Segnali di intrusione
Come capire se qualcuno è nella Sua rete
Qualcuno è nella Sua rete quando un attaccante ha un accesso funzionante ad almeno una delle Sue macchine o dei Suoi account e lo usa per guardarsi intorno, passare ad altri sistemi o portare via dati. Di rado scatta un allarme. I segnali sono piccoli cambiamenti di comportamento: un host che contatta una nuova destinazione a intervalli regolari, un account che accede dove non l'aveva mai fatto, un server che invia all'esterno molti più dati del solito. Quasi tutti si possono verificare già oggi, gratuitamente, con i log che un amministratore ha già.
Il dato da cui partire
Il 7 febbraio 2024 CISA, NSA e FBI, con agenzie partner, hanno riferito nell'avviso congiunto AA24-038A che attori di Volt Typhoon avevano mantenuto l'accesso agli ambienti IT di alcune vittime per almeno cinque anni, affidandosi soprattutto agli strumenti di amministrazione delle vittime stesse anziché a malware.
Che cosa esce dalla Sua rete dopo le 18:00
Una notte di esempio nella rete di una piccola azienda: sei tipi di dispositivo, quattro tipi di destinazione. Sposti l'orologio per vedere che cosa esce, quanto e quali flussi genererebbero un avviso. La dimensione da sola non è il segnale: il grande trasferimento del backup è normale, un piccolo invio da un PC di solito spento no.
Dati di esempio, non un rilevamento acquisito
| Dispositivo | Destinazione | Volume | Ci sarebbe un avviso? |
|---|---|---|---|
| PC della contabilità | Destinazioni sconosciute | 180 MB | Sì: volume insolito di dati in uscita |
| Server ERP | Servizi aziendali noti | 20 MB | No: abituale per questo dispositivo |
| TV della sala riunioni | Servizi aziendali noti | 3 MB | No: abituale per questo dispositivo |
| Videoregistratore TVCC | Servizi aziendali noti | 30 MB | No: abituale per questo dispositivo |
| Portatile di uno sviluppatore | Destinazioni sconosciute | 1 MB | Sì: beaconing di comando e controllo |
Mostra la notte abituale di ogni dispositivo come tabella
| Dispositivo | La sua notte abituale |
|---|---|
| PC della contabilità | Occupato in orario d'ufficio con servizi aziendali e alcuni strumenti di IA; tranquillo di notte. |
| Server ERP | Un po' di sincronizzazione con servizi aziendali ogni ora, giorno e notte. |
| TV della sala riunioni | Piccoli aggiornamenti dal produttore. |
| Videoregistratore TVCC | Un flusso costante verso il cloud del produttore. |
| Portatile di uno sviluppatore | Servizi aziendali e strumenti di IA in orario d'ufficio; tranquillo di notte. |
| Server di backup | Una grande copia verso il fornitore di backup abituale ogni notte. |
Che cosa un sensore di rete non vede qui: i nomi e il contenuto dei file nelle sessioni cifrate, e quale programma del dispositivo ha inviato i dati. Lo vede la protezione degli endpoint (EDR).
I segnali da osservare e i controlli gratuiti da fare oggi
Nessuno di questi segnali prova da solo un'intrusione. Ognuno si verifica con poco sforzo, e due o più insieme meritano un'indagine.
01Destinazioni in uscita nuove o rare
Un host che inizia a contattare un dominio o un indirizzo IP che nessun altro in azienda usa, soprattutto se registrato di recente. Controllo: esporti dal firewall o dal server DNS le destinazioni più frequenti degli ultimi 30 giorni ed esamini quelle contattate da un solo host.
02Connessioni a intervalli regolari
Il malware che si fa vivo con il proprio operatore spesso si connette ogni pochi minuti, giorno e notte, con messaggi piccoli di dimensioni simili. Controllo: nei log del firewall o del proxy, ordini per orario le connessioni di un host verso una stessa destinazione e cerchi un ritmo costante fuori dall'orario di lavoro.
03Accessi a orari o da luoghi insoliti
Accessi riusciti di notte, da Paesi in cui non ha personale o da account che normalmente non accedono mai in modo interattivo, come gli account di servizio. Controllo: esamini gli accessi riusciti degli ultimi 30 giorni nella directory o nell'identity provider, filtrati fuori dall'orario lavorativo.
04Una macchina che parla con molte
Una postazione che si collega a decine di host interni sulle porte di amministrazione come SMB (445), RDP (3389), SSH (22) o WinRM (5985 e 5986) sta eseguendo scansioni o si sta muovendo lateralmente. Controllo: nei dati di flusso del firewall o dello switch, conti le destinazioni interne distinte per host di origine su quelle porte.
05Volume in uscita insolito
Un server che all'improvviso carica gigabyte, spesso di notte o verso uno storage cloud che di solito non usa. Controllo: confronti i byte in uscita di ogni host di questa settimana con la sua stessa media.
06Nuovi account amministrativi, attività e servizi
Account aggiunti ai gruppi di amministratori, nuove attività pianificate o nuovi servizi e strumenti di accesso remoto che nessuno ha approvato. Controllo: elenchi i membri dei gruppi privilegiati e le attività e i servizi creati di recente sui server, e verifichi chi ha aggiunto ciascuno.
Che cosa fa oggi NetSenX
- Osserva come si comporta ogni host in rete e segnala beaconing C2, scansioni, movimento laterale e volumi insoliti di dati in uscita, su tutti i piani, Free compreso.
- Vede i dispositivi senza agente, come stampanti, telecamere e controllori, perché un agente su una porta SPAN o TAP osserva l'intero segmento.
- Spiega ogni avviso in linguaggio semplice, elencando le caratteristiche di rete che ne hanno determinato il punteggio, così anche un piccolo team distingue un'intrusione da un nuovo job di backup.
- Scrive avvisi, decisioni degli analisti e modifiche di configurazione in un registro di audit e segue le scadenze dell'articolo 23 della NIS2 se l'incidente risulta significativo.
Che cosa NetSenX non fa
NetSenX non vede ciò che accade dentro un host senza passare dalla rete, come un processo malevolo che non si collega da nessuna parte; questo è compito della protezione degli endpoint (EDR). Non decifra mai il traffico, quindi non può leggere il contenuto di una sessione cifrata. Non sostituisce la risposta agli incidenti: isolare e ricostruire un host resta compito del Suo team o del Suo fornitore. Un avviso è un motivo per verificare, non la prova di un'intrusione.
Domande degli acquirenti
Come capisco se la rete aziendale è stata compromessa?
Cerchi i comportamenti cambiati: nuove destinazioni in uscita, connessioni a intervalli regolari, accessi a orari insoliti, una macchina che si collega a molte altre e volumi insoliti in uscita. Ognuno si verifica nei log di firewall, DNS e directory. Due o più insieme meritano un'indagine; un monitoraggio continuo della rete li osserva ogni giorno, non solo il giorno in cui qualcuno guarda.
Un attaccante può restare per anni in una rete senza essere notato?
Sì. Nell'avviso congiunto AA24-038A del 7 febbraio 2024, CISA, NSA e FBI hanno riferito che attori di Volt Typhoon avevano mantenuto l'accesso agli ambienti IT di alcune vittime per almeno cinque anni. Gli attaccanti che usano gli stessi strumenti di amministrazione del Suo team IT lasciano poche firme, ed è per questo che conta il comportamento in rete.
Quali controlli gratuiti posso fare oggi?
Esporti dal firewall o dal server DNS le destinazioni in uscita più frequenti ed esamini quelle rare; verifichi gli accessi riusciti fuori dall'orario lavorativo; conti quanti host interni contatta ogni postazione sulle porte SMB, RDP, SSH e WinRM; e confronti il volume in uscita di ogni server con la sua stessa media.
NetSenX sostituisce l'antivirus o l'EDR?
No. NetSenX aggiunge la visione della rete: vede i dispositivi senza agente e i movimenti tra host. La protezione degli endpoint continua a coprire ciò che accade dentro ogni macchina. Il piano Free non ha limiti di tempo e non richiede la carta di credito, quindi può vedere prima che cosa trova nella Sua rete.
Fonti
- CISA, NSA, FBI and partners — Joint advisory AA24-038A (PRC state-sponsored actors, Volt Typhoon), 7 February 2024
- CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)
- MITRE ATT&CK — Lateral Movement (TA0008)
Questa pagina ha carattere informativo generale e non costituisce consulenza legale. Verifichi i Suoi obblighi con l'autorità nazionale competente o con il Suo consulente legale.
Pagine correlate
Provate NetSenX sulla vostra rete
Iniziate con il piano Free per un massimo di 3 dispositivi, oppure prenotate una demo di 20 minuti.