Comprendere come si classificano le minacce è il primo passo per difendere una rete. Un tecnico CCST Cybersecurity deve saper riconoscere cosa sta accadendo (la famiglia di attacco), come si propaga e quale contromisura ha senso in ogni scenario.
Le famiglie di malware
Il termine malware (malicious software) raggruppa qualsiasi codice progettato per danneggiare o sottrarre dati. Le famiglie principali si distinguono soprattutto per il meccanismo di propagazione:
| Tipo | Come si diffonde | Segno distintivo |
|---|---|---|
| Virus | Si allega a un file/programma legittimo; richiede l’esecuzione da parte dell’utente | Ha bisogno di un host e di un’azione umana |
| Worm | Si auto-replica sulla rete sfruttando vulnerabilità, senza intervento umano | Nessun host, propagazione autonoma |
| Trojan | Si maschera da software utile per farsi installare | Inganno (social engineering), non si auto-replica |
| Ransomware | Spesso veicolato da trojan/phishing; cifra i dati | Chiede un riscatto per la chiave di decifrazione |
Il ransomware merita attenzione: cifra file o interi volumi e mostra una richiesta di pagamento (di norma in criptovaluta). La difesa più efficace non è pagare, ma disporre di backup offline/immutabili testati. Altre categorie utili da conoscere: spyware (raccoglie informazioni), keylogger (registra i tasti), rootkit (nasconde la propria presenza a livello di sistema) e adware.
DoS e DDoS
Un attacco DoS (Denial of Service) mira a rendere indisponibile un servizio saturando risorse (banda, CPU, tabelle di stato). Nella forma classica proviene da una singola sorgente.
Un attacco DDoS (Distributed Denial of Service) persegue lo stesso obiettivo, ma il traffico arriva da molte sorgenti distribuite contemporaneamente, tipicamente una botnet. La natura distribuita rende il DDoS molto più difficile da mitigare: bloccare un solo IP non basta e i pacchetti possono avere IP sorgente spoofed. Le contromisure includono servizi di DDoS scrubbing/mitigation, rate limiting e filtraggio a monte presso il provider.
Botnet
Una botnet è una rete di dispositivi compromessi (bot o “zombie”) controllati da remoto tramite un server C2 (Command and Control). Oltre al DDoS, viene sfruttata per spam, mining e diffusione di malware. Molti bot sono proprio dispositivi IoT poco protetti.
Man-in-the-Middle (MITM)
In un attacco MITM l’attaccante si interpone nella comunicazione tra due parti per intercettare o alterare i dati. Tecniche tipiche: ARP spoofing sulla LAN, rogue access point Wi-Fi, DNS spoofing. La difesa principale è la crittografia end-to-end (TLS, VPN) e, in LAN, funzioni come Dynamic ARP Inspection e DHCP Snooping.
Advanced Persistent Threat (APT)
Un’APT è una campagna mirata, prolungata e furtiva, spesso condotta da attori ben finanziati (state-sponsored). L’obiettivo non è il danno immediato ma rimanere nascosti per esfiltrare dati nel tempo. Si caratterizza per movimento laterale, persistenza e uso combinato di più tecniche.
Attacchi zero-day
Una vulnerabilità zero-day è una falla non ancora nota al vendor e priva di patch. L’exploit zero-day la sfrutta prima che esista una correzione: per definizione le firme e le patch tradizionali non la coprono. La difesa si sposta quindi su approcci comportamentali (anomaly detection, IPS behavior-based, threat intelligence, segmentazione) che rilevano l’attività sospetta anziché una firma nota.
Debolezze dei dispositivi IoT
I dispositivi IoT sono un bersaglio frequente per motivi ricorrenti:
- Credenziali di default mai cambiate (username/password note pubblicamente)
- Firmware raramente aggiornato, spesso senza meccanismo di patch
- Superficie di attacco ampia con servizi non necessari esposti
- Scarsa capacità computazionale che limita crittografia e agent di sicurezza
Per questo confluiscono spesso in botnet. Buone pratiche: cambiare le credenziali, segmentare l’IoT in VLAN dedicate e disabilitare i servizi inutili.
Trappole tipiche d’esame
- Scenario: traffico anomalo da migliaia di IP diversi che satura il web server → risposta giusta: è un DDoS (distribuito). Se la sorgente fosse una sola, sarebbe un semplice DoS.
- Scenario: il sistema è completamente patchato ma viene comunque compromesso da una falla sconosciuta → risposta giusta: zero-day. Una patch protegge solo da vulnerabilità già note; serve detection comportamentale.
- Scenario: codice che si propaga da solo su tutta la rete senza che nessuno apra un file → risposta giusta: worm, non virus (il virus richiede esecuzione da parte dell’utente).
- Scenario: software “gratuito” che una volta installato apre una backdoor → risposta giusta: trojan (si basa sull’inganno, non sull’auto-replica).
- Scenario: intrusione mirata che resta nascosta per mesi esfiltrando dati → risposta giusta: APT, caratterizzata da persistenza e furtività, non da danno immediato.