Quali sono i segnali di un attacco alla rete aziendale? La check-list da usare per agire subito

Quando la rete aziendale inizia a comportarsi in modo strano, non hai il lusso del dubbio. Devi leggere i segnali, decidere in minuti e muoverti con una sequenza chiara. Che tu gestisca un ufficio con dieci PC o un’infrastruttura distribuita, la logica non cambia: riconosci i pattern, conferma con dati, isola, ripristina, comunica. Qui trovi la check-list operativa e i criteri per scegliere le mosse giuste senza sprecare tempo.

Segnali immediati che non puoi ignorare

I primi campanelli d’allarme arrivano dal comportamento anomalo degli utenti e dei sistemi. Se li cogli in tempo, tagli ore di indagine e limiti l’impatto.

• Rallentamenti improvvisi e diffusi: applicazioni che si aprono a rilento, file server lenti, stampanti che smettono di rispondere. Se succede a più reparti in contemporanea, sospetta un’azione coordinata in rete.
• Traffico uscente che esplode: i grafici del firewall o dell’SD-WAN mostrano picchi verso IP esteri o cloud non usati di solito. È la spia di esfiltrazione dati o di C2 (command and control).
• Login anomali: tentativi falliti a raffica, accessi notturni o da Paesi insoliti, nuovi account admin comparsi dal nulla. Un SIEM lo evidenzia, ma anche i log nativi possono bastare.
• Antivirus ed EDR disattivati: agent che risultano offline o policy modificate senza change ticket. È un segno classico nelle fasi iniziali di molti playbook su MITRE ATT&CK.
• File rinominati o cifrati: estensioni sconosciute nei file condivisi, note di riscatto, processi che saturano CPU e I/O. Se lo vedi su un’unità di rete, agisci al volo.
• Allerta dell’utente “non tecnico”: popup insistenti, richieste credenziali fuori contesto, applicazioni che chiedono permessi di amministratore. Il sospetto dell’utente va preso sul serio.

Indicatori tecnici da verificare entro 15 minuti

Hai un quarto d’ora per capire se è un falso positivo o un attacco in corso. La priorità è correlare segnali e circoscrivere l’ambito.

Potrebbe interessarti anche

Implementazione di una VPN aziendale: la soluzione che protegge l’accesso remoto senza complicazioniGestione centralizzata delle reti aziendali: più controllo e meno tempo perso in manutenzioneQual è la differenza tra cloud pubblico e cloud ibrido? Aspetti che impattano sulla sicurezzaStampanti multifunzione a noleggio per uffici moderni: ottieni più efficienza senza acquisti inutili

• Connessioni di rete: netstat, connessioni persistenti verso IP rari, porte non standard (es. 4444, 8082). Confronta con liste di IoC aggiornate.
• DNS e proxy: richieste verso domini generati in modo casuale, esplosione di NXDOMAIN, traffico HTTPS verso host appena registrati.
• Autenticazione: incremento di failure Kerberos/NTLM, token O365 riutilizzati, creazione di chiavi SSH non autorizzate. Occhio a nuovi membri nei gruppi privilegiati.
• Modifiche su host: servizi appena installati, task pianificati sospetti, script in cartelle temporanee, driver firmati con certificati atipici.
• Controlli EDR/SIEM: alert di lateral movement, credential dumping, disabilitazione di log. Mappa gli eventi alle tattiche su MITRE ATT&CK per orientare la risposta.
• Storage e backup: snapshot eliminati, repository immutabili messi in errore, processi che enumerano volumi condivisi.

Se due o più indicatori convergono, trattalo come incidente. Il tempo del “vediamo come evolve” è un alleato dell’attaccante.

Cosa fare subito: la tua playbook essenziale

Non devi essere un SOC h24 per rispondere con ordine. Hai bisogno di una scaletta breve, rispettosa delle prove e focalizzata a ridurre il perimetro compromesso.

• Isola in modo chirurgico: tagga le VLAN sospette, spegni solo le porte di switch coinvolte, blocca gli IP incriminati a livello di firewall. Evita di spegnere i server a freddo: perderesti tracce utili.
• Eleva l’autenticazione: forza MFA per gli admin, invalida le sessioni attive, reimposta le password di account privilegiati. Blocca i token OAuth dubbi.
• Raccolta prove: esegui memory dump degli host chiave, salva i log su spazio immutabile, prendi snapshot dei sistemi virtuali. Documenta orari, host, azioni.
• Blocca i canali di comando: regole di egress verso IP/ASN malevoli, DNS sinkhole per i domini identificati, policy EDR in modalità “contain host”.
• Verifica i backup: controlla l’ultimo restore test superato, metti in sola lettura i repository, stacca le credenziali di scrittura.
• Comunicazione interna: avvisa il management e il team legale. Definisci un canale alternativo (telefono o chat fuori dominio) per coordinarti in caso di compromissione email.
• Valuta gli obblighi: se c’è violazione di dati personali, prepara la notifica entro i termini di GDPR. Coinvolgi il DPO dove presente.
• Escalation esterna: se non hai capacità interna, attiva un incident responder. Meglio un contratto predefinito, ma anche un ingaggio spot può salvare ore.

Ogni azione va registrata. Tenere un log operativo minuto per minuto ti servirà per il post-mortem e per eventuali necessità legali.

Criteri di scelta degli strumenti e delle priorità

In emergenza non puoi rifare l’architettura, ma puoi ottimizzare ciò che hai e pianificare il “dopo” con lucidità. Ecco cosa guardare, in ordine di impatto.

• Visibilità: se non vedi, non reagisci. Attiva il logging centralizzato, estendi l’EDR agli host critici, presidia DNS e proxy. Colma i buchi prima di aggiungere nuovi tool.
• Segmentazione: micro-segmenta i servizi sensibili, limita l’est-ovest, applica policy di default deny dove possibile. La segmentazione riduce il raggio di esplosione.
• Identità: MFA ovunque, privilegi minimi, rotazione chiavi e password, protezione delle API. La maggior parte degli attacchi sfrutta credenziali.
• Backup e resilienza: segui il 3-2-1 con almeno una copia immutabile e offline. Pianifica restore test trimestrali.
• Automazione: se hai un SOAR, codifica runbook per blocchi e isolamenti rapidi. In assenza, template di regole firewall/EDR pronti da applicare.
• Metriche: ottimizza MTTD e MTTR. Anche senza SOC, definisci SLO: 15 minuti per la triage, 60 per l’isolamento, 24 ore per il contenimento completo.

Errori comuni da evitare

Li vedo ripetersi, e costano caro. Evitali con decisione.

• Spegnere tutto: togliere corrente cancella tracce e non risolve il pivot dell’attaccante. Isola in rete, non con la spina.
• Formattare troppo presto: senza analisi forense rischi di reinfettarti. Rebuild solo dopo avere chiaro il vettore.
• Comunicare in canali compromessi: se la posta è sospetta, usa un canale alternativo. Mai condividere IoC e piani in chiaro su sistemi colpiti.
• Pagare il riscatto d’impulso: non garantisce il ripristino e ti espone a sanzioni o liste nere. Valuta con legale, forze dell’ordine e assicurazione.
• Dimenticare cloud e SaaS: controlla log e permessi anche su tenant M365, Google Workspace, CRM e storage oggetti.
• Saltare la notifica: se c’è data breach, i tempi del GDPR sono stringenti. Meglio una valutazione rapida che una sanzione.

Se fossi al posto tuo, ecco la mossa netta

Bloccherei subito egress sospetti e isolerei i segmenti toccati, metterei MFA forzato agli admin, raccoglierei prove e attiverei un responder esterno se non ho un SOC. Meglio una misura in più che un’ora persa. Dopo il contenimento, punterei su visibilità, segmentazione e backup immutabili. È la triade che fa davvero la differenza nel medio periodo.

Check-list operativa finale

• Conferma i segnali: rallentamenti, login anomali, picchi di traffico.
• Correla rapidamente con log di firewall, AD/IdP, EDR e DNS.
• Dichiara l’incidente e attiva il canale di crisi alternativo.
• Isola host e VLAN coinvolte senza spegnere i server.
• Blocca domini/IP e processi indicati dagli IoC.
• Forza MFA e reset credenziali degli account privilegiati.
• Raccogli memory dump, log e snapshot su storage immutabile.
• Proteggi i backup: metti in sola lettura e verifica l’ultimo restore funzionante.
• Comunica a management e legale; valuta obblighi di notifica.
• Pianifica il ripristino graduale con priorità ai servizi core.
• Esegui eradication: patch, rotazione chiavi, hardening e rimozione persistenze.
• Conduci post-mortem: vettore, timeline, controlli mancanti, azioni correttive.

La differenza tra un incidente gestito e un disastro è la tua capacità di decidere in fretta e di seguire una traccia chiara. Con questa guida, hai un riferimento concreto per muoverti con metodo e chiudere la finestra all’attaccante.