Credenziali rubate, phishing e vulnerabilità non ancora corrette permettono ai cyber criminali di entrare anche nelle reti meglio protette. Non si tratta solo di impedire loro l’ingresso, ma anche come intervenire quando sono entrati, considerando che ogni sistema comunica liberamente con gli altri ed una sola workstation compromessa può diventare il punto di partenza per la cifratura di interi data center.

Pertanto, le organizzazione devo implementare strategie di contenimento quanto mai efficaci, quali la microsegmentazione che riduce lo spazio in cui un attaccante può muoversi e l’endpoint isolation che contiene rapidamente i dispositivi compromessi.

Cos’è la microsegmentazione di rete e come blocca i ransomware

La microsegmentazione divide la rete in zone molto piccole, fino al livello del singolo workload, applicazione o dispositivo, stabilendo con regole precise chi può comunicare e con chi. Ovvero, il principio è che ogni sistema parla solo con ciò che gli serve per svolgere il proprio compito, mentre tutto il resto è bloccato per impostazione predefinita.

Un approccio particolarmente efficace contro i ransomware, considerando che i cyber criminali, attraverso questa tipologia di attacco, raramente si fermano alla macchina infettata: cercano condivisioni di rete, server di backup e controller di dominio per massimizzare il danno.

Di fatto, con la microsegmentazione, la workstation compromessa non ha alcun percorso legittimo verso questi sistemi e il tentativo di propagazione viene bloccato, oppure, reso visibile e rallentato.

Risultato: l’attacco resta confinato a un’area ridotta e non si trasforma in un fermo totale dell’operatività.

Qual è il concetto di spostamento laterale e quali danni causa alla rete

Lo spostamento laterale (lateral movement) è la fase in cui l’attaccante, ottenuto il primo accesso, si muove da un sistema all’altro alla ricerca di dati, privilegi più elevati e asset critici, utilizzando spesso strumenti legittimi come RDP (Remote Desktop Protocol), SMB (Server Message Block), PowerShell o WMI (Windows Management Instrumentation), oltre a credenziali compromesse, quindi, il suo traffico si confonde facilmente con quello normale.

I danni principali derivanti dallo spostamento laterale sono: escalation dei privilegi, fino al controllo di account amministrativi e del dominio; esfiltrazione di dati sensibili da più sistemi; diffusione del ransomware su server, backup e infrastrutture di virtualizzazione; aumento di tempi e costi di ripristino, perché diventa difficile stabilire quanto sia esteso l’attacco.

Come differisce la segmentazione tradizionale basata su VLAN dalla microsegmentazione

La segmentazione tradizionale con VLAN (Virtual Local Area Network) divide la rete in grandi blocchi logici, come uffici, server e ospiti, e controlla il traffico tra un blocco e l’altro con firewall o ACL (Access Control List).

Tuttavia, tale tipologia di segmentazione, pur essendo utile, permette ai dispositivi di comunicare liberamente; inoltre, la gestione si complica quando le regole si moltiplicano. La microsegmentazione, invece, porta il controllo a livello di singolo workload, applicando le policy anche al traffico interno allo stesso segmento. Ma vediamo meglio le differenze nella tabella sottostante.

Di fatto, da come si evince sopra, le due tecniche non sono alternative: la VLAN resta una base valida; mentre la microsegmentazione aggiunge il controllo necessario contro le minacce che si muovono all’interno della rete.

Come applicare l’endpoint isolation nei sistemi informatici aziendali

L’endpoint isolation interrompe le comunicazioni di un dispositivo sospetto, lasciando attive solo quelle indispensabili per analisi e la bonifica. Si realizza attraverso: soluzioni EDR (Endpoint Detection and Response) /XDR (Extended Detection and Response); il controllo degli accessi di rete (NAC – Network Access Control); regole di microsegmentazione.

Inoltre, essa può essere avviata manualmente da un analista oppure automaticamente da un alert ad alta affidabilità.

È importante evidenziare che l’adozione di criteri di contenimento sui terminali compromessi si rivela determinante per la sicurezza del capitale informativo, evitando la propagazione laterale delle infezioni nell’infrastruttura.

Quali sono le regole di Device Health Check per l’autorizzazione dei dispositivi

Il Device Health Check verifica che un endpoint rispetti requisiti minimi di sicurezza, prima di ottenere, o mantenere, l’accesso alle risorse aziendali. Tra i requisiti più comuni risultano:

• sistema operativo aggiornato e patch di sicurezza installate;
• antivirus o EDR attivo, con definizioni aggiornate;
• cifratura del disco abilitata;
• firewall locale attivo e correttamente configurato;
• assenza di indicatori di compromissione o di software non autorizzato;
• certificato aziendale valido e dispositivo registrato nell’inventario;
• conformità alle policy di configurazione, come blocco schermo e limiti sui privilegi.

I dispositivi che non superano il controllo è negato l’accesso, oppure sono ammessi con accesso limitato oppure spostati in una rete di remediation, dove possono aggiornarsi prima di essere riammessi.

È importante evidenziare che la verifica non va fatta solo al momento dell’accesso, ma in modo continuativo, dato che lo stato di un dispositivo può cambiare nel corso della giornata.

Come isolare automaticamente una workstation compromessa senza fermare i server

È importante evidenziare che, quando una workstation risulta compromessa, l’obiettivo è contenere la minaccia, senza interrompere i servizi critici. Pertanto, un processo ben progettato segue, normalmente queste fasi di gestione:

1. Rilevamento: il sistema di monitoraggio individua un comportamento anomalo, come scansioni interne o tentativi di accesso a condivisioni mai usate.
2. Verifica automatica: l’alert viene arricchito con threat intelligence, contesto dell’asset e stato dell’endpoint.
3. Isolamento mirato: la workstation, tramite EDR o NAC, è spostata in una VLAN di quarantena o limitata ai soli strumenti di analisi.
4. Protezione dei server: le regole di microsegmentazione impediscono alla workstation di raggiungere i sistemi critici, che continuano a lavorare normalmente.
5. Notifica e ticket: SOC, IT e utente ricevono le informazioni sulle azioni eseguite e viene aperto un ticket prioritario.
6. Ripristino controllato: il dispositivo, dopo bonifica e nuovo controllo dello stato di salute, viene riammesso.

Si consiglia di automatizzare l’isolamento di una workstation dato che comporta un rischio operativo contenuto; mentre per i server produttivi conviene un processo con approvazione umana, così da evitare fermi causati da falsi positivi.

Come la microsegmentazione rafforza l’architettura Zero Trust

L’architettura Zero Trust si basa sul principio “non fidarsi mai, verificare sempre”, ovvero: nessun utente, dispositivo o applicazione è considerato affidabile solo perché si trova dentro la rete.

La microsegmentazione rappresenta una delle applicazioni più concrete, perché traduce il principio in regole tecniche applicate a ogni singola comunicazione.

Inoltre, la microsegmentazione – unitamente a Device Health Check, autenticazione forte e monitoraggio continuo del traffico – riduce la superficie di attacco, applica il minimo privilegio e limita l’impatto delle compromissioni.

Inoltre, l’analisi del traffico di rete fornisce la visibilità per costruire le policy corrette e accorgersi quando vengono violate.

Come definire le politiche di accesso tra i segmenti di rete critici

È importante evidenziare che definire le politiche di accesso tra segmenti critici significa stabilire chi può comunicare con chi, su quali porte e per quale motivo.

Il principio guida, come già evidenziato, è il minimo privilegio che, se applicatoin un solo passaggio potrebbe rivelarsi rischioso, dato che un blocco troppo aggressivo può interrompere applicazioni essenziali.

Pertanto, si consiglia di procedere in modo progressivo come segue:

1. Mappare i flussi reali – Prima di scrivere una regola bisogna sapere cosa comunica davvero con cosa. I dati di traffico raccolti da NDR, NetFlow o strumenti di visibilità mostrano dipendenze tra applicazioni, server e utenti che la documentazione ufficiale spesso non riporta.
2. Definire il minimo indispensabile per ogni segmento – Si tratta di definire le politiche di accesso a livello di sorgenti, destinazioni, porte e protocolli consentiti.
3. Classificare i segmenti e gli asset per criticità – Controller di dominio, database con dati sensibili, sistemi di backup e ambienti OT richiedono policy più restrittive rispetto a una rete ospiti o a un segmento di stampanti. La classificazione stabilisce da dove iniziare e con quale livello di rigore, partendo dai segmenti più critici e dai flussi più prevedibili.
4. Scrivere le regole base – Per ogni segmento si definiscono sorgenti, destinazioni, porte e protocolli consentiti, preferendo criteri basati su identità, ruolo e applicazione.
5. Simulare prima di applicare – Le regole vanno attivate in modalità di monitoraggio (audit o learning mode), verificando quali connessioni legittime verrebbero bloccate. Tale passaggio permette di correggere gli errori, senza causare disservizi.
6. Attivare il blocco per gradi – Si inizia dai segmenti più critici e dai flussi più prevedibili, (i.e. l’accesso ai controller di dominio o ai backup) per poi estendere l’applicazione al resto della rete, con un piano di rollback pronto in caso di problemi.
7. Gestire le eccezioni e rivedere le regole nel tempo – Le deroghe vanno documentate con motivazione, responsabile e data di scadenza. Le revisioni periodiche, anche a fronte di cambiamenti importanti dell’infrastruttura, evitano che le policy diventino obsolete o accumulino regole inutilizzate che ampliano la superficie d’attacco.

Come verificare l’efficacia dei blocchi tramite simulazioni d’attacco

Una policy di segmentazione non testata resta un’ipotesi: solo simulando un attacco reale si scopre se le regole bloccano davvero lo spostamento laterale o se esistono percorsi dimenticati.

La verifica si può articolare secondo i seguenti tipi di test, complementari tra loro:

• Breach and Attack Simulation (BAS) – Piattaforme che riproducono in automatico e in modo continuo tecniche di attacco note (i.e. scansioni interne, movimenti laterali e tentativi di accesso ai sistemi critici). Sono ideali per controlli frequenti e ripetibili, dato che mostrano subito quali blocchi funzionano e quali no.
• Penetration test e red team – Esperti simulano un attaccante reale, con obiettivi precisi, (i.e. come raggiungere il controller di dominio o i backup partendo da una workstation). Rivelano combinazioni di debolezze che i test automatici possono non cogliere.
• Purple team – Attaccanti e difensori lavorano insieme ed ogni tecnica provata viene analizzata subito per capire se è stata bloccata, rilevata o ignorata, permettendo di correggere sul momento le regole.
• Test di isolamento – Verificano che un dispositivo messo in quarantena non riesca a raggiungere risorse non autorizzate, confermando che l’endpoint isolation funzioni anche nei casi limite.

Inoltre, per comprendere meglio i risultati dei test, servono indicatori misurabili, tra cui:

• percentuale di tentativi di spostamento laterale bloccati sul totale di quelli simulati;
• MTTD (Mean Time To Detect), il tempo medio di rilevamento;
• MTTR (Mean Time To Respond), il tempo medio di risposta e contenimento;
• numero di percorsi d’attacco ancora aperti, cioè le vie verso gli asset critici che i test riescono a percorrere.

Tali valori devono essere confrontati nel tempo per verificare che migliorino e per individuare e correggere ulteriori lacune.

Conclusione

Rilevare un attacco è essenziale, ma limitarne la portata fa la differenza tra un incidente contenuto e un blocco totale dell’operatività.

La microsegmentazione riduce lo spazio di manovra degli attaccanti, l’endpoint isolation ferma i dispositivi compromessi senza interrompere i servizi essenziali e l’architettura Zero Trust dà coerenza all’insieme, verificando ogni comunicazione.

Si consiglia alle organizzazioni B2B di avviare un percorso graduale in modo da costruire una difesa solida, che tutela dati e continuità operativa anche quando l’infrastruttura cambia.