# Come capire se qualcuno è nella Sua rete

> I segnali che un intruso è già nella rete aziendale, i controlli gratuiti da fare oggi e il ruolo del rilevamento di rete. Con date e fonti.

Source page: https://netsenx.com/it/is-someone-inside-your-network

Ultima verifica: 6 novembre 2026

Qualcuno è nella Sua rete quando un attaccante ha un accesso funzionante ad almeno una delle Sue macchine o dei Suoi account e lo usa per guardarsi intorno, passare ad altri sistemi o portare via dati. Di rado scatta un allarme. I segnali sono piccoli cambiamenti di comportamento: un host che contatta una nuova destinazione a intervalli regolari, un account che accede dove non l'aveva mai fatto, un server che invia all'esterno molti più dati del solito. Quasi tutti si possono verificare già oggi, gratuitamente, con i log che un amministratore ha già.

## Il dato da cui partire

Il 7 febbraio 2024 CISA, NSA e FBI, con agenzie partner, hanno riferito nell'avviso congiunto AA24-038A che attori di Volt Typhoon avevano mantenuto l'accesso agli ambienti IT di alcune vittime per almeno cinque anni, affidandosi soprattutto agli strumenti di amministrazione delle vittime stesse anziché a malware.

Fonte: [CISA, NSA, FBI and partners — Joint advisory AA24-038A (PRC state-sponsored actors, Volt Typhoon), 7 February 2024](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-038a)

## Che cosa esce dalla Sua rete dopo le 18:00

**Dati di esempio, non un rilevamento acquisito**

Una notte di esempio nella rete di una piccola azienda: sei tipi di dispositivo, quattro tipi di destinazione. Sposti l'orologio per vedere che cosa esce, quanto e quali flussi genererebbero un avviso. La dimensione da sola non è il segnale: il grande trasferimento del backup è normale, un piccolo invio da un PC di solito spento no.

| Dispositivo | La sua notte abituale |
|---|---|
| PC della contabilità | Occupato in orario d'ufficio con servizi aziendali e alcuni strumenti di IA; tranquillo di notte. |
| Server ERP | Un po' di sincronizzazione con servizi aziendali ogni ora, giorno e notte. |
| TV della sala riunioni | Piccoli aggiornamenti dal produttore. |
| Videoregistratore TVCC | Un flusso costante verso il cloud del produttore. |
| Portatile di uno sviluppatore | Servizi aziendali e strumenti di IA in orario d'ufficio; tranquillo di notte. |
| Server di backup | Una grande copia verso il fornitore di backup abituale ogni notte. |

### 03:00 Il PC della contabilità invia dati di notte

Volume insolito di dati in uscita: questo PC di norma non invia nulla di notte, e mai verso questa destinazione. NetSenX confronta gli invii di ogni host con le sue destinazioni, i volumi e gli orari abituali, quindi l'invio risalta anche se è piccolo accanto al backup.

### 00:00 Il portatile dello sviluppatore si collega ogni cinque minuti

Beaconing di comando e controllo: connessioni piccole e regolari verso una nuova destinazione, tutta la notte. Il volume è minimo; lo tradisce la regolarità. In ogni piano, Free compreso.

### 02:00 Il server ERP invia un archivio a un server cloud a noleggio

Volume insolito di dati in uscita verso una destinazione che questo server non ha mai usato. I server cloud a noleggio compaiono anche nella coda di revisione del cloud, perché Lei li verifichi.

Che cosa un sensore di rete non vede qui: i nomi e il contenuto dei file nelle sessioni cifrate, e quale programma del dispositivo ha inviato i dati. Lo vede la protezione degli endpoint (EDR).

## I segnali da osservare e i controlli gratuiti da fare oggi

Nessuno di questi segnali prova da solo un'intrusione. Ognuno si verifica con poco sforzo, e due o più insieme meritano un'indagine.

1. **Destinazioni in uscita nuove o rare** Un host che inizia a contattare un dominio o un indirizzo IP che nessun altro in azienda usa, soprattutto se registrato di recente. Controllo: esporti dal firewall o dal server DNS le destinazioni più frequenti degli ultimi 30 giorni ed esamini quelle contattate da un solo host.
2. **Connessioni a intervalli regolari** Il malware che si fa vivo con il proprio operatore spesso si connette ogni pochi minuti, giorno e notte, con messaggi piccoli di dimensioni simili. Controllo: nei log del firewall o del proxy, ordini per orario le connessioni di un host verso una stessa destinazione e cerchi un ritmo costante fuori dall'orario di lavoro.
3. **Accessi a orari o da luoghi insoliti** Accessi riusciti di notte, da Paesi in cui non ha personale o da account che normalmente non accedono mai in modo interattivo, come gli account di servizio. Controllo: esamini gli accessi riusciti degli ultimi 30 giorni nella directory o nell'identity provider, filtrati fuori dall'orario lavorativo.
4. **Una macchina che parla con molte** Una postazione che si collega a decine di host interni sulle porte di amministrazione come SMB (445), RDP (3389), SSH (22) o WinRM (5985 e 5986) sta eseguendo scansioni o si sta muovendo lateralmente. Controllo: nei dati di flusso del firewall o dello switch, conti le destinazioni interne distinte per host di origine su quelle porte.
5. **Volume in uscita insolito** Un server che all'improvviso carica gigabyte, spesso di notte o verso uno storage cloud che di solito non usa. Controllo: confronti i byte in uscita di ogni host di questa settimana con la sua stessa media.
6. **Nuovi account amministrativi, attività e servizi** Account aggiunti ai gruppi di amministratori, nuove attività pianificate o nuovi servizi e strumenti di accesso remoto che nessuno ha approvato. Controllo: elenchi i membri dei gruppi privilegiati e le attività e i servizi creati di recente sui server, e verifichi chi ha aggiunto ciascuno.

## Che cosa fa oggi NetSenX

- Osserva come si comporta ogni host in rete e segnala beaconing C2, scansioni, movimento laterale e volumi insoliti di dati in uscita, su tutti i piani, Free compreso.
- Vede i dispositivi senza agente, come stampanti, telecamere e controllori, perché un agente su una porta SPAN o TAP osserva l'intero segmento.
- Spiega ogni avviso in linguaggio semplice, elencando le caratteristiche di rete che ne hanno determinato il punteggio, così anche un piccolo team distingue un'intrusione da un nuovo job di backup.
- Scrive avvisi, decisioni degli analisti e modifiche di configurazione in un registro di audit e segue le scadenze dell'articolo 23 della NIS2 se l'incidente risulta significativo.

## Che cosa NetSenX non fa

NetSenX non vede ciò che accade dentro un host senza passare dalla rete, come un processo malevolo che non si collega da nessuna parte; questo è compito della protezione degli endpoint (EDR). Non decifra mai il traffico, quindi non può leggere il contenuto di una sessione cifrata. Non sostituisce la risposta agli incidenti: isolare e ricostruire un host resta compito del Suo team o del Suo fornitore. Un avviso è un motivo per verificare, non la prova di un'intrusione.

## Domande degli acquirenti

### Come capisco se la rete aziendale è stata compromessa?

Cerchi i comportamenti cambiati: nuove destinazioni in uscita, connessioni a intervalli regolari, accessi a orari insoliti, una macchina che si collega a molte altre e volumi insoliti in uscita. Ognuno si verifica nei log di firewall, DNS e directory. Due o più insieme meritano un'indagine; un monitoraggio continuo della rete li osserva ogni giorno, non solo il giorno in cui qualcuno guarda.

### Un attaccante può restare per anni in una rete senza essere notato?

Sì. Nell'avviso congiunto AA24-038A del 7 febbraio 2024, CISA, NSA e FBI hanno riferito che attori di Volt Typhoon avevano mantenuto l'accesso agli ambienti IT di alcune vittime per almeno cinque anni. Gli attaccanti che usano gli stessi strumenti di amministrazione del Suo team IT lasciano poche firme, ed è per questo che conta il comportamento in rete.

### Quali controlli gratuiti posso fare oggi?

Esporti dal firewall o dal server DNS le destinazioni in uscita più frequenti ed esamini quelle rare; verifichi gli accessi riusciti fuori dall'orario lavorativo; conti quanti host interni contatta ogni postazione sulle porte SMB, RDP, SSH e WinRM; e confronti il volume in uscita di ogni server con la sua stessa media.

### NetSenX sostituisce l'antivirus o l'EDR?

No. NetSenX aggiunge la visione della rete: vede i dispositivi senza agente e i movimenti tra host. La protezione degli endpoint continua a coprire ciò che accade dentro ogni macchina. Il piano Free non ha limiti di tempo e non richiede la carta di credito, quindi può vedere prima che cosa trova nella Sua rete.

## Fonti

- [CISA, NSA, FBI and partners — Joint advisory AA24-038A (PRC state-sponsored actors, Volt Typhoon), 7 February 2024](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-038a)
- [CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)](https://www.ncsc.govt.nz/protect-your-organisation/identifying-and-mitigating-living-off-the-land-lotl-techniques/)
- [MITRE ATT&CK — Lateral Movement (TA0008)](https://attack.mitre.org/tactics/TA0008/)

Questa pagina ha carattere informativo generale e non costituisce consulenza legale. Verifichi i Suoi obblighi con l'autorità nazionale competente o con il Suo consulente legale.

## Pagine correlate

- [Come rilevare movimento laterale e beaconing C2](https://netsenx.com/it/detect-lateral-movement-c2-beaconing)
- [Who is really inside your network? (articolo in inglese)](https://netsenx.com/it/blog/2026-10-02_who-is-inside-your-network)
- [NDR, EDR o SIEM](https://netsenx.com/it/blog/2026-09-24_ndr-vs-edr-vs-siem)
- [Analisi del traffico cifrato](https://netsenx.com/it/encrypted-traffic-analysis)
- [Prezzi e piano Free](https://netsenx.com/it/pricing)