# I problemi che La portano qui > I problemi che ci portano responsabili IT, amministratori unici e MSP: che cosa fa oggi NetSenX per ciascuno e che cosa non fa. Source page: https://netsenx.com/it/problems-we-solve Scritto per chi userà NetSenX: il responsabile IT di un'azienda da 20 a 500 persone, l'amministratore che da solo è tutto il reparto IT e l'MSP che segue molti piccoli clienti. Per ogni problema: come si presenta nella pratica, che cosa fa NetSenX oggi e che cosa non fa. ## Che cosa può andare storto per l'azienda, in parole semplici Non serve sapere come funziona una rete per risponderne del rischio. Ecco i cinque modi in cui un attacco informatico di solito colpisce l'azienda, e che cosa fa NetSenX per ciascuno. ### Il lavoro si ferma I sistemi si bloccano, ordini e fatture si fermano, le linee di produzione aspettano. Il ripristino richiede giorni o settimane, e il personale viene pagato per aspettare. NetSenX avvisa il Suo team IT quando un computer inizia a comportarsi come un intruso, spesso prima che qualcosa venga spento o bloccato. ### Richieste di riscatto Gli attaccanti bloccano i Suoi file, spesso dopo averli copiati, e chiedono denaro due volte: per sbloccarli e per non pubblicarli. La copia e la diffusione attraversano la rete prima che inizi il blocco. NetSenX cerca proprio questi passaggi. ### Sanzioni Con la NIS2, la legge europea sulla cibersicurezza, la sanzione massima è di almeno 10 milioni di euro o il 2% del fatturato mondiale annuo per i soggetti essenziali, e di almeno 7 milioni di euro o l'1,4% per quelli importanti. Con il GDPR, la legge europea sulla protezione dei dati, arriva fino a 20 milioni di euro o il 4%. NetSenX conserva le prove che un'autorità chiede: che cosa è stato rilevato, quando e che cosa ha fatto il Suo team. ### Scadenze di notifica Le aziende soggette alla NIS2 devono avvisare le autorità entro 24 ore da quando vengono a conoscenza di un incidente significativo, e completare entro 72 ore e un mese. NetSenX segue queste scadenze per ogni incidente e prepara la notifica della violazione dei dati per il Suo responsabile della protezione dei dati. ### Fiducia dei clienti persa Clienti, assicuratori e grandi committenti chiedono sempre più spesso come proteggete i loro dati, e ricordano chi non ha saputo rispondere. I dati restano nell'UE, l'accordo sul trattamento dei dati è pubblico e ogni avviso si spiega da solo, così può mostrare che cosa osserva e come. ## Le domande che farà il Suo consiglio, con risposte oneste Dodici domande che consigli e titolari fanno davvero. Ogni risposta ha tre parti: che cosa può dire oggi senza alcuno strumento, che cosa NetSenX Le permette di mostrare e che cosa nessuno può promettere. ### Siamo stati violati in questo momento? - **Che cosa può dire oggi:** Nessuno può dimostrare un'assenza. Può dire che cosa è stato verificato: quali sistemi sono aggiornati, dove è attiva l'autenticazione a più fattori, quando è stato ripristinato l'ultimo backup e che cosa mostrano log e avvisi di questa settimana. - **Che cosa NetSenX Le permette di mostrare:** Gli avvisi in corso in linguaggio semplice, gli host coinvolti, gli incidenti aperti e quali segmenti di rete sono davvero monitorati. Beaconing, scansioni, movimento laterale e volumi insoliti in uscita sono osservati su tutti i piani, Free compreso. - **Che cosa nessuno può promettere:** Che nessuno sia dentro. Un sensore di rete non vede i segmenti che non monitora, ciò che accade dentro un host né un accesso con una password rubata ma valida. ### Che cosa approviamo esattamente con la NIS2? - **Che cosa può dire oggi:** L'articolo 20 della NIS2 obbliga l'organo di gestione ad approvare le misure di gestione del rischio dell'articolo 21, a sovrintenderne l'attuazione e a seguire una formazione. La legge nazionale stabilisce come funziona la responsabilità. - **Che cosa NetSenX Le permette di mostrare:** La prova che una di queste misure, il rilevamento degli incidenti in rete, è in funzione: avvisi, decisioni e modifiche di configurazione in un registro di audit su tutti i piani, e ogni incidente seguito rispetto ai termini dell'articolo 23. - **Che cosa nessuno può promettere:** Che un solo strumento copra l'articolo 21. Elenca molte misure, dalla sicurezza della catena di approvvigionamento ai backup e alla crittografia; NetSenX copre il rilevamento in rete. ### Possiamo mostrare a un acquirente lo storico degli incidenti? - **Che cosa può dire oggi:** Ciò che può documentare oggi: ticket degli incidenti, e-mail, comunicazioni all'assicuratore. Una lacuna dichiarata è meglio di uno storico ricostruito a memoria. - **Che cosa NetSenX Le permette di mostrare:** Lo storico degli avvisi e il registro di audit delle decisioni del Suo team, conservati per il periodo del Suo piano pubblicato nella pagina dei prezzi, e i report PDF dal piano Starter. - **Che cosa nessuno può promettere:** Un registro precedente all'avvio del monitoraggio. Lo storico inizia il giorno in cui il sensore entra in funzione. ### Qual è il nostro numero unico del rischio cyber? - **Che cosa può dire oggi:** Un punteggio unico sembra preciso ed è difficile da difendere. Meglio pochi numeri: incidenti aperti, stato delle patch dei sistemi critici, copertura dell'autenticazione a più fattori, data dell'ultimo test di ripristino riuscito. - **Che cosa NetSenX Le permette di mostrare:** Numeri che il consiglio può verificare: avvisi e incidenti aperti con i termini NIS2, segmenti e dispositivi monitorati. Uno strato conforme limita i falsi positivi tra gli avvisi mostrati quando i Suoi dati lo consentono, e fino ad allora la dashboard lo dice. - **Che cosa nessuno può promettere:** La probabilità che la Sua azienda venga attaccata quest'anno. Nessuna fonte onesta ha questo numero per una singola azienda. ### I nostri file sono su un sito di leak. Quando sono usciti? - **Che cosa può dire oggi:** Avvii subito il processo di gestione dell'incidente: coinvolga il fornitore di risposta agli incidenti e il legale, e verifichi se si applica la notifica dell'articolo 33 del GDPR entro 72 ore da quando ne è venuto a conoscenza. - **Che cosa NetSenX Le permette di mostrare:** Se i dati hanno attraversato un segmento monitorato entro lo storico degli avvisi: avvisi di volume insolito in uscita con host, destinazione, volume e orario. - **Che cosa nessuno può promettere:** I nomi o il contenuto dei file. NetSenX non decifra mai il traffico, e i dati usciti da un percorso che non monitora, o prima dell'avvio del monitoraggio, non sono nei suoi registri. ### La nostra policy sull'IA viene rispettata? - **Che cosa può dire oggi:** Quali strumenti di IA sono approvati, quali dati vi si possono inserire e a chi chiedere. Senza un controllo è una policy sulla carta. - **Che cosa NetSenX Le permette di mostrare:** Dal piano Pro: quali host raggiungono quali servizi di IA esterni e modelli eseguiti in locale, quando e quanti dati si muovono. - **Che cosa nessuno può promettere:** Ciò che è stato scritto in un prompt, o l'uso dell'IA su telefoni e reti domestiche che non passano mai dalla Sua rete. ### Dobbiamo preoccuparci dei computer quantistici? - **Che cosa può dire oggi:** È un tema di pianificazione, non un'emergenza. La tabella di marcia UE del 23 giugno 2025 punta a proteggere i casi d'uso ad alto rischio entro la fine del 2030 e quanti più sistemi possibile entro il 2035, partendo da un inventario. - **Che cosa NetSenX Le permette di mostrare:** NQCI, in anteprima, mostra quali connessioni usano uno scambio di chiavi vulnerabile ai computer quantistici e quali uno scambio ibrido post-quantistico. È visibile in ogni piano e attivo dal piano Pro, con la cattura dei pacchetti su un agente Linux o un sensore SPAN o TAP. - **Che cosa nessuno può promettere:** L'anno in cui esisterà un computer quantistico capace, né una migrazione conclusa: NetSenX non migra nulla. ### Quanto ci costa un giorno senza sistemi? - **Che cosa può dire oggi:** Lo calcoli con i Suoi numeri: ricavi che si fermano, personale che non può lavorare e costo di ripristino al giorno, moltiplicati per un numero realistico di giorni di ripristino. - **Che cosa NetSenX Le permette di mostrare:** NetSenX non calcola il Suo costo di fermo. Mostra l'attività dentro la rete mentre avviene, e i suoi prezzi sono pubblicati: il confronto spetta a Lei. - **Che cosa nessuno può promettere:** Che il rilevamento eviti i fermi. Informa; contenere un attacco e ripristinare restano compito del Suo team e dei Suoi fornitori. ### Dicono di aver copiato i nostri dati. È vero? - **Che cosa può dire oggi:** Non decida da solo: sul pagamento La consigliano il legale, l'assicuratore e una società di risposta agli incidenti. Chieda quale prova del furto gli attaccanti possono mostrare. - **Che cosa NetSenX Le permette di mostrare:** Se nei giorni precedenti grandi invii insoliti hanno lasciato host monitorati, verso quali destinazioni e quando. - **Che cosa nessuno può promettere:** La prova che nulla è stato copiato: i dati possono uscire da percorsi che un sensore non vede. NetSenX non dà consigli sul pagamento. ### Possiamo dimostrare all'assicuratore che monitoriamo la rete? - **Che cosa può dire oggi:** Descriva la configurazione così com'è: quali segmenti sono monitorati, chi legge gli avvisi e quando. Una risposta veritiera protegge un sinistro meglio di un sì generico. - **Che cosa NetSenX Le permette di mostrare:** I segmenti monitorati, lo storico degli avvisi, il registro di audit delle decisioni e i report PDF dal piano Starter. - **Che cosa nessuno può promettere:** Una risposta umana 24 ore su 24. Il rilevamento funziona sempre; le persone rispondono quando risponde il Suo team o il Suo fornitore. ### Se un incidente è significativo, che cosa succede nelle prime 24 ore? - **Che cosa può dire oggi:** Secondo l'articolo 23 della NIS2: un preallarme entro 24 ore da quando se ne viene a conoscenza, una notifica entro 72 ore e una relazione finale entro un mese. La legge nazionale può aggiungere dettagli. - **Che cosa NetSenX Le permette di mostrare:** Ogni incidente seguito rispetto a questi termini, con le prove degli avvisi in un unico posto, e una notifica di violazione ai sensi dell'articolo 33 del GDPR preparata per il Suo responsabile della protezione dei dati. - **Che cosa nessuno può promettere:** La decisione se l'incidente sia significativo, e la notifica stessa: entrambe restano a Lei. ### Il monitoraggio leggerà le e-mail dei dipendenti? - **Che cosa può dire oggi:** Spieghi che cosa viene registrato e perché, coinvolga presto le rappresentanze dei lavoratori e il responsabile della protezione dei dati e documenti la valutazione, in una valutazione d'impatto sulla protezione dei dati (DPIA) dove è richiesta. - **Che cosa NetSenX Le permette di mostrare:** Metadati di dispositivi e connessioni: indirizzi, porte, volumi, orari e nomi dei server dall'handshake TLS e dalle risposte DNS. Il traffico cifrato non viene mai decifrato. - **Che cosa nessuno può promettere:** Che una configurazione sia lecita ovunque: dipende dal diritto del lavoro nazionale e dagli accordi aziendali. ## Dall'installazione al rapporto, in cinque passi 1. **Si installa un piccolo programma** Il Suo team IT installa l'agente NetSenX su un computer collegato a una porta mirror dello switch di rete, o sui server che sceglie. Da lì vede il traffico di un intero segmento di rete. 2. **Impara che cosa è normale** Come un guardiano notturno che impara chi di solito entra ed esce, annota quali dispositivi parlano con quali, quando e quanto. Non legge il contenuto dei messaggi. 3. **Nota un comportamento insolito** Quando un dispositivo inizia ad agire come un intruso, per esempio chiamando un server sconosciuto ogni pochi minuti, bussando a molte porte insieme o inviando di notte molti dati all'esterno, genera un avviso. 4. **Spiega l'avviso in parole semplici** Ogni avviso dice che cosa è successo, su quale dispositivo e perché sembra sospetto, così anche chi non è specialista di sicurezza può decidere che cosa fare. 5. **Conserva la traccia per il rapporto** Se l'avviso si rivela un incidente significativo, NetSenX segue le scadenze di notifica previste dalla legge e conserva la traccia che serve al rapporto. ## Che cosa dicono le ricerche pubbliche ### Il ransomware era presente nelle violazioni presso… - Piccole e medie imprese: 88 % - Organizzazioni più grandi: 39 % Fonte: [Verizon, 2025 Data Breach Investigations Report (April 2025)](https://www.verizon.com/about/news/2025-data-breach-investigations-report) ### Imprese dell'UE con conseguenze di incidenti di sicurezza ICT nel 2023 - Tutte le imprese: 21,54 % - Piccole imprese: 19,85 % - Grandi imprese: 38,28 % Fonte: [Eurostat, ICT security in enterprises (Statistics Explained), reference year 2023](https://ec.europa.eu/eurostat/statistics-explained/index.php?title=ICT_security_in_enterprises) ### Violazioni con il coinvolgimento di terzi - rapporto 2024: 15 % - rapporto 2025: 30 % Fonte: [Verizon, 2025 Data Breach Investigations Report (April 2025)](https://www.verizon.com/about/news/2025-data-breach-investigations-report) ### Una violazione media - 4,44 Mln USD: costo medio globale di una violazione di dati, in dollari statunitensi - 241: giorni in media per individuare e contenere una violazione Fonte: [IBM, Cost of a Data Breach Report 2025 (press release, 30 July 2025)](https://newsroom.ibm.com/2025-07-30-ibm-report-13-of-organizations-reported-breaches-of-ai-models-or-applications,-97-of-which-reported-lacking-proper-ai-access-controls) ## La Sua azienda in una notte: quali situazioni La riguardano? Descriva la Sua azienda con pochi clic. Le situazioni che riguardano un'azienda come la Sua compaiono su una notte, dalle 18:00 alle 08:30; apra ciascuna per vedere che cosa mostra NetSenX, che cosa non vede e quale piano serve. Questo mostra quali situazioni riguardano un'azienda come la Sua, non quanto siano probabili: servirebbe una statistica che nessuno ha sulla Sua azienda. Nulla di ciò che inserisce lascia il browser. | Ora | Situazione | Che cosa mostra NetSenX | Che cosa non vede | Piano | Vale se | |---|---|---|---|---|---| | 18:05 | Un account VPN accede da due Paesi nell'arco di un'ora | Nulla dall'accesso in sé; ciò che la sessione fa poi in rete, come scansioni o nuove sessioni verso i server, sì. | L'accesso e la sua posizione: sono nei log della VPN e dell'identità. | Ogni piano, Free compreso | Parte del personale lavora da remoto | | 18:20 | Il PC della contabilità chiama un server sconosciuto ogni cinque minuti | Beaconing di comando e controllo: connessioni piccole e regolari verso una nuova destinazione. | Quale programma del PC effettua le chiamate: lo vede la protezione degli endpoint. | Ogni piano, Free compreso | Ogni azienda | | 18:45 | Il portatile di un ex dipendente si collega ancora di notte | Le connessioni notturne del dispositivo, se è su un segmento monitorato o ha un agente. | Se l'account dovrebbe ancora esistere: è l'elenco del Suo provider di identità. | Ogni piano, Free compreso | Lavoro da remoto e almeno 10 persone | | 19:10 | La TV della sala riunioni parla con server sconosciuti | Connessioni regolari verso nuove destinazioni e volume in uscita insolito dalla TV. | Che cosa invia la TV nelle sessioni cifrate. | Ogni piano, Free compreso | Ogni azienda | | 19:30 | Qualcuno incolla dati dei clienti in una chat di IA | Il traffico dal dispositivo al servizio di IA: quale dispositivo, quale servizio, quanto. | Che cosa è stato incollato: NetSenX vede la connessione, non il contenuto. | Da Pro | Usa strumenti di IA | | 20:00 | Un dispositivo del Wi-Fi ospiti raggiunge server interni | Scansioni e nuove sessioni dal segmento ospiti verso indirizzi interni, se quel segmento è replicato. | Nulla di una rete ospiti non replicata. | Ogni piano, Free compreso | Ogni azienda | | 20:30 | Il sistema di gestione dell'edificio parla con internet | Connessioni regolari dei controllori verso l'esterno, se il loro segmento è replicato. | Le modifiche fatte dal portale cloud del produttore stesso. | Ogni piano, Free compreso | Macchine o sistemi dell'edificio, oppure manifattura | | 21:00 | Un piccolo computer collegato a una presa a muro | Un nuovo dispositivo sulla mappa della rete e, se trasmette, le sue connessioni regolari verso l'esterno. | Un dispositivo che resta muto, o su un segmento non replicato. | Ogni piano, Free compreso | Ogni azienda | | 21:30 | Il videoregistratore delle telecamere contatta un altro continente | Connessioni costanti verso l'esterno e volume in uscita insolito dal registratore. | Se il Suo contratto con il produttore lo consente. | Ogni piano, Free compreso | Ogni azienda | | 22:00 | Il portatile di un integratore collegato alla linea di produzione | Un nuovo dispositivo nel segmento di produzione e il suo traffico verso i controllori. | Che cosa è installato sul portatile. | Da Pro | Macchine o sistemi dell'edificio, oppure manifattura | | 22:30 | Una stampante inizia a scansionare la rete | Scansione: un host che si collega a molti indirizzi e porte interni in poco tempo. | Come è stata presa la stampante. | Ogni piano, Free compreso | Ogni azienda | | 23:00 | Qualcuno prova password contro un server interno | Forza bruta: molti tentativi di connessione falliti contro un servizio. | Se un tentativo alla fine è riuscito: lo dice il log del server stesso. | Ogni piano, Free compreso | Ogni azienda | | 23:30 | Un server parla con un server cloud appena noleggiato | Una nuova destinazione cloud a noleggio nella coda di revisione del cloud, e volume in uscita insolito se si muovono dati. | Chi ha noleggiato il server e perché. | Ogni piano, Free compreso | Ogni azienda | | 00:00 | Un PC dell'ufficio scrive su un PLC | Una scrittura su un controllore da un host che di solito non vi scrive. | Se il nuovo valore è sicuro per la macchina. | Da Pro | Macchine o sistemi dell'edificio, oppure manifattura | | 00:30 | Una postazione apre all'improvviso una sessione verso il domain controller | Movimento laterale: una nuova sessione tra host che non corrisponde alla normalità della postazione. | Quale account è stato usato: lo dicono i log del domain controller. | Ogni piano, Free compreso | Almeno 20 persone | | 01:00 | Il PC domestico infetto di un dipendente da remoto si collega via VPN | Beaconing o scansioni dall'intervallo di indirizzi della VPN, se il traffico VPN è replicato. | Il PC domestico stesso, prima che si colleghi. | Ogni piano, Free compreso | Parte del personale lavora da remoto | | 01:30 | Strumenti di amministrazione usati alle 01:30 | Nuove sessioni SMB, RDP o WinRM che non corrispondono alla normalità dell'host. | Se l'uso è legittimo: la rete vede la sessione, non l'intenzione. | Ogni piano, Free compreso | Ogni azienda | | 02:00 | Un PLC viene fermato o riprogrammato di notte | Attività OT fuori dal normale orario di lavoro. | Le modifiche fatte direttamente sul pannello del controllore. | Da Pro | Macchine o sistemi dell'edificio, oppure manifattura | | 02:15 | Un ransomware raggiunge molte cartelle condivise insieme | Preparazione di un ransomware: un host che raggiunge molte condivisioni in poco tempo. | La cifratura stessa sull'host: la vede la protezione degli endpoint. | Ogni piano, Free compreso | Ogni azienda | | 02:40 | La rete d'ufficio raggiunge il livello di controllo | Traffico che attraversa livelli della rete di stabilimento che dovrebbero restare separati. | Le connessioni su collegamenti non replicati, come un modem del produttore. | Da Pro | Macchine o sistemi dell'edificio, oppure manifattura | | 03:00 | Il server ERP invia dati all'esterno alle 03:00 | Volume insolito di dati in uscita rispetto a destinazioni, volumi e orari abituali del server. | Quali file sono usciti, nelle sessioni cifrate. | Ogni piano, Free compreso | Ogni azienda | | 03:20 | Il backup notturno sembra un furto di dati | Gli invii sono confrontati con la normalità di ogni host, quindi un backup che gira uguale ogni notte non genera avvisi. | Se il backup si può davvero ripristinare. | Ogni piano, Free compreso | Ogni azienda | | 03:40 | Uno sviluppatore carica un grande archivio su un cloud personale | Volume insolito di dati in uscita verso una destinazione che il portatile usa di rado. | Che cosa contiene l'archivio. | Ogni piano, Free compreso | Almeno 20 persone | | 04:00 | Un router 4G nascosto nell'armadio di una macchina | Se il suo lato LAN è su un segmento replicato: un nuovo dispositivo e il suo traffico verso i controllori. | Il traffico sul collegamento 4G stesso, che non attraversa mai la Sua rete. | Ogni piano, Free compreso | Macchine o sistemi dell'edificio, oppure manifattura | | 04:30 | Un vecchio server SSH di cui nessuno si ricorda | Nell'inventario SSH di NQCI, con il sensore di cattura dei pacchetti su un agente Linux o un sensore SPAN/TAP: la versione SSH che il server annuncia e se è precedente alla versione corretta. | Una prova di vulnerabilità: un banner di versione si può alterare e le distribuzioni riportano le correzioni a versioni precedenti. | Da Pro | Ogni azienda | | 05:00 | Quali server usano ancora uno scambio di chiavi vulnerabile ai computer quantistici? | NQCI (anteprima) sul traffico monitorato, con il sensore di cattura dei pacchetti su un agente Linux o un sensore SPAN/TAP: quali connessioni usano uno scambio di chiavi vulnerabile ai computer quantistici e quali uno ibrido post-quantistico. La modalità macOS di base non vede gli handshake. | I dati che qualcuno ha registrato in passato: un inventario mostra il traffico di oggi. | Da Pro | Rientra in NIS2, o non sa | | 05:30 | Scanner e terminali di magazzino entrano in rete | Nuovi dispositivi sulla mappa della rete e il loro traffico insolito. | Che cosa fanno le app sui terminali nelle sessioni cifrate. | Ogni piano, Free compreso | Dipende dal settore | | 06:00 | Dispositivi medici o di laboratorio su cui non può girare un agente | Le loro connessioni da un segmento replicato: nuove destinazioni, scansioni, volume insolito. | Lo stato interno del dispositivo e i dati dei pazienti che contiene. | Ogni piano, Free compreso | Dipende dal settore | | 06:30 | Casse e terminali di pagamento condividono la rete | Scansioni o nuove sessioni da una cassa verso altri dispositivi. | I dati delle carte nella sessione cifrata del terminale di pagamento. | Ogni piano, Free compreso | Dipende dal settore | | 07:00 | La seconda sede ha dispositivi che nessuno ha censito | La mappa della rete di ogni sede replicata: i dispositivi visti sui segmenti monitorati. | I dispositivi di una sede senza agente. | Ogni piano, Free compreso | Più di una sede | | 08:10 | Parte il termine di 24 ore del preallarme NIS2 | L'incidente seguito rispetto alle scadenze dell'articolo 23, con gli avvisi che lo hanno avviato. | Se l'incidente è significativo, e la segnalazione stessa. | Ogni piano, Free compreso | Rientra in NIS2, o non sa | | 08:30 | Il consiglio chiede: siamo sotto attacco in questo momento? | Ogni avviso della notte in linguaggio semplice, e lo storico degli avvisi del Suo piano. | Una promessa che non succede nulla: la risposta copre i segmenti che monitora. | Ogni piano, Free compreso | Ogni azienda | ## Non sa se qualcuno è dentro, a meno che non guardi Gli intrusi raramente si annunciano. Il rapporto M-Trends 2026 di Mandiant indica in 14 giorni la mediana globale del tempo di permanenza, dall'intrusione alla scoperta, per gli incidenti esaminati nel 2025; il rapporto Cost of a Data Breach 2025 di IBM indica in 241 giorni il tempo medio per individuare e contenere una violazione. Ecco come si svolge un'intrusione tipica in una notte, che cosa mostra NetSenX a ogni passo e che cosa un sensore di rete non può vedere. ### 18:02 Una password rubata funziona - **Che cosa fa l'intruso:** L'intruso accede tramite la VPN o un servizio di accesso remoto con una password comprata o carpita con il phishing altrove. - **Che cosa mostra NetSenX:** Ancora nulla: un accesso con credenziali valide in rete sembra normale. - **Che cosa la rete non vede:** L'accesso stesso è nei log della VPN e del sistema di identità, non nel traffico. L'autenticazione a più fattori ferma la maggior parte di questi tentativi. ### 18:20 Il computer chiama casa - **Che cosa fa l'intruso:** Un piccolo programma sul primo computer inizia a segnalarsi al server dell'intruso ogni pochi minuti, giorno e notte. - **Che cosa mostra NetSenX:** Beaconing di comando e controllo (C2): connessioni piccole e regolari verso un'unica nuova destinazione, segnalate su tutti i piani, Free compreso. - **Che cosa la rete non vede:** Quale programma apre la connessione. Lo vede la protezione degli endpoint (EDR). ### 23:10 Guardarsi intorno - **Che cosa fa l'intruso:** Da quel computer l'intruso sonda la rete interna alla ricerca di file server, backup e controller di dominio. - **Che cosa mostra NetSenX:** Scansione: un host che contatta in poco tempo molti indirizzi e porte interni. - **Che cosa la rete non vede:** Le ricerche fatte sul computer stesso, come la lettura della directory, che non attraversano mai la rete. ### 01:30 Passare alla macchina successiva - **Che cosa fa l'intruso:** Con le password trovate sul primo computer, l'intruso apre sessioni remote verso server che non ha mai usato, con gli strumenti stessi degli amministratori. - **Che cosa mostra NetSenX:** Movimento laterale: nuove sessioni da host a host via SMB, RDP o WinRM che non corrispondono alla normalità dell'host. - **Che cosa la rete non vede:** Che lo strumento è legittimo: l'antivirus spesso lascia passare gli strumenti di amministrazione integrati, e la rete anche. ### 02:40 Un dispositivo che nessuno ha ordinato - **Che cosa fa l'intruso:** Alcune intrusioni portano il proprio hardware: un piccolo computer o un bridge Wi-Fi collegato a una presa libera, che comunica con l'esterno. - **Che cosa mostra NetSenX:** Se si trova su un segmento monitorato e trasmette, le sue connessioni regolari verso l'esterno appaiono come beaconing e traffico insolito. - **Che cosa la rete non vede:** Un dispositivo che resta in silenzio, o che si trova su un segmento di cui non copia il traffico. ### 03:00 I dati escono a piccoli pezzi - **Che cosa fa l'intruso:** I file vengono copiati verso l'esterno di notte, all'ora di pranzo o nei fine settimana, in pezzi calibrati per restare sotto semplici allarmi di volume. - **Che cosa mostra NetSenX:** Volume insolito di dati in uscita: gli invii di ogni host confrontati con le sue destinazioni, i suoi volumi e i suoi orari abituali. - **Che cosa la rete non vede:** I nomi e il contenuto dei file nelle sessioni cifrate. ### 08:30 Qualcuno se ne accorge - **Che cosa fa l'intruso:** Il Suo team legge gli avvisi con il caffè del mattino. Se l'incidente è significativo e si applica NIS2, il termine di 24 ore per il preallarme inizia ora. - **Che cosa mostra NetSenX:** Ogni avviso in linguaggio semplice, il registro di audit di ciò che è stato visto e fatto e i termini dell'articolo 23 di NIS2 seguiti per l'incidente. - **Che cosa la rete non vede:** Se l'incidente è significativo, e la notifica stessa: queste decisioni restano Sue. Fonti: [Mandiant (Google Cloud), M-Trends 2026](https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026/) · [IBM, Cost of a Data Breach Report 2025 (press release, 30 July 2025)](https://newsroom.ibm.com/2025-07-30-ibm-report-13-of-organizations-reported-breaches-of-ai-models-or-applications,-97-of-which-reported-lacking-proper-ai-access-controls) ## Con e senza NetSenX: cambia quando lo sa NetSenX non impedisce che questa notte accada. Cambia il momento in cui lo viene a sapere. Scorra la notte: la corsia di sinistra è ciò che succede quando nessuno osserva la rete, quella di destra l'avviso che ogni passo produce, o nulla dove la rete non vede. | Ora | Che cosa fa l'intruso | Che cosa mostra NetSenX | Che cosa la rete non vede | |---|---|---|---| | 18:02 | Una password rubata funziona | Ancora nulla: un accesso con password valida sembra normale. | L'accesso stesso è nei log della VPN e del sistema di identità, non nel traffico. L'autenticazione a più fattori ferma la maggior parte di questi tentativi. | | 18:20 | Il computer chiama casa | Avviso: beaconing di comando e controllo (C2). | Quale programma apre la connessione. Lo vede la protezione degli endpoint (EDR). | | 23:10 | Guardarsi intorno | Avviso: scansione della rete interna. | Le ricerche fatte sul computer stesso, come la lettura della directory, che non attraversano mai la rete. | | 01:30 | Passare alla macchina successiva | Avviso: movimento laterale. | Che lo strumento è legittimo: l'antivirus spesso lascia passare gli strumenti di amministrazione integrati, e la rete anche. | | 02:40 | Un dispositivo che nessuno ha ordinato | Avviso: beaconing e traffico insolito, se il dispositivo trasmette su un segmento monitorato. | Un dispositivo che resta in silenzio, o che si trova su un segmento di cui non copia il traffico. | | 03:00 | I dati escono a piccoli pezzi | Avviso: volume insolito di dati in uscita. | I nomi e il contenuto dei file nelle sessioni cifrate. | | 08:30 | Qualcuno se ne accorge | Avvisi spiegati in linguaggio semplice, scadenze NIS2 seguite. | Se l'incidente è significativo, e la notifica stessa: queste decisioni restano Sue. | - Con il piano Free, gli avvisi di questa notte restano nello storico degli avvisi per 30 giorni. - Con il piano Solo, gli avvisi di questa notte restano nello storico degli avvisi per 60 giorni. - Con il piano Starter, gli avvisi di questa notte restano nello storico degli avvisi per 60 giorni. - Con il piano Pro, gli avvisi di questa notte restano nello storico degli avvisi per 90 giorni. - Con il piano Business, gli avvisi di questa notte restano nello storico degli avvisi per 365 giorni. - Con il piano Enterprise, lo storico degli avvisi non ha limiti di tempo. Ogni avviso di questa notte è in ogni piano, Free compreso: il piano cambia per quanto tempo restano le prove, non se le vede. Per contesto, secondo le fonti qui sotto: il tempo mediano globale dall'intrusione alla scoperta è stato di 14 giorni per gli incidenti esaminati nel 2025, e il tempo medio per identificare e contenere una violazione di 241 giorni. Sono medie di altre organizzazioni, non una misura di NetSenX. Fonti: [Mandiant (Google Cloud), M-Trends 2026](https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026/) · [IBM, Cost of a Data Breach Report 2025 (press release, 30 July 2025)](https://newsroom.ibm.com/2025-07-30-ibm-report-13-of-organizations-reported-breaches-of-ai-models-or-applications,-97-of-which-reported-lacking-proper-ai-access-controls) ## Sapere dove la Sua cifratura andrà sostituita L'UE ha chiesto agli Stati membri di passare alla crittografia post-quantistica: raccomandazione (UE) 2024/1101 della Commissione dell'11 aprile 2024 e tabella di marcia coordinata del gruppo di cooperazione NIS del 23 giugno 2025, che punta a proteggere i casi d'uso ad alto rischio entro la fine del 2030 e quanti più sistemi possibile entro il 2035. Ogni migrazione inizia da un inventario: dove usa quale crittografia. ### Perché conta Un grande computer quantistico con l'algoritmo di Shor potrebbe rompere RSA e la crittografia a curve ellittiche, che oggi proteggono quasi ogni scambio di chiavi e ogni firma. La cifratura simmetrica come AES è indebolita solo moderatamente. Un computer simile non esiste ancora e nessuno sa dire in quale anno esisterà. ### Che cosa la sostituisce Il NIST ha pubblicato i primi standard post-quantistici il 13 agosto 2024: FIPS 203 (ML-KEM) per lo scambio di chiavi, FIPS 204 (ML-DSA) e FIPS 205 (SLH-DSA) per le firme. I browser offrono già uno scambio di chiavi ibrido come X25519MLKEM768, che combina un metodo classico e uno post-quantistico. ### Raccogliere ora, decifrare dopo Il traffico registrato oggi potrebbe essere letto quando un computer simile esisterà. Conta per i dati che devono restare segreti per anni: cartelle cliniche, progetti, contratti lunghi. È una questione di pianificazione, non un'emergenza. ### Che cosa fa NetSenX NQCI, l'inventario crittografico di NetSenX (in anteprima), mostra dalla rete quali connessioni usano uno scambio di chiavi vulnerabile ai computer quantistici e quali uno scambio ibrido post-quantistico. È visibile in ogni piano e attivo dal piano Pro. Richiede il sensore di cattura dei pacchetti, disattivato per impostazione predefinita: attivato su un agente Linux o come sensore su una porta SPAN o TAP. La modalità di base dell'agente, usata su macOS, non vede gli handshake TLS. ### Che cosa non fa Non migra nulla e non La rende conforme: sostituire la crittografia è un lavoro per Lei e i Suoi fornitori. Vede le connessioni che attraversano un segmento monitorato, non la crittografia dentro le applicazioni o sui dischi. ### Iniziare adesso? La regola di Mosca Sommi gli anni per cui i Suoi dati devono restare segreti e gli anni che richiederà la migrazione. Se il totale supera gli anni che mancano a un computer quantistico capace, inizi adesso. Quest'ultimo numero non lo conosce nessuno: ne provi diversi. Nessuno conosce questo numero: confronti tre stime. Il risultato qui sotto segue la più vicina. x + y > z Fonti: [Commission Recommendation (EU) 2024/1101 of 11 April 2024 on a Coordinated Implementation Roadmap for the transition to Post-Quantum Cryptography](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32024H1101) · [NIS Cooperation Group, A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (23 June 2025)](https://digital-strategy.ec.europa.eu/en/library/coordinated-implementation-roadmap-transition-post-quantum-cryptography) · [NIST, NIST Releases First 3 Finalized Post-Quantum Encryption Standards (13 August 2024)](https://www.nist.gov/news-events/news/2024/08/nist-releases-first-3-finalized-post-quantum-encryption-standards) ## Per chi è questa pagina - **Responsabile IT, da 20 a 500 persone**: Risponde della sicurezza senza un team di sicurezza, la direzione chiede della NIS2 e Lei deve sapere che cosa succede in rete senza leggere log tutto il giorno. - **L'amministratore unico**: Lei è il reparto IT. Tutto ciò che installa deve funzionare senza sorveglianza, spiegarsi da solo e non costarLe un fine settimana. - **MSP o fornitore di servizi IT**: Segue molti piccoli clienti, ciascuno con la propria rete, e ciascuno deve restare separato dagli altri. ## «Non sapremmo se qualcuno fosse già nella nostra rete». **Che cosa fa NetSenX:** NetSenX osserva come si comporta ogni host in rete e rileva beaconing C2, scansioni, movimento laterale e volumi di dati in uscita insoliti, in ogni piano, Free compreso. **Che cosa non fa:** Non vede ciò che accade dentro un host senza passare dalla rete; quello è il campo della protezione degli endpoint (EDR). Un avviso è un motivo per indagare, non la prova di un'intrusione. Per approfondire: https://netsenx.com/it/is-someone-inside-your-network ## «Riceviamo avvisi che nessuno ha il tempo di leggere, e la maggior parte è rumore». **Che cosa fa NetSenX:** Ogni avviso spiega in linguaggio semplice quali caratteristiche di rete ne hanno determinato il punteggio, in ogni piano. Uno strato split-conformal limita i falsi positivi tra gli avvisi segnalati non appena i Suoi dati di calibrazione lo consentono; fino ad allora la dashboard lo dice. Nei piani a pagamento, AI Analyst Core può aggiungere a ogni avviso una nota in linguaggio semplice, con la Sua chiave di un fornitore di IA. **Che cosa non fa:** Non è un servizio di rilevamento gestito: nessuno in NetSenX segue i Suoi avvisi 24 ore su 24, e decidere che cosa fare di un avviso resta compito Suo. Per approfondire: https://netsenx.com/it/features ## «Metà della nostra rete sono stampanti, telecamere e macchine su cui non possiamo installare nulla». **Che cosa fa NetSenX:** Un agente su una porta SPAN o un TAP osserva un intero segmento di rete, compresi i dispositivi senza agente. Dal piano Pro legge Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP e S7comm tramite cattura passiva. **Che cosa non fa:** I dispositivi OT non vengono mai interrogati attivamente, e il traffico di un segmento che non replica resta fuori vista. Per approfondire: https://netsenx.com/it/ot-network-monitoring ## «La NIS2 ci obbliga a notificare un incidente significativo entro 24 ore». **Che cosa fa NetSenX:** NetSenX segue ogni incidente rispetto alle scadenze dell'articolo 23 della NIS2 (24 ore, 72 ore, un mese), prepara per il Suo DPO la notifica di violazione dell'articolo 33 del GDPR e tiene un registro di audit di avvisi, decisioni degli analisti e modifiche di configurazione. Report PDF dal piano Starter. **Che cosa non fa:** Non stabilisce se la Sua azienda rientra nella NIS2 né se un incidente è significativo, e non invia notifiche al Suo CSIRT o all'autorità al posto Suo. Per approfondire: https://netsenx.com/it/nis2-incident-reporting-deadlines ## «Quasi tutto è cifrato, e non vogliamo rompere TLS per ispezionarlo». **Che cosa fa NetSenX:** NetSenX analizza il traffico cifrato a partire da tempi, volumi e destinazioni, e dal piano Starter anche dall'handshake TLS. Non decifra mai: nessun proxy di intercettazione, nessun certificato da installare. L'handshake è visibile solo dove l'agente cattura i pacchetti: su Linux o come sensore su una porta SPAN o TAP, non nella modalità di base usata su macOS. **Che cosa non fa:** Non può leggere il contenuto di una sessione cifrata. Per approfondire: https://netsenx.com/it/encrypted-traffic-analysis ## «I dipendenti incollano dati aziendali in strumenti di IA mai approvati». **Che cosa fa NetSenX:** Dal piano Pro, NetSenX segnala il traffico verso servizi di IA esterni e verso runtime di modelli linguistici eseguiti in locale: quale host, quale servizio e quanti dati. **Che cosa non fa:** Non legge i prompt né ciò che è stato inviato, e non blocca un servizio da sé. Per approfondire: https://netsenx.com/it/shadow-ai-detection ## «L'NDR enterprise ha prezzi da grande azienda, e nessuno pubblica un prezzo». **Che cosa fa NetSenX:** NetSenX pubblica i suoi prezzi e ha un piano Free senza limiti di tempo. Un dispositivo è un host su cui gira l'agente, e un agente su una porta SPAN o TAP conta come un solo dispositivo per tutto il segmento che osserva. **Che cosa non fa:** L'installazione on-premise e i report white-label sono solo nel piano Enterprise. Per approfondire: https://netsenx.com/it/pricing ## «I nostri dati devono restare nell'UE, e l'ufficio legale vuole l'elenco dei sub-responsabili». **Che cosa fa NetSenX:** I dati dei clienti sono conservati nell'UE: il database in Irlanda, l'API a Francoforte e Parigi. È pubblicato un accordo sul trattamento dei dati ai sensi dell'articolo 28 del GDPR con l'elenco completo dei sub-responsabili. **Che cosa non fa:** L'installazione on-premise, per dati che non possono lasciare la Sua sede, è solo nel piano Enterprise. Per approfondire: https://netsenx.com/it/eu-data-residency ## «Gestiamo l'IT di molti piccoli clienti e non possiamo costruire un SOC per ciascuno». **Che cosa fa NetSenX:** Ogni cliente è un tenant a sé, separato nel database tramite sicurezza a livello di riga (row-level security), e ciascuno può iniziare con il piano Free. I report white-label sono nel piano Enterprise; il programma partner si rivolge a MSSP e rivenditori. **Che cosa non fa:** NetSenX non gestisce un servizio per Suo conto; l'esame degli avvisi resta a Lei o al Suo team. Per approfondire: https://netsenx.com/it/partners