- Inizio
- Competenze
- Sicurezza e incidenti
Sicurezza informatica e risposta agli incidenti
Gestiamo incidenti informatici dall’inizio alla fine: contenimento, conservazione delle prove, cronologia, perimetro dei dati coinvolti, supporto alle notifiche e ripristino. Attorno a questo lavoriamo ogni giorno sugli strumenti che servono a prevenire gli incidenti, o almeno a vederli in tempo: SIEM, protezione degli endpoint, riduzione dell’esposizione, credenziali, cifratura.
Le analisi si fanno sui log, sulle macchine e sui dati, e ogni conclusione dice su quali prove si regge. Gli incidenti qui sotto sono raccontati solo per tipo: i casi restano riservati.
Risposta agli incidenti e analisi forense
Davanti a un attacco la prima regola è non peggiorare le cose: si conservano le prove nell’ordine giusto (memoria, istantanee delle macchine, raccolta mirata, immagine del disco solo se serve), si calcolano gli hash e si lavora sulle copie. Poi si ricostruisce che cosa è successo, quando e da dove.
Teniamo sempre separato ciò che le prove dimostrano da ciò che la vittima dichiara o gli attaccanti rivendicano. Il materiale ostile, come i dati pubblicati per estorsione, si acquisisce e si analizza solo su una macchina isolata e dedicata, mai dai sistemi del cliente.
Tecnologie e prodotti
- Raccolta mirata in sola lettura per Windows e Linux
- Hash SHA-256 e catena di custodia
- Acquisizione di memoria e dischi (avml, winpmem, dd)
- MITRE ATT&CK
- OCR e riconoscimento dei dati personali
Esempi
-
Fornitore di servizi digitali Consegnato
Esfiltrazione con estorsione: quanto era uscito davvero
- Il problema
- Gli attaccanti avevano pubblicato una parte dei dati sottratti e ne rivendicavano molti di più. Per decidere le notifiche serviva una misura oggettiva di che cosa fosse uscito.
- Cosa abbiamo fatto
- Abbiamo acquisito il materiale pubblicato su una macchina forense isolata, ne abbiamo verificato l’autenticità con hash e metadati e lo abbiamo analizzato documento per documento, ricavando solo numeri aggregati: categorie di dati, presenza di dati particolari e di documenti d’identità, codici fiscali validati e mascherati. Nessun dato personale è stato estratto in chiaro.
- Risultato
- Una base di fatti per le notifiche, con il confine dichiarato fra ciò che il campione dimostra e ciò che resta da verificare sui log dei server. In più, un controllo orario automatico del sito di pubblicazione con un avviso per posta a ogni cambiamento.
-
Organizzazione di servizi che tratta anche dati sanitari In corso
Ransomware a doppia estorsione con dati particolari
- Il problema
- Capire quali dati, quanti e di che tipo gli attaccanti dichiaravano di avere, per documentare l’incidente verso le autorità.
- Cosa abbiamo fatto
- Abbiamo aperto il fascicolo dell’incidente (raccolta iniziale, piano d’indagine, richiesta strutturata di informazioni e prove, registro delle evidenze, cronologia) e preparato lo strumento che classifica i dati sulla macchina isolata restituendo solo valori aggregati e mascherati.
- Dove siamo arrivati
- Fascicolo e strumenti pronti: l’analisi prosegue man mano che arriva il materiale.
Frodi via posta elettronica (BEC)
Nelle frodi di tipo BEC l’attaccante si inserisce in una conversazione vera fra cliente e fornitore, di solito con un dominio quasi identico a quello legittimo, e fa cambiare le coordinate di pagamento. Ricostruiamo la frode dai messaggi e dalle loro intestazioni, stabiliamo dove c’è stata davvero una compromissione e consegniamo un rapporto con la cronologia, le prove e le azioni urgenti.
Tecnologie e prodotti
- Intestazioni SMTP, SPF, DKIM, DMARC
- Log di accesso alle caselle Exchange
- Exchange Web Services
- Ricerca di domini sosia (distanza di Levenshtein)
- Correlazione con i log di autenticazione
Un esempio
-
Azienda industriale Consegnato
Bonifici dirottati: la casella violata non era quella del cliente
- Il problema
- L’azienda aveva pagato più bonifici su coordinate fraudolente e temeva che la propria posta fosse stata violata.
- Cosa abbiamo fatto
- Abbiamo analizzato i log di accesso alle caselle interne: nessun accesso anomalo, nessuna regola di inoltro nascosta. Incrociando le intestazioni dei messaggi abbiamo dimostrato che la casella compromessa era quella del fornitore; il dominio contraffatto è emerso calcolando la distanza fra i nomi.
- Risultato
- Rapporto forense con cronologia completa, indicatori e azioni: richiamo dei bonifici, blocco del dominio sosia, verifica delle coordinate bancarie su un canale indipendente, audit delle caselle e una regola contro lo spoofing dei domini dei fornitori.
Server esposti compromessi
Quando un server raggiungibile da Internet viene compromesso, individuiamo il punto d’ingresso, i meccanismi di persistenza e che cosa è stato letto o portato via, e distinguiamo l’incidente di sicurezza dal semplice problema di capacità. L’intrusione si cerca dove ha lasciato traccia, non dove ci si aspetta di trovarla.
Tecnologie e prodotti
- journald, auth.log, wtmp e btmp
- Log applicativi e del server web
- cron e systemd
- Indicatori di compromissione
- Verifiche in sola lettura su più macchine
Un esempio
-
Infrastruttura di servizi gestiti Consegnato
Esecuzione di codice da remoto, senza un solo accesso
- Il problema
- Un’applicazione web vulnerabile, eseguita con privilegi elevati, aveva permesso di installare un programma malevolo e due meccanismi di persistenza.
- Cosa abbiamo fatto
- Abbiamo dimostrato che l’attaccante non aveva mai effettuato un accesso: il codice passava dal processo dell’applicazione, quindi i log di autenticazione erano puliti per definizione. Dai log dell’applicazione abbiamo ricostruito quali credenziali erano state davvero lette e quali solo esposte, poi abbiamo rimosso la persistenza.
- Risultato
- Perimetro dell’incidente chiarito, credenziali sottratte sostituite e verificate una per una, esposizione ridotta.
Notifiche al Garante e all'ACN
Traduciamo le evidenze tecniche in una base di fatti per il titolare, il DPO e il legale: bozze di notifica al Garante (art. 33 del GDPR, anche per fasi), comunicazioni agli interessati quando il rischio è elevato (art. 34) e, per i soggetti NIS2, le notifiche ad ACN e CSIRT Italia nei tre stadi previsti.
I testi restano coerenti fra loro su date, sistemi e categorie di dati, e distinguono il titolare dal responsabile quando i dati sono trattati per conto di altri. La trasmissione e la firma restano, com’è giusto, al titolare.
Tecnologie e prodotti
- GDPR, articoli 33 e 34
- D.lgs. 138/2024 (NIS2)
- Prassi di notifica di CSIRT Italia
Un esempio
-
Fornitore di servizi digitali Consegnato
Pacchetto di notifica per un responsabile del trattamento
- Il problema
- L’incidente riguardava dati che il fornitore trattava per conto dei propri clienti: le comunicazioni dovevano tenere conto di entrambi i ruoli.
- Cosa abbiamo fatto
- Abbiamo preparato le bozze per il Garante, per gli interessati e per i clienti titolari, con i campi da completare evidenziati, i dati particolari mascherati e le scadenze calcolate: 72 ore per il Garante; 24 ore, 72 ore e un mese per gli stadi NIS2.
- Risultato
- Testi pronti per la revisione e la firma di DPO e legale, coerenti fra loro e con le evidenze.
SIEM e raccolta dei log
Amministriamo e rimettiamo in salute piattaforme SIEM, estendiamo la raccolta dei log di sicurezza, costruiamo cruscotti per le domande che contano e controlliamo che i dati arrivino davvero: un cruscotto verde non basta.
Tecnologie e prodotti
- Elasticsearch, Kibana, Elastic Agent e Fleet
- Elastic Common Schema
- Eventi di sicurezza di Windows (4624, 4625, 4768, 4769, 4776)
- Certificati TLS e autorità di certificazione interne
Un esempio
-
Gruppo industriale con più sedi In esercizio
Il SIEM era verde, ma non raccoglieva più niente
- Il problema
- Un certificato interno era scaduto e tutti gli agenti avevano smesso di inviare dati nello stesso momento. Il cruscotto restava verde e per mesi nessuno se n’era accorto.
- Cosa abbiamo fatto
- Abbiamo trovato la causa e riemesso il certificato con la stessa autorità interna, così gli agenti non andavano riarruolati uno per uno. Poi abbiamo allungato la conservazione del registro di sicurezza sui controller di dominio, installato gli agenti mancanti e costruito un cruscotto per seguire l’uso di un account amministrativo critico.
- Risultato
- SIEM di nuovo alimentato, copertura più ampia e due controlli fissi per non ricadere nel guasto silenzioso: l’ultimo dato ricevuto da ogni sorgente e la scadenza dei certificati.
Protezione degli endpoint (XDR ed EDR)
Gestiamo le piattaforme di protezione degli endpoint e i firewall di nuova generazione dalle console e dalle loro API, installiamo gli agenti dove mancano e soprattutto verifichiamo che la protezione sia attiva davvero. Un agente installato con il motore spento, o un record fantasma in console, è più pericoloso di un’assenza visibile.
Tecnologie e prodotti
- Bitdefender GravityZone
- CrowdStrike Falcon
- Palo Alto Cortex XDR
- Palo Alto Strata Cloud Manager
- EDR, controllo dei comportamenti, rimedio ai ransomware
Esempi
-
Infrastruttura cloud con molte macchine virtuali In esercizio
Macchine virtuali che sembravano protette
- Il problema
- Gran parte delle macchine risultava senza protezione e alcuni record della console davano un quadro falso.
- Cosa abbiamo fatto
- Abbiamo incrociato l’inventario reale con quello della console, riconoscendo le macchine con un identificativo affidabile e non per nome; installato gli agenti mancanti, corretto i casi di antivirus installato ma spento, messo a punto la politica per un server senza interfaccia grafica e misurato il carico sulla CPU.
- Risultato
- Copertura completa e verificata, con le anomalie residue elencate una per una.
-
Trasporto pubblico Consegnato
EDR sui server di un sistema di localizzazione dei mezzi
- Il problema
- I server Linux del sistema che localizza i mezzi della flotta dovevano entrare nella copertura EDR, senza disturbare il servizio.
- Cosa abbiamo fatto
- Agente installato via SSH, verifica della registrazione e della piena funzionalità sulla console; i falsi positivi del controllo automatico sono stati ricondotti a nomi ricostruiti dagli indirizzi.
- Risultato
- Copertura del parco verificata.
Rotazione delle credenziali
Dopo un incidente, o per semplice igiene, cambiamo le credenziali in modo controllato e ne verifichiamo l’effetto: le nuove funzionano, le vecchie non funzionano più. Prima del cambio mappiamo dove un account viene usato (servizi, attività pianificate, applicazioni con la password salvata), per non fermare niente. E teniamo conto del riuso: una password compromessa vive spesso anche su altri sistemi.
Tecnologie e prodotti
- Verifiche automatiche via SSH e API
- Mappa degli usi degli account di servizio
Un esempio
-
Infrastruttura di servizi gestiti Consegnato
Credenziali sostituite e verificate apparato per apparato
- Il problema
- Dopo una compromissione, alcune password di apparati di rete e di server risultavano lette dall’attaccante.
- Cosa abbiamo fatto
- Abbiamo cambiato le credenziali di tutti gli apparati coinvolti con un giro di verifica per ognuno: accesso con la password nuova, rifiuto della vecchia, controllo che utenti, attività pianificate e chiavi non fossero stati alterati.
- Risultato
- Credenziali esposte sostituite e verificate, ed elencati gli altri sistemi su cui le stesse password andavano cambiate.
Hardening e riduzione dell'esposizione
Riduciamo ciò che è raggiungibile da Internet all’indispensabile e portiamo l’amministrazione dietro VPN. Verso l’esterno preferiamo non sembrare niente: nessuna versione, nessun nome di prodotto, errori generici.
Ogni modifica a un firewall parte con un ripristino automatico programmato, che riapre l’accesso se la modifica non va a buon fine: chi lavora a distanza non deve mai chiudersi fuori.
Tecnologie e prodotti
- WireGuard
- nftables e ufw
- fail2ban
- WAF con regole OWASP CRS
- Intestazioni di sicurezza HTTP, TLS 1.2 e 1.3, HSTS
Un esempio
-
Infrastruttura di servizi su cloud In esercizio
Da Internet, solo la porta 443
- Il problema
- Le porte di amministrazione dei server erano raggiungibili da Internet.
- Cosa abbiamo fatto
- Abbiamo lasciato aperta solo la 443, spostato l’amministrazione dietro tre tunnel WireGuard indipendenti con più strade per ogni macchina, aggiunto il blocco automatico dei tentativi falliti con un avviso a ogni accesso riuscito e scritto le procedure di rientro d’emergenza.
- Risultato
- Superficie esposta ridotta a un solo servizio, con le procedure per rientrare anche se un tunnel cade.
Cifratura e gestione dei segreti
Progettiamo la cifratura dei dati a riposo e la custodia dei segreti dicendo con chiarezza che cosa protegge ogni misura: la cifratura dei dischi protegge copie, repliche e backup, non un sistema acceso; per quello servono la cifratura applicativa e la chiusura delle vie d’uscita. Misuriamo il costo sulla CPU prima di proporre e consideriamo la tenuta nel tempo, anche rispetto agli algoritmi post-quantistici.
Tecnologie e prodotti
- LUKS2 (AES-256-XTS, Argon2id)
- Clevis e Tang
- OpenBao
- age
- ML-KEM (valutazione)
Conformità: GDPR, NIS2, ISO 27001, Cyber Essentials
Aiutiamo a rispondere alle verifiche di sicurezza dei committenti in modo ripetibile: un impianto ISO/IEC 27001, le misure di base nazionali come contenuto tecnico, e le evidenze prodotte dal lavoro stesso (documenti versionati, rapporti automatici, SBOM a ogni rilascio). Verifichiamo i requisiti di residenza dei dati negli strumenti in cloud e seguiamo le certificazioni che impongono tempi stretti sugli aggiornamenti.
Tecnologie e prodotti
- ISO/IEC 27001:2022
- NIS2 (D.lgs. 138/2024)
- GDPR
- Cyber Resilience Act e SBOM CycloneDX
- Cyber Essentials (NCSC)
Un esempio
-
Società di servizi con attività nel Regno Unito In corso
Certificazione Cyber Essentials
- Il problema
- Ottenere la certificazione britannica Cyber Essentials, che impone di installare gli aggiornamenti di gravità alta entro 14 giorni dalla pubblicazione.
- Cosa abbiamo fatto
- Requisiti dello schema, questionario, inventario degli apparati, registro dei bollettini di sicurezza e procedure di aggiornamento con conservazione delle evidenze.
- Dove siamo arrivati
- Percorso avviato, con le scadenze dei 14 giorni tenute sotto controllo.
Gestione dei dispositivi mobili (MDM)
Amministriamo parchi di smartphone e tablet aziendali con piattaforme MDM: distribuzione di applicazioni e configurazioni, ripristino della gestione quando si interrompe, verifica della postura di sicurezza (conformità, versioni, protezione dei dati sul dispositivo).
Tecnologie e prodotti
- Workspace ONE UEM (API REST)
- Apple Business Manager
- APNs, DEP e VPP
- pymobiledevice3
Esempi
-
Rete distribuita di punti operativi Consegnato
Centocinquanta dispositivi tornati a rispondere in un'ora
- Il problema
- Su un parco di circa 300 iPad supervisionati, quasi tutti avevano smesso di eseguire i comandi di gestione.
- Cosa abbiamo fatto
- Prove attive (la conferma del comando, non il «visto per ultimo»), divisione del parco per data di arruolamento e registri letti via USB: il certificato del canale di notifica era stato sostituito con uno di argomento diverso. Abbiamo ricaricato l’originale, ancora valido, con un passaggio di console non documentato.
- Risultato
- 149 dispositivi tornati a rispondere in un’ora e almeno 1.587 app installate o aggiornate, senza un solo intervento fisico e senza perdita di dati. Poi l’inventario della postura di sicurezza, con le raccomandazioni.
-
Rete distribuita di punti operativi Consegnato
Un kit da campo per i dispositivi muti
- Il problema
- Alcuni dispositivi non rispondevano più e andavano ripristinati in sede, da personale non tecnico.
- Cosa abbiamo fatto
- Un eseguibile unico, senza bisogno di Internet né di diritti di amministratore, che salva i dati, cancella il dispositivo e lo fa riarruolare automaticamente.
- Risultato
- Un iPad muto da 28 giorni riarruolato in 23 minuti, che risponde ai comandi in 3 secondi.