Glossario Sicurezza di rete

Elenco di regole associato a una risorsa o a un sistema, che specifica quali indirizzi o utenti possono accedervi e con quali permessi. Sui dispositivi di rete filtra il traffico consentendo o negando i pacchetti secondo criteri come indirizzo IP, protocollo e porta.

Isolamento fisico di un sistema o di una rete da qualunque connessione esterna, inclusi Internet, LAN e collegamenti wireless, per proteggerlo dagli attacchi remoti. Adottato per ambienti critici, sistemi industriali e copie di backup non raggiungibili online.

Insieme di tecniche che individuano minacce nel traffico cifrato senza decifrarlo, esaminando metadati, dimensioni e tempistica dei pacchetti, pattern di flusso e informazioni dei certificati. Preserva la riservatezza dei dati e alimenta il rilevamento NDR.

Tecnica che falsifica le associazioni tra indirizzi IP e indirizzi MAC nella rete locale, inviando messaggi ARP contraffatti. Permette all'attaccante di intercettare, deviare o modificare il traffico, spesso come base per attacchi man-in-the-middle.

Sistema esposto e fortemente irrobustito, usato come unico punto di accesso controllato verso una rete interna. Concentra e sorveglia gli accessi amministrativi, riducendo la superficie direttamente raggiungibile dall'esterno.

Lista di indirizzi, domini o altri identificatori considerati rischiosi o indesiderati. Viene usata per bloccare in modo esplicito traffico potenzialmente dannoso e filtrare comunicazioni non affidabili, secondo un modello che nega solo cio che e elencato.

Misura di sicurezza che limita o nega l'accesso a rete, sito o applicazione in base alla posizione geografica ricavata dall'indirizzo IP (geo-IP filtering). Usata per bloccare intere aree o Paesi noti per generare elevati volumi di traffico malevolo.

Elenco di utenti, indirizzi o risorse a cui viene negato l'accesso per motivi di sicurezza, spam, policy aziendali o altre restrizioni. Nota anche come blacklist o deny list, si contrappone al modello allow-list che consente solo cio che e esplicitamente permesso.

Funzionalità di protezione dello Spanning Tree che disabilita immediatamente (stato err-disable) una porta di accesso se riceve un BPDU, impedendo a switch non autorizzati collegati agli host di alterare la topologia. Difende la stabilità della rete di livello 2.

Registrazione integrale dei pacchetti che attraversano un segmento di rete, comprensiva di header e payload, per analisi di sicurezza e forense. Conserva prove utili a ricostruire attività di malware, movimenti laterali ed esfiltrazioni di dati.

Infrastruttura di rete o servizio cloud verso cui si devia il traffico durante un attacco DDoS: ispeziona i pacchetti in tempo reale, filtra quelli malevoli e reinstrada solo il traffico pulito verso la destinazione. Dispone di banda molto elevata per assorbire gli attacchi.

Insieme di azioni e misure adottate per proteggere, monitorare, analizzare, rilevare e rispondere ad attivita non autorizzate su reti e sistemi informativi. Termine di origine militare, oggi in larga parte confluito nei concetti di cybersecurity difensiva.

Tecnologia che sanifica i file rimuovendo ogni componente potenzialmente attivo o non conforme alle policy e ricostruendo una versione sicura, senza tentare di rilevare il malware. Protegge canali come email e traffico web da minacce note e sconosciute.

Tecnologia e insieme di policy che monitorano e proteggono i dati sensibili, prevenendone la perdita, la copia non autorizzata o l'esfiltrazione, sia in transito sulla rete sia a riposo nell'archiviazione o in uso sugli endpoint.

Insieme di tecniche e servizi per assorbire o filtrare il traffico di un attacco distribuito che mira a saturare una risorsa. Comprende scrubbing del traffico, reti di distribuzione e limitazione delle richieste per mantenere il servizio online.

Categoria di tecnologie difensive basate su asset fittizi (honeypot, honeynet, esche e breadcrumb) posizionati nella rete per attirare, rilevare e studiare gli aggressori, rallentandone l'azione e generando allarmi ad alta affidabilità.

Analisi approfondita del contenuto dei pacchetti di rete, oltre alle sole intestazioni, per riconoscere applicazioni, minacce o violazioni di policy. Abilita controlli fini, ma solleva anche questioni di prestazioni e privacy.

Strategia che dispone più livelli di controlli di sicurezza indipendenti, così che il fallimento di uno non comprometta l'intero sistema. Ogni strato aggiunge un ostacolo, aumentando lo sforzo richiesto a un attaccante.

Attacco che mira a saturare le risorse di un sistema o di una rete rendendoli inutilizzabili per gli utenti legittimi. Un DoS proviene da una singola sorgente, mentre un DDoS coinvolge molteplici dispositivi coordinati, spesso parte di una botnet.

Dispositivo che impone via hardware il transito dei dati in una sola direzione, tipicamente da una zona ad alta sicurezza (rete OT/ICS air-gapped) verso una a fiducia inferiore. Impedisce fisicamente qualsiasi percorso di ritorno e quindi le intrusioni in ingresso.

Segmento di rete isolato e controllato, interposto tra rete interna ed esterna, che ospita i servizi esposti verso Internet. Riduce il rischio che la compromissione di un servizio pubblico si propaghi alla rete interna protetta.

Protocollo che incapsula le query DNS dentro traffico HTTPS cifrato, impedendo a terzi di leggerle o manometterle lungo il percorso. Migliora la riservatezza, ma può complicare i controlli di rete basati sull'ispezione del DNS.

Dati storici di risoluzione DNS raccolti osservando il traffico reale sui resolver ricorsivi. Mostrano come un dominio ha risolto nel tempo e quali domini hanno condiviso la stessa infrastruttura, consentendo di correlare e scoprire asset controllati dagli attaccanti.

Manomissione delle risposte o della cache DNS per indirizzare gli utenti verso siti falsi o server controllati dall'attaccante, pur digitando un dominio legittimo. Detto anche cache poisoning o DNS spoofing.

Standard aperto e neutrale rispetto al fornitore che consente al resolver DNS di restituire risposte in base a criteri di policy, ad esempio bloccando o reindirizzando i domini malevoli. È il meccanismo tecnico su cui si basano molti servizi di protective DNS e DNS firewall.

Tecnica che intercetta le richieste DNS verso domini malevoli noti e restituisce un indirizzo IP controllato, impedendo alla minaccia di contattare i server di comando e controllo. Consente inoltre di registrare e analizzare gli host infetti nella rete.

Estensioni di sicurezza del DNS che aggiungono firme crittografiche alle risposte, permettendo di verificarne l'autenticità e l'integrità. Protegge da attacchi come l'avvelenamento della cache, ma non cifra il contenuto delle query.

Funzionalità di sicurezza degli switch che intercetta e valida i pacchetti ARP, scartando quelli con associazioni IP-MAC non valide in base al database di binding del DHCP snooping. Contrasta gli attacchi di ARP spoofing e man-in-the-middle in rete locale.

Intercettazione passiva delle comunicazioni tra due o più parti, con l'obiettivo di captare informazioni sensibili senza alterare il traffico. Detto anche sniffing, sfrutta canali non cifrati o reti condivise per la raccolta silenziosa dei dati.

Controllo del traffico in uscita da una rete per bloccare comunicazioni non autorizzate, come l'esfiltrazione di dati o i contatti verso server di comando e controllo. Completa il più comune filtraggio del traffico in ingresso.

Pratica raccomandata (BCP 38 / RFC 2827) per cui l'operatore scarta al bordo i pacchetti il cui indirizzo sorgente non può legittimamente provenire da quell'interfaccia. Riduce l'efficacia degli attacchi DoS e delle amplificazioni basati su spoofing dell'IP sorgente.

Sistema di protezione, hardware o software, che filtra il traffico di rete in ingresso e in uscita secondo regole predefinite, separando reti con diversi livelli di fiducia e impedendo le connessioni non autorizzate.

Funzionalità di firewall erogata dal cloud che applica le policy di livello rete in modo uniforme, aggregando il traffico di sedi, data center, cloud e utenti mobili senza dipendere da appliance in ogni sito. È una componente del SSE e del SASE.

Gestione dei dispositivi di rete tramite un canale dedicato e indipendente dalla rete dati primaria (interfacce di management, porta seriale, connettività cellulare). Garantisce accesso amministrativo sicuro anche quando la rete principale è compromessa o irraggiungibile.

Processo di riduzione della superficie di attacco di un sistema tramite configurazioni sicure, disabilitazione di servizi e account inutili, applicazione di patch e policy restrittive, spesso guidato da benchmark riconosciuti.

Rete-esca composta da più sistemi che simulano bersagli sensibili, progettata per attirare gli attaccanti, osservarne le tecniche e distoglierli dagli asset reali. È la versione più estesa dell'inganno difensivo, di cui honeypot e honeytoken sono componenti più granulari.

Sistema o risorsa deliberatamente esposto e apparentemente vulnerabile, progettato per attirare gli aggressori, registrarne le attivita e studiarne le tecniche senza mettere a rischio i sistemi reali. Più honeypot collegati formano una honeynet.

Dato-esca monitorato e privo di scopo operativo legittimo (file, credenziali, chiave, account) che genera un allarme ad alta affidabilità appena viene consultato. Qualsiasi interazione indica un accesso non autorizzato; il canary token ne è la variante leggera e rapida da distribuire.

Sistema che monitora il traffico di rete o l'attivita di un host e segnala attivita sospette o potenzialmente malevole, senza intervenire direttamente sul flusso. Il riconoscimento si basa su firme di attacchi noti o su anomalie rispetto al comportamento atteso.

Sistemi che analizzano il traffico di rete alla ricerca di attivita sospette: l'IDS rileva e segnala le minacce, l'IPS le blocca attivamente in linea. Basano il riconoscimento su firme di attacchi noti o sull'individuazione di anomalie rispetto al comportamento normale.

Disciplina che si occupa di cattura, registrazione e analisi degli eventi e del traffico di rete per rilevare intrusioni e investigarle. Prevede un'analisi post-mortem dell'attacco, preservando l'integrità delle prove e la catena di custodia.

Tecnica di mitigazione DDoS che, tramite BGP, indirizza verso una rotta nulla (Null0) il traffico diretto o proveniente da indirizzi bersaglio, scartandolo al bordo della rete prima che ne saturi le risorse. Standardizzata in RFC 5635 come Remotely Triggered Black Hole.

Funzionalità di sicurezza degli switch che filtra il traffico sulle porte di accesso tramite ACL dinamiche, bloccando i pacchetti la cui coppia IP-MAC sorgente non è presente nel database di binding del DHCP snooping. Previene lo spoofing dell'indirizzo IP sorgente.

Tecnica che consiste nel falsificare l'indirizzo IP di origine dei pacchetti per aggirare controlli di sicurezza, nascondere la sorgente o far apparire una comunicazione come proveniente da una fonte legittima. Usata anche per attacchi DoS e di riflessione.

Evoluzione dell'IDS che, oltre a rilevare le minacce, si colloca in linea sul flusso di rete e blocca in tempo reale il traffico considerato pericoloso o non conforme alle policy, agendo su firme note o su anomalie.

Suite di protocolli che protegge le comunicazioni a livello di rete cifrando e autenticando i pacchetti IP. E una delle basi delle VPN site-to-site, garantendo riservatezza e integrità del traffico tra due reti o host.

Standard di sicurezza di livello 2 che fornisce riservatezza, integrità, autenticazione dell'origine e protezione dal replay per i frame Ethernet su singoli collegamenti, tramite AES-GCM. Opera in modo trasparente e indipendente dai protocolli superiori come IP e TCP.

Tecnica che suddivide la rete in segmenti molto piccoli e isolati, applicando politiche di sicurezza a livello di singolo carico di lavoro. Limita il movimento laterale di un attaccante che abbia già violato un host, riducendo l'estensione di una compromissione.

Tecnica che suddivide la rete in segmenti molto piccoli e isolati, applicando politiche di sicurezza a livello di singolo carico di lavoro. Limita il movimento laterale di un attaccante che abbia già violato un host, riducendo l'estensione di una compromissione.

Attacco in cui un soggetto malevolo si interpone tra la vittima e un servizio, intercettando o alterando il flusso di dati scambiato tra le parti, spesso facendo credere a ciascuna di comunicare direttamente con l'altra.

Processo di rilevamento del traffico generato da bot malevoli e adozione di contromisure quali blocco, verifica, rate limiting o reindirizzamento prima che causino danni. È la componente operativa del più ampio bot management, che distingue e gestisce bot buoni e cattivi.

Variante di TLS in cui non solo il server ma anche il client presenta un certificato, così che entrambe le parti si autentichino a vicenda. È molto usato per proteggere le comunicazioni tra servizi in architetture zero trust.

Network Address Translation: tecnica che traduce gli indirizzi IP tra rete privata e rete pubblica. Consente a più dispositivi di condividere un unico indirizzo pubblico e nasconde la struttura di indirizzamento interna.

Protocollo che raccoglie metadati sui flussi di traffico di rete, come sorgente, destinazione e volume, senza catturarne il contenuto. Fornisce visibilità utile per monitoraggio, analisi delle prestazioni e rilevamento di anomalie.

Insieme di tecnologie che regolano l'ammissione dei dispositivi alla rete verificandone identità e conformità alle politiche di sicurezza prima di concedere l'accesso. Può mettere in quarantena o limitare i dispositivi non conformi, riducendo la superficie d'attacco.

Categoria di soluzioni che rileva le minacce analizzando il traffico di rete con tecniche comportamentali e machine learning, senza basarsi su firme. Monitora i flussi est-ovest e nord-sud per individuare movimenti laterali, ransomware e minacce interne successive alla violazione.

Divisione della rete in zone o segmenti separati con politiche di accesso definite, così da isolare i sistemi e limitare i movimenti laterali di un attaccante in caso di compromissione di una parte della rete.

Raccolta continua di dati e segnali sullo stato e sul traffico della rete, usati per analizzare le prestazioni e individuare pattern anomali, incidenti o comportamenti sospetti.

Firewall evoluto che, oltre al filtraggio su porte e indirizzi, ispeziona il traffico a livello applicativo integrando funzioni come prevenzione delle intrusioni, riconoscimento delle applicazioni e ispezione del traffico cifrato. Applica politiche più granulari e consapevoli del contesto.

Tecniche che introducono falsi obiettivi, servizi o asset per confondere e rallentare gli attaccanti, raccogliendo nel frattempo informazioni sulle loro attività.

Regola o insieme di regole applicate su WAF, IPS o filtro applicativo che neutralizza lo sfruttamento di una vulnerabilità nota senza modificare il codice vulnerabile. Fornisce protezione immediata nel periodo che precede il rilascio della patch ufficiale.

Architettura che crea un perimetro logico basato sull'identità anziché sulla topologia di rete, rendendo le risorse invisibili finché l'utente non è autenticato e autorizzato. È il concetto architetturale precursore dello ZTNA.

Attacco che reindirizza l'utente verso un sito falso anche digitando l'indirizzo corretto, manipolando la risoluzione dei nomi di dominio (DNS) o il file hosts locale. Punta a rubare credenziali su pagine clonate.

Tecnica di controllo accessi in cui un servizio apre una porta di rete solo dopo aver ricevuto una precisa sequenza di tentativi di connessione verso porte chiuse, usata come codice segreto. Il servizio resta nascosto finché non arriva la sequenza corretta; la variante evoluta è la Single Packet Authorization.

Servizio di sicurezza che analizza le query DNS e interrompe la risoluzione dei domini malevoli prima che venga stabilita la connessione, verificando nomi e indirizzi contro threat intelligence. Detto anche DNS firewall, spezza la kill chain in più punti.

Server intermedio che inoltra le richieste tra client e destinazione, mascherando l'origine e potendo applicare filtri, caching e controlli di sicurezza. In azienda è usato per governare e ispezionare il traffico in uscita degli utenti.

Componente dell'architettura zero trust che abilita, monitora e infine termina le connessioni tra un soggetto e una risorsa protetta, applicando le decisioni di accesso. Può essere un agente sul dispositivo, un gateway di rete o un meccanismo specifico della risorsa.

Componente dell'architettura zero trust, formato da policy engine e policy administrator, che valuta ogni richiesta di accesso rispetto a policy, intelligence e contesto e decide dinamicamente se concederlo, istruendo il punto di applicazione (PEP).

Segmento isolato, spesso una VLAN dedicata, verso cui il NAC sposta i dispositivi che falliscono i controlli di postura o conformità, concedendo accesso solo alle risorse utili a rientrare in conformità (server di aggiornamento, MDM). Isola gli endpoint non affidabili dalla rete di produzione.

Protocollo che centralizza autenticazione, autorizzazione e accounting per l'accesso alla rete. Un server RADIUS verifica le credenziali degli utenti che si connettono via Wi-Fi, VPN o rete cablata, applicando policy uniformi.

Tecnica che limita il numero di richieste accettate da un servizio in un dato intervallo di tempo. Protegge da abusi, attacchi di forza bruta e sovraccarichi, preservando la disponibilità delle risorse per gli utenti legittimi.

Attacco in cui un aggressore intercetta e ritrasmette messaggi o token di autenticazione validi per impersonare un utente o ripetere transazioni legittime, sfruttando dati non protetti da meccanismi anti-replay come nonce o marche temporali.

Infrastruttura a chiave pubblica che certifica l'associazione tra risorse Internet (numeri di sistema autonomo e prefissi IP) e i loro legittimi titolari. Abilita la Route Origin Validation in BGP, scartando gli annunci di rotta non autorizzati e prevenendo il dirottamento dei prefissi.

Server che si pone davanti a uno o più server applicativi ricevendo le richieste dei client al loro posto. Offre bilanciamento del carico, terminazione TLS e uno strato di protezione che nasconde l'infrastruttura interna.

Tecnica di rilevamento delle intrusioni che confronta l'attività osservata con profili di comportamento considerato normale (utenti, host, connessioni), segnalando gli scostamenti significativi. Può individuare minacce sconosciute, ma tende a generare più falsi positivi.

Tecnica di rilevamento delle intrusioni che confronta gli eventi osservati con firme, ossia pattern noti corrispondenti a minacce specifiche. È efficace e a bassi falsi positivi sugli attacchi conosciuti, ma non riconosce minacce nuove prive di firma.

Sistemi che monitorano lo spettro radio per individuare access point non autorizzati (rogue), client sospetti e strumenti di attacco Wi-Fi. Il WIDS si limita a rilevare e allertare, mentre il WIPS blocca automaticamente le minacce wireless.

Funzionalità di protezione dello Spanning Tree che impedisce a uno switch a valle di diventare root bridge: se una porta riceve un BPDU superiore, viene posta in stato root-inconsistent e bloccata. Preserva la posizione pianificata del root bridge contro dispositivi rogue o mal configurati.

Software-Defined WAN: approccio che gestisce le reti geografiche via software, indirizzando dinamicamente il traffico sul percorso migliore tra più connessioni. Integra funzioni di sicurezza e semplifica il collegamento sicuro delle sedi.

Approccio che integra funzioni di rete e di sicurezza erogate dal cloud, come SD-WAN, secure web gateway, CASB, firewall-as-a-service e accesso zero trust, offrendo controlli di accesso e protezione distribuiti e scalabili.

Filtro di sicurezza posto tra gli utenti e il web che ispeziona il traffico applicando le policy aziendali, impedisce l'accesso a siti malevoli e blocca download pericolosi, con controlli su URL e contenuti.

Insieme di servizi di sicurezza erogati dal cloud che protegge l'accesso a web, servizi cloud e applicazioni private a prescindere dalla posizione dell'utente. Riunisce secure web gateway, CASB, ZTNA e FWaaS ed è il sottoinsieme di sicurezza del SASE.

Tecnica che intercetta e cattura il traffico che transita su una rete per estrarne informazioni riservate, come credenziali o dati sensibili, particolarmente efficace sul traffico non cifrato.

Tecnica che falsifica l'identità di un mittente o di un sistema per ingannare la vittima, ad esempio imitando indirizzi IP, indirizzi email, domini o numeri di telefono.

Firewall che tiene traccia dello stato delle connessioni attive e valuta i pacchetti nel contesto della sessione a cui appartengono. Rispetto al semplice filtraggio pacchetto per pacchetto, riconosce e consente meglio il traffico legittimo.

Tecnica di difesa contro il SYN flood in cui il server non conserva stato per le connessioni semi-aperte, ma codifica le informazioni della richiesta in un hash crittografico usato come numero di sequenza iniziale del SYN-ACK, ricostruendolo all'arrivo dell'ACK. Evita l'esaurimento della coda SYN.

Servizio difensivo che rallenta deliberatamente le connessioni in ingresso per intrappolare strumenti automatici come scanner, bot di brute force e spam. Sfrutta proprietà di TCP e dei protocolli applicativi per consumare le risorse dell'attaccante a costo quasi nullo per il difensore.

Transport Layer Security: protocollo che cifra e autentica le comunicazioni tra client e server, fondamento di HTTPS. Garantisce riservatezza, integrità e verifica dell'identità del server tramite certificati digitali.

Procedura che decifra temporaneamente il traffico cifrato per analizzarne il contenuto e rilevare minacce nascoste all'interno di connessioni HTTPS, per poi ri-cifrarlo prima di inoltrarlo alla destinazione.

Comunicazioni interne tra server, servizi o macchine virtuali all'interno dello stesso data center o ambiente cloud, distinte dal traffico nord-sud in ingresso e uscita. Monitorarlo e segmentarlo è cruciale per rilevare e bloccare i movimenti laterali degli attaccanti.

Meccanismo anti-spoofing che scarta i pacchetti IP in ingresso il cui indirizzo sorgente non risulta raggiungibile in modo coerente attraverso l'interfaccia di arrivo secondo la tabella di routing. Contrasta l'uso di indirizzi sorgente falsificati.

Verifica dello stato di salute e conformità di un endpoint (sistema operativo, patch, antivirus, cifratura) prima di concedergli l'accesso alla rete. Nel modello zero trust impedisce a dispositivi compromessi o non conformi di raggiungere le risorse sensibili, anche con credenziali valide.

Rete locale virtuale che segmenta logicamente una rete fisica in domini separati, indipendenti dalla topologia dei cavi. Isola il traffico tra gruppi di dispositivi, migliorando sicurezza e gestione senza aggiungere hardware.

Rete privata virtuale: crea un tunnel cifrato che protegge i dati trasmessi su reti pubbliche, garantendo riservatezza e collegando in modo sicuro dispositivi o sedi remote a una rete privata.

Firewall specializzato che filtra il traffico HTTP verso un'applicazione web, bloccando attacchi come SQL injection e cross-site scripting mediante l'analisi delle richieste in ingresso.

Elenco di soggetti, indirizzi, domini o risorse considerati affidabili e autorizzati ad accedere a sistemi o servizi; tutto ciò che non è incluso nell'elenco viene bloccato per default.

Modello di sicurezza fondato sul principio di non fidarsi mai per default, verificando in modo continuo ogni utente, dispositivo e richiesta indipendentemente dalla posizione in rete. Sostituisce la difesa perimetrale con controlli granulari e privilegio minimo per ogni accesso.

Servizio che autentica e autorizza ogni utente e dispositivo verso singole applicazioni in base a identità e contesto, senza concedere accesso all'intera rete. Applica il principio zero trust ed è l'evoluzione produttizzata del software-defined perimeter.