzo. Sul lato rete, un dispositivo che ha ancora accesso, per esempio un telefono personale con la password del Wi-Fi dell'ufficio o un PC di casa con un profilo VPN salvato, compare quando si collega: la mappa di rete di NetSenX elenca i dispositivi visti nei segmenti monitorati con prima e ultima comparsa, su tutti i piani, così un dispositivo che credeva sparito ricompare, e la vista VPN elenca tunnel e sessioni del gateway. Cambi la password del Wi-Fi, o meglio usi credenziali Wi-Fi per utente, perché i dispositivi di chi se n'è andato non possano rientrare. NetSenX osserva dispositivi, non persone, e non segue un ex dipendente.

https://netsenx.com/it/faq/how-would-we-notice-an-ex-employees-device-still-connecting

## Come capiamo se viene usata una password rubata?

Soprattutto dai log di accesso, perché registrano chi ha effettuato l'accesso, da dove e come. Cerchi accessi da nuovi Paesi, da dispositivi sconosciuti o da provider di hosting, accessi riusciti subito dopo molti falliti, nuovi metodi MFA registrati, nuove regole di inoltro della posta e accessi ad applicazioni che la persona non usa mai. La maggior parte dei provider di identità e delle suite di produttività in cloud sa segnalare gli accessi a rischio; lo attivi e si assicuri che qualcuno legga gli avvisi. Consulti i servizi pubblici di notifica delle violazioni per il dominio aziendale e agisca sulle loro segnalazioni reimpostando la password e verificando se era riutilizzata. La rete mostra l'altra metà: che cosa fa l'attaccante con l'account. NetSenX rileva movimento laterale, scansioni, beaconing e caricamenti insoliti dai dispositivi dei segmenti monitorati, su tutti i piani, ed è spesso così che il furto di un account diventa visibile dentro l'azienda. Non vede l'accesso in sé e non legge le password.

https://netsenx.com/it/faq/how-to-detect-a-stolen-password-being-used

## Gli amministratori dovrebbero usare account separati per il lavoro amministrativo?

Sì. Un amministratore che legge la posta e naviga sul web con un account amministrativo espone le chiavi di tutto a ogni messaggio di phishing e a ogni sito malevolo. Con un account amministrativo separato, usato solo per le attività di amministrazione e mai per la posta o la navigazione, un account di tutti i giorni compromesso fa guadagnare all'attaccante molto meno. Vada oltre dove può: richieda una MFA resistente al phishing sugli account amministrativi, li usi solo da una postazione di amministrazione dedicata o da un bastion host, dia a ogni account amministrativo solo i diritti sui sistemi che gestisce e disattivi gli account amministrativi inutilizzati da mesi. Vale anche per il personale del Suo fornitore IT. È igiene dell'identità che uno strumento di rete non può imporre. Rende però il monitoraggio più preciso: quando le sessioni amministrative sono attese solo da una postazione o da un bastion host, NetSenX segnala come movimento laterale i protocolli amministrativi usati da altri host, su tutti i piani.

https://netsenx.com/it/faq/should-admins-use-separate-accounts-for-admin-work

## Che cos'è la gestione degli accessi privilegiati (PAM) e ci serve?

La gestione degli accessi privilegiati (PAM) è un insieme di strumenti e pratiche per controllare gli account più potenti: amministratori, root, account di servizio e account di emergenza. Le funzioni tipiche sono un vault che conserva e ruota le password amministrative, il prestito delle credenziali per un tempo limitato, la registrazione delle sessioni, l'approvazione prima dell'accesso e diritti «just in time» che esistono solo per la durata di un'attività. I prodotti PAM completi si adattano ad aziende più grandi e ad ambienti regolamentati. Una piccola azienda può coprire l'essenziale senza: un inventario degli account privilegiati, account amministrativi separati con MFA resistente al phishing, password di amministratore locale uniche gestite da uno strumento, un bastion host per l'amministrazione remota e una revisione trimestrale. Scelga un prodotto PAM quando il numero di amministratori, di fornitori o le richieste di audit rendono inaffidabile questo lavoro manuale. NetSenX non è uno strumento PAM. Lo completa mostrando dove avvengono in rete le sessioni privilegiate e segnalando come movimento laterale quelle che non corrispondono al comportamento normale di un host, su tutti i piani.

https://netsenx.com/it/faq/what-is-privileged-access-management

## Il monitoraggio di rete vede gli attacchi agli account e alla directory?

In parte, e NetSenX meno di quanto ci si potrebbe aspettare. Molti attacchi all'identità avvengono dentro i sistemi di accesso: password spraying contro account cloud, phishing dei codici MFA, furto di token di sessione e abuso dei permessi della directory. Lasciano tracce nei log del provider di identità, della directory e del cloud, non nella rete dell'ufficio, quindi a individuarli sono gli strumenti che leggono quei log, come il rilevamento dei rischi del provider di identità, un EDR o un SIEM. Alcuni attacchi alla directory attraversano invece la rete, per esempio una postazione che all'improvviso chiede molti ticket di servizio al controller di dominio, e strumenti specializzati osservano quei protocolli. NetSenX non genera avvisi sugli eventi di identità. Ciò che vede è il comportamento dei dispositivi attorno: i tentativi di accesso ripetuti contro gli host monitorati come brute force, e il movimento laterale, le scansioni e il beaconing che seguono la compromissione di un account, su tutti i piani. Lo usi accanto ai log di identità, non al loro posto.

https://netsenx.com/it/faq/can-network-monitoring-see-identity-attacks

## La NIS2 richiede lo zero trust?

No, la NIS2 non nomina lo zero trust, ma diverse delle misure che richiede vanno nella stessa direzione. L'articolo 21 della direttiva (UE) 2022/2555 chiede ai soggetti che rientrano nell'ambito misure basate sul rischio che comprendono, tra l'altro, politiche di controllo degli accessi, gestione degli attivi, uso dell'autenticazione a più fattori o dell'autenticazione continua, comunicazioni protette e sicurezza della catena di approvvigionamento. Le pratiche zero trust, come verificare ogni utente e dispositivo, concedere il privilegio minimo e segmentare la rete, sono un modo pratico di attuare quelle misure, ma la direttiva lascia a Lei la scelta del metodo, e recepimenti e linee guida nazionali possono aggiungere dettagli; verifichi la legge del Suo Paese. Gli auditor cercano un'analisi dei rischi documentata, misure coerenti con essa e prove che funzionino. NetSenX fornisce prove sul lato della rete: quali host parlano tra loro nei segmenti monitorati e avvisi di movimento laterale, scansioni e beaconing, su tutti i piani. Non La rende conforme.

https://netsenx.com/it/faq/does-nis2-require-zero-trust

## Come limitiamo ciò che un portatile compromesso può raggiungere?

Dia per scontato che un portatile verrà compromesso e decida in anticipo quanto poco debba poter toccare. I portatili normali raramente hanno bisogno di parlarsi, quindi blocchi il traffico tra portatili con il firewall del client o le impostazioni degli switch; lasci che raggiungano i server solo sulle porte usate dalle loro applicazioni; tenga fuori dalla loro portata backup, interfacce di gestione e percorsi amministrativi del controller di dominio; e si assicuri che l'utente non sia amministratore locale, così un malware non può facilmente disattivare la protezione o raccogliere le password di altri account. Sulla VPN dia a ogni gruppo accesso solo a ciò che gli serve. Poi verifichi il risultato con il traffico reale, perché un insieme di regole sulla carta spesso ha delle falle. NetSenX mostra quali host parlano tra loro nei segmenti monitorati e segnala come movimento laterale le nuove sessioni tra host che non corrispondono al comportamento normale di un portatile, insieme a scansioni e beaconing, su tutti i piani, così vede dove potrebbe ancora arrivare un portatile compromesso.

https://netsenx.com/it/faq/how-to-limit-what-a-compromised-laptop-can-reach

## I nostri server dovrebbero potersi collegare a qualsiasi indirizzo su internet?

No. La maggior parte dei server ha bisogno di un breve elenco di destinazioni in uscita, come i server degli aggiornamenti, una destinazione di backup e pochi servizi di partner, e di nient'altro. Un accesso in uscita senza restrizioni è ciò che permette a un malware su un server di contattare il suo server di comando, scaricare strumenti e caricare dati rubati. Lo limiti con il filtraggio del traffico in uscita sul firewall: consenta le destinazioni di cui ha bisogno ciascun server, faccia passare l'accesso web da un proxy se ne ha uno, e neghi e registri il resto. Cominci per qualche settimana in modalità di sola registrazione per scoprire che cosa usano davvero i server, poi restringa. Le regole basate sui domini sono più facili da mantenere degli elenchi di indirizzi, perché i servizi cloud cambiano indirizzo. Lo stesso vale per stampanti, telecamere e dispositivi OT. NetSenX mostra a quali destinazioni esterne si collegano gli host monitorati, rileva beaconing e volumi in uscita insoliti su tutti i piani e inserisce le destinazioni su server cloud noleggiati nella sua coda di revisione, il che Le dà l'elenco necessario per scrivere le regole.

https://netsenx.com/it/faq/should-servers-be-allowed-to-browse-the-internet

## Come scriviamo regole di segmentazione senza rompere nulla?

Basandole sul traffico osservato, introducendole per gradi e tenendo una via di ritorno. Prima registri per qualche settimana chi parla davvero con chi, comprese le attività che girano di rado: backup, buste paga, report di fine mese, lo scanner che salva su una cartella condivisa. Su questa base prepari le regole di autorizzazione, le riveda con il responsabile di ciascun sistema e decida quali connessioni osservate non dovrebbero esistere affatto. Poi imposti il firewall perché registri ciò che le nuove regole bloccherebbero, senza bloccare, ed esamini ogni occorrenza. Solo allora applichi le regole, un segmento alla volta, con un piano di ripristino e qualcuno a disposizione. Tenga documentato l'insieme delle regole, con un motivo e un responsabile per ciascuna. La mappa di rete di NetSenX mostra la comunicazione tra host nei segmenti monitorati, su tutti i piani, cioè l'immagine del traffico osservato di cui questo metodo ha bisogno, e i suoi avvisi di movimento laterale mostrano poi le sessioni che non corrispondono alla nuova normalità.

https://netsenx.com/it/faq/how-to-build-allow-rules-from-real-traffic

## Una DMZ è ancora utile per una piccola azienda?

Sì, ogni volta che ospita qualcosa che internet o un'altra rete non fidata deve raggiungere. Una zona demilitarizzata (DMZ) è un segmento di rete separato tra l'esterno e la rete interna, dove si collocano i sistemi che devono accettare connessioni dall'esterno, come un server web, un relay di posta, un gateway di accesso remoto o un server per il trasferimento di file. Se uno di essi viene compromesso, l'attaccante si trova nella DMZ, e le regole del firewall gli impediscono di aprire connessioni verso la rete interna. La stessa idea separa negli stabilimenti la rete d'ufficio da quella di produzione. Molte piccole aziende non ospitano più servizi pubblici in proprio, e allora la DMZ è piccola o superflua; ma nel momento in cui inoltra una porta verso un server interno, ha un problema di DMZ senza DMZ. Tenga gli host della DMZ aggiornati e minimali, e consenta verso l'interno solo le connessioni specifiche di cui hanno bisogno. In un segmento monitorato, NetSenX rileva movimento laterale e scansioni da un host della DMZ verso host interni, su tutti i piani.

https://netsenx.com/it/faq/is-a-dmz-still-useful

## Si può segmentare la rete di un piccolo ufficio senza comprare nuovo hardware?

Spesso sì, almeno in parte. Controlli che cosa ha già: molti router e firewall professionali supportano VLAN e regole tra di esse, molti switch gestiti anche, e la maggior parte dei sistemi Wi-Fi può far funzionare una rete ospiti separata con isolamento dei client. Se i Suoi switch non sono gestiti, cominci da ciò che non li richiede: un Wi-Fi ospiti isolato per visitatori e dispositivi personali, il firewall di ogni PC e server impostato per consentire solo il necessario, il traffico tra portatili bloccato e le cartelle condivise limitate ai gruppi che le usano. Sostituisca gradualmente gli switch non gestiti, partendo da dove si trovano server e backup. Annoti che cosa ha separato e perché, così la persona successiva non lo annullerà. Poi verifichi con il traffico reale che funzioni. NetSenX mostra quali host parlano tra loro nei segmenti monitorati, su tutti i piani; un agente su una porta SPAN o TAP, che richiede uno switch in grado di copiare il traffico o un TAP, conta come un solo dispositivo per quel segmento.

https://netsenx.com/it/faq/how-to-segment-a-small-office-without-new-hardware

## Come proteggiamo il nostro controller di dominio o server di directory?

Lo tratti come il sistema più prezioso che ha, perché chi lo controlla controlla ogni account. Limiti chi può accedervi: solo pochi account amministrativi nominativi con MFA resistente al phishing, usati da una postazione di amministrazione dedicata e mai per la posta o la navigazione. Lo tenga aggiornato, non vi esegua nient'altro, blocchi il suo accesso a internet salvo ciò che gli serve e lasci che i PC normali lo raggiungano solo sulle porte richieste dall'autenticazione, non per il desktop remoto né per le condivisioni amministrative. Conservi un backup offline e collaudato della directory e un piano di ripristino documentato, perché ricostruire una directory sotto pressione è difficile. Riveda regolarmente l'appartenenza ai gruppi di amministratori e osservi i log di sicurezza della directory con uno strumento che li legga. In rete, NetSenX segnala come movimento laterale le nuove sessioni verso il controller di dominio che non corrispondono al comportamento normale di un host, come un PC del marketing che apre una sessione remota di notte, su tutti i piani. Non legge i log della directory.

https://netsenx.com/it/faq/how-to-protect-the-domain-controller

## Zero trust significa sorvegliare i dipendenti?

No. Lo zero trust consiste nel non concedere accesso sulla sola fiducia: ogni dispositivo e ogni account dimostra chi è, riceve solo ciò che gli serve e il suo accesso viene verificato di continuo. Riguarda dispositivi, account e connessioni, non il lavoro delle persone, e non richiede di leggere i contenuti di nessuno. Comporta però delle registrazioni, per esempio di accessi, stato dei dispositivi e connessioni di rete, quindi sia trasparente: spieghi al personale che cosa viene registrato, perché e per quanto tempo, coinvolga le rappresentanze dei lavoratori se presenti e svolga una valutazione d'impatto sulla protezione dei dati quando la legge la richiede. Mantenga i dati al minimo e la finalità limitata alla sicurezza. NetSenX è costruito così: osserva dispositivi e connessioni, non persone, analizza i metadati delle connessioni per rilevare attacchi, non decifra mai il traffico e non valuta né classifica i dipendenti. I suoi avvisi indicano host e indirizzi; quando un avviso richiede il contesto di una persona, quel passaggio resta nel Suo processo.

https://netsenx.com/it/faq/does-zero-trust-mean-monitoring-employees

FAQ: https://netsenx.com/it/faq