Funzionalità di NetSenX
Che cosa fa NetSenX nella Sua rete e come può verificarlo
NetSenX osserva come si comportano gli host della Sua rete, genera un avviso quando quel comportamento somiglia a un attacco e spiega ogni avviso in un linguaggio semplice. I risultati del rilevamento passano attraverso un livello conforme che indica la confidenza che li accompagna, e ogni versione del modello viene registrata. Di seguito: che cosa fa ogni funzionalità, quale piano richiede e che cosa non fa.
Rilevamento comportamentale
Comportamento, non firme
Il motore valuta come si comporta ogni host in rete: anche una nuova variante di malware priva di firma lascia una traccia.
Osserva i passaggi che precedono una fuga di dati: beaconing C2 (command-and-control), scansioni, movimento laterale e volumi insoliti di dati in uscita.
NetSenX affianca il Suo EDR e il Suo SIEM. Aggiunge la visione della rete che a loro manca; non li sostituisce.
In sintesi
- Beaconing C2 (command-and-control)
- Scansioni e movimento laterale
- Volume insolito di dati in uscita
Falsi positivi limitati
NetSenX Math Guarantee
Un livello split-conformal ricava un limite ai falsi positivi valido su campioni finiti per gli avvisi emessi dal motore, al livello di confidenza che Lei configura, dal traffico legittimo che i Suoi analisti hanno etichettato nella Sua rete. Il limite è una proprietà della costruzione, non una soglia regolata finché i numeri non sembravano buoni.
Ogni avviso indica la propria confidenza in parole semplici, insieme alla versione del modello che lo ha prodotto, e un avviso con punteggio non calibrato è indicato come preliminare. I Suoi auditor vedono le stesse prove del Suo team.
La dashboard mostra il limite che i Suoi dati di calibrazione sostengono oggi. Se non ne sostengono ancora nessuno, lo dice e indica che cosa manca, invece di mostrare un numero che non può giustificare.
In sintesi
- Limite split-conformal a un livello di confidenza dichiarato
- Uno stato chiaro «non ancora supportato» invece di un numero inventato
- Incluso in tutti i piani, Free compreso
Movimento laterale
Correlazione su tutta la rete
Il rilevamento per flusso vede ciò che accade su una connessione. Gli attacchi raramente si fermano a un host: dopo il primo punto d'appoggio, l'intruso esegue scansioni, accede alla macchina successiva e si avvicina ai dati.
Dal piano Pro, NetSenX collega gli host della Sua rete in un grafo di chi comunica con chi, così il movimento laterale e i gruppi di host che inviano beacon alla stessa destinazione emergono come un'unica storia invece che come avvisi sparsi.
Questi avvisi riportano come prova gli host e le connessioni che li sostengono, pronti per un rapporto sull'incidente o una notifica alla Sua autorità.
In sintesi
- Movimento laterale e cluster C2 tra host
- Gli host e le connessioni dietro ogni avviso
- Tecnica MITRE ATT&CK indicata quando corrisponde
Traffico cifrato
NetSenX TLS Fingerprint Engine
Gli strumenti di attacco lasciano una firma nell'handshake TLS prima di spostare qualsiasi dato. Dal piano Starter, NetSenX legge i parametri dell'handshake e riconosce i client sospetti già in quella fase, prima che venga scambiato alcun contenuto. L'handshake è visibile solo dove l'agente cattura i pacchetti: su Linux o come sensore su una porta SPAN o TAP, non nella modalità di base usata su macOS.
Funziona sulle connessioni cifrate senza decifrarle: nessun proxy di intercettazione da gestire, nessun certificato da installare sui dispositivi.
Un solo handshake alimenta sia il punteggio comportamentale dell'host sia la correlazione su tutta la rete.
In sintesi
- Riconoscimento all'handshake, prima di qualsiasi contenuto
- Nessuna decifratura TLS
- Alimenta il rilevamento per host e su tutta la rete
Triage in linguaggio semplice
NetSenX AI Analyst Core
Molti avvisi NDR arrivano come campi grezzi e ripartono come ticket. Con AI Analyst Core attivo, ogni avviso riceve una nota in linguaggio semplice: che cosa è successo, perché conta e che cosa fare dopo.
Le note sono scritte da modelli con versioni bloccate e provenienza registrata, strutturate per le notifiche dell'articolo 14 del CRA e dell'articolo 21 della NIS2: i fatti che servono al rapporto sull'incidente sono già in un unico posto.
Funziona con la Sua chiave di un fornitore di IA in ogni piano a pagamento e resta disattivato finché non lo configura. Il rilevamento funziona anche senza.
In sintesi
- Una nota in linguaggio semplice per avviso
- Strutturata per le notifiche CRA e NIS2
- Versione del modello registrata su ogni nota
OT / ICS · dal piano Pro
Protocolli industriali, osservati in modo passivo
Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP e S7comm vengono letti tramite cattura passiva su una porta SPAN o TAP.
I dispositivi classificati come OT non vengono mai sondati attivamente: nessun rischio per PLC e SCADA, e sui controllori non cambia nulla.
Il traffico OT compare nella stessa dashboard della rete IT, con la stessa spiegazione in linguaggio semplice su ogni avviso.
In sintesi
- Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP, S7comm
- Nessun sondaggio attivo dei dispositivi OT
- Dal piano Pro
Shadow AI · dal piano Pro
Veda quali servizi di IA usa la Sua rete
NetSenX segnala il traffico verso servizi di IA esterni e verso ambienti di modelli linguistici eseguiti sulle Sue macchine, così l'uso non autorizzato dell'IA diventa visibile prima di trasformarsi in un problema di protezione dei dati.
Vede quale host ha raggiunto quale servizio di IA, quando e quanti dati sono passati. Il traffico cifrato non viene mai decifrato, quindi il contenuto di un prompt resta non letto.
Parta dal capire che cosa è davvero in uso; poi scriva una policy sull'IA che il personale possa seguire.
In sintesi
- Servizi di IA esterni e modelli eseguiti in locale
- Quale host, quale servizio, quanti dati
- Dal piano Pro
Prove incluse
Conformità pronta per l'audit
NetSenX segue ogni incidente rispetto alle scadenze dell'articolo 23 della NIS2 — preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese — e prepara per il Suo DPO una notifica di violazione ai sensi dell'articolo 33 del GDPR. L'invio resta a Lei.
Avvisi, decisioni degli analisti e modifiche di configurazione finiscono in un registro di audit che può consegnare al Suo auditor, e le prove sono organizzate per le verifiche CRA, NIS2, GDPR e AI Act.
SOC 2, ISO/IEC 42001 e ISO/IEC 27001 sono in preparazione; nessuno è stato ancora rilasciato, e pubblichiamo una data solo quando un audit è prenotato.
In sintesi
- Scadenze NIS2 seguite per ogni incidente
- Registro di audit di avvisi, decisioni e modifiche
- SOC 2, ISO 42001 e ISO 27001 in preparazione
NetSenX Math Guarantee
Un limite ai falsi positivi che può verificare, non un numero a cui credere sulla parola.
Un livello split-conformal si colloca dopo il rilevamento e ricava un limite ai falsi positivi per gli avvisi emessi dal motore, al livello di confidenza che Lei configura, dal traffico legittimo etichettato dai Suoi analisti nella Sua rete. La dashboard mostra il limite che quei dati sostengono oggi e, quando l'insieme di calibrazione è troppo piccolo, lo dice invece di mostrare un numero.
Predizione split-conformal
Ogni avviso indica la propria confidenza in parole semplici e lo dice quando il suo punteggio non è ancora calibrato. Dove si applica la garanzia statistica, il limite ai falsi positivi tra gli avvisi emessi deriva dalla costruzione del predittore a un livello di confidenza dichiarato; non è una soglia regolata finché i numeri non sembravano buoni.
Governance dei modelli
I modelli hanno versioni bloccate e la loro provenienza è registrata. La Math Guarantee appartiene al sistema di gestione dell'IA che stiamo costruendo secondo la ISO/IEC 42001, non a una nota a piè di pagina di marketing.
A che cosa ci impegniamo
Al metodo e alle prove: il limite che i Suoi dati di calibrazione sostengono, la dimensione del campione che lo regge e uno stato chiaro «non ancora supportato» quando non ne sostengono nessuno. Non pubblichiamo un tasso di falsi allarmi che non abbiamo misurato sui Suoi dati.
Non ancora calibrato
Troppo poco traffico legittimo etichettato dagli analisti per sostenere un qualsiasi limite. Il prodotto lo dice esattamente e indica che cosa manca; non mostra uno zero.
Attivo — limite più ampio
I dati di calibrazione sostengono un limite, ma più largo dell'obiettivo configurato. Il prodotto dichiara di attenersi al limite più ampio e continua a non mostrare alcun numero, perché l'obiettivo più stretto non è stato raggiunto.
Attivo — limite obiettivo
La dimensione della calibrazione sostiene il livello di confidenza configurato. È l'unico stato con un numero, e non arriva mai da solo: il limite, il numero di campioni verificati e la finestra in cui sono stati misurati compaiono insieme.
In attesa di ricalibrazione
La calibrazione dietro il limite è scaduta, oppure il traffico su cui si basava si è allontanato da com'è oggi la rete. Il limite viene ritirato finché una nuova calibrazione non lo sostituisce; un numero superato non resta a schermo solo perché un tempo era vero.
Nuova verifica in corso
Un aggiornamento della calibrazione viene verificato prima di entrare in vigore. Nel frattempo l'affermazione precedente è ritirata.
Questi sono gli stati che il prodotto restituisce davvero: nessuno mostra un limite che i dati di calibrazione non sostengono. Non pubblichiamo dati comparativi su altri fornitori, perché non abbiamo eseguito quei test.
NetSenX AI Analyst Core
Ogni avviso arriva con una nota su cui un analista può agire.
I dati grezzi dell'avviso sono affiancati da una nota in linguaggio semplice: che cosa è successo, perché conta e la risposta consigliata, strutturata per le Sue notifiche dell'articolo 14 del CRA e dell'articolo 21 della NIS2.
- alert.id
- ALR-2026-0521-04183
- alert.timestamp
- 2026-05-21T09:14:22+02:00
- alert.severity
- high
- alert.layer
- L1 behavioral + L3 graph
- src.host
- finance-srv-04.corp.local
- src.ip
- 10.42.18.27
- dst.fqdn
- delta-cargo-track[.]xyz
- dst.ip
- 185.244.62.117
- dst.tld_registered
- 2026-05-21T03:11:00Z (6h ago)
- protocol
- TLS 1.3 / HTTPS
- bytes.up
- 2.4 KB / 90s
- bytes.down
- 182 B / 90s
- pattern
- low-volume periodic beacon, jitter 5%
- detection.confidence
- 0.94
- conformal.bound
- served at the tenant's calibrated confidence level
Rilevato beaconing da finance-srv-04 verso un dominio mai visto prima (delta-cargo-track.xyz), registrato 6 ore fa. Il traffico in uscita è ridotto, periodico e poco variabile: uno schema compatibile con un canale command-and-control dopo una prima compromissione.
Il livello grafo ha osservato anche che altri due host della sottorete finance (finance-srv-02, finance-srv-09) hanno interrogato il DNS per lo stesso dominio negli ultimi 90 minuti.
Risposta consigliata
- Isolare finance-srv-04 dalla VLAN di produzione.
- Acquisire un'immagine della memoria prima del riavvio, per l'analisi forense.
- Controllare la sottorete finance alla ricerca di altri host che contattano lo stesso dominio o indirizzo IP.
- Aprire un ticket secondo la procedura di risposta agli incidenti; l'avviso è già strutturato per la registrazione degli incidenti dell'articolo 14 del CRA.
Lo veda nella Sua rete
Inizi con il piano Free per un massimo di 3 dispositivi: senza limiti di tempo e senza carta di credito. Oppure prenoti una demo di 20 minuti: seguiremo un avviso reale dalla cattura fino alla nota dell'analista, con la traccia di audit visibile a ogni passaggio.