Immaginate un classico attacco ransomware: una mail di phishing consegna il malware su un portatile dell'ufficio acquisti. Da lì l'attaccante interroga il DNS interno, enumera le condivisioni SMB, ruba credenziali e si muove via RDP verso i server, fino a raggiungere i backup. Ogni singolo passaggio — il cosiddetto lateral movement — avviene sulla rete: usa protocolli di rete, attraversa apparati di rete, lascia tracce nei log di rete. Chi non sa leggere quella rete non può né accorgersi dell'attacco né contenerlo.

È l'idea chiave di questa guida: senza capire come funziona una rete non si capiscono davvero i log, gli alert del SOC, le regole dei firewall, la segmentazione o gli strumenti come IDS e NDR. Non serve un corso completo di reti: qui selezioniamo ciò che serve per analizzare incidenti e progettare controlli.

I concetti di rete che servono alla sicurezza

Il modello a livelli, ridotto all'osso. Del modello OSI (e del più pratico TCP/IP) alla sicurezza interessano soprattutto quattro livelli: il livello 2 (Ethernet, MAC, VLAN, dove vivono attacchi come l'ARP spoofing), il livello 3 (indirizzi IP e routing, il territorio di router e firewall di rete), il livello 4 (porte TCP/UDP, su cui ragionano le ACL e i port scan) e il livello 7 (le applicazioni: HTTP, DNS, SMB). Sapere "a che livello" lavora un controllo dice cosa può vedere: un firewall tradizionale filtra a livello 3-4, un WAF ispeziona l'HTTP a livello 7, un proxy media le sessioni applicative, un IPS analizza il traffico che lo attraversa cercando pattern malevoli a più livelli.

Indirizzamento, subnet, gateway, NAT e VLAN. Una subnet è un insieme di indirizzi IP che si parlano direttamente; per uscirne si passa dal gateway. È esattamente lì che la sicurezza può intervenire: se utenti e server stanno in subnet diverse, il traffico tra loro attraversa un punto controllabile. Il NAT nasconde gli indirizzi interni dietro un IP pubblico (utile, ma non è un controllo di sicurezza); le VLAN separano logicamente reti diverse sugli stessi switch fisici, e sono il mattone più comune della segmentazione.

I protocolli fondamentali e i loro abusi. Ogni protocollo essenziale ha un lato oscuro che conviene conoscere: ARP non ha autenticazione e può essere falsificato per intercettare il traffico (ARP spoofing); il DNS è abusato per tunneling ed esfiltrazione di dati, oltre che come canale di comando e controllo; un DHCP fasullo può dirottare la configurazione di rete dei client; HTTP/HTTPS è il vettore preferito per phishing e command & control perché è quasi sempre aperto in uscita; SMB è la via maestra del lateral movement e dei worm (da WannaCry in poi); RDP esposto a Internet resta tra i primi vettori di accesso iniziale dei gruppi ransomware.

Componenti di rete e superfici d'attacco

Gli switch collegano i dispositivi nella rete locale: configurazioni deboli aprono ad attacchi di livello 2 come il VLAN hopping o il MAC flooding. I router instradano il traffico tra reti: ACL assenti o troppo permissive trasformano ogni rotta in un'autostrada. I firewall applicano le politiche di filtraggio: il problema tipico non è il prodotto ma la regola "any-any" aggiunta in emergenza e mai rimossa. Gli access point estendono la rete via radio: senza WPA2/WPA3-Enterprise e rete guest separata diventano la porta sul parcheggio. I VPN concentrator danno accesso remoto: senza MFA e patch puntuali sono il bersaglio numero uno (le cronache di CVE su prodotti VPN lo confermano ogni mese). I load balancer e i reverse proxy distribuiscono e mediano il traffico verso le applicazioni: spesso terminano il TLS, quindi una loro compromissione espone tutto ciò che ci passa.

Vale la pena distinguere le famiglie di controllo: il firewall di frontiera separa la rete da Internet; i firewall interni separano zone della stessa organizzazione (ed è lì che si ferma il lateral movement); il WAF protegge le applicazioni web da attacchi come SQL injection; il NAC decide chi può collegarsi fisicamente alla rete e in quale VLAN finisce. Il filo conduttore è il concetto di choke point: la sicurezza ama i punti obbligati di passaggio del traffico, perché è lì che si può osservare, filtrare e registrare. Una rete ben progettata crea choke point deliberati; una rete cresciuta senza disegno non ne ha, e l'attaccante ringrazia.

Segmentazione e Zero Trust in pratica

Una flat network — tutti nella stessa rete, tutti raggiungibili da tutti — è il sogno di ogni attaccante: compromesso un dispositivo qualsiasi, l'intera infrastruttura è a portata di scansione. CISA e NSA definiscono la segmentazione un principio fondamentale, capace di isolare l'attività malevola in una porzione limitata della rete e ridurre l'impatto di una violazione.

Una segmentazione di partenza, realistica anche per una PMI, distingue almeno: rete utenti, rete server, rete di management degli apparati, dispositivi OT/IoT (stampanti, telecamere, sensori, macchinari) e rete guest. Tra le zone si mettono firewall interni o ACL con logica deny by default: si apre solo ciò che serve, documentando il perché.

La microsegmentazione porta il principio all'estremo: policy applicate per singolo workload o applicazione (con VLAN e ACL, agent host-based o policy SDN nei datacenter), così che due server della stessa subnet non possano parlarsi se non previsto. È la traduzione in rete del least privilege ed è uno dei pilastri pratici dello Zero Trust: non ci si fida di un flusso perché "è interno", lo si autorizza esplicitamente. Il beneficio si misura durante un incidente: un ransomware confinato nella VLAN utenti che non raggiunge i backup è la differenza tra una brutta giornata e una crisi aziendale.

Visibilità e logging: vedere chi parla con chi

In un'indagine, le domande a cui bisogna saper rispondere in fretta sono sempre le stesse: da dove arriva questo traffico? Chi parla con chi, e da quando? Questo flusso verso l'esterno è normale o è esfiltrazione? Senza telemetria di rete sono domande senza risposta.

La base è più accessibile di quanto si pensi: i flussi NetFlow/sFlow/IPFIX esportati da router e switch registrano chi ha parlato con chi, quando e quanto (i metadati, non il contenuto); i log dei firewall mostrano cosa è stato permesso e bloccato ai confini tra le zone; i log del proxy raccontano la navigazione in uscita; i log delle VPN dicono chi è entrato da remoto e da dove; i log DNS sono forse la singola fonte più sottovalutata, perché quasi ogni attacco a un certo punto risolve un nome. Sopra questa base si collocano gli strumenti dedicati: IDS/IPS che riconoscono firme e anomalie nel traffico, piattaforme NDR che applicano analisi comportamentale ai flussi per scovare lateral movement e canali di comando e controllo, e il packet capture mirato quando serve la prova completa. Ma lo strumento conta meno della disciplina: log centralizzati, orologi sincronizzati via NTP e una retention adeguata valgono più di qualsiasi sigla di mercato.

Best practice: la checklist operativa

Sul fronte dell'hardening: disabilitare i servizi inutili sugli apparati (Telnet, HTTP non cifrato, SNMP v1/v2 con community di default), amministrare solo via SSH/HTTPS, e soprattutto isolare le interfacce di management in una rete dedicata non raggiungibile dalla rete utenti. Sul fronte degli accessi amministrativi: autenticazione centralizzata (AAA con RADIUS/TACACS+), ruoli differenziati (RBAC), MFA per l'accesso ai device e niente account condivisi. Sul fronte del ciclo di vita: censire gli apparati, aggiornarli con un processo di patching pianificato (i firmware di rete si dimenticano facilmente, gli attaccanti no) e versionare le configurazioni. Contro gli attacchi comuni: spegnere le porte switch inutilizzate e non usare la VLAN 1 (anti VLAN hopping), attivare Dynamic ARP Inspection e DHCP snooping dove disponibili, e proteggere VPN e portali pubblici da brute force con MFA, lockout e geo-blocking ragionato.

Per iniziare oggi, cinque controlli rapidi su firewall e switch:

  1. Esiste qualche regola "any-any" o scaduta? Chi l'ha chiesta e perché è ancora lì?
  2. Le interfacce di management sono raggiungibili dalla rete utenti o, peggio, da Internet?
  3. Le credenziali di default sono state cambiate ovunque, SNMP incluso?
  4. I log degli apparati arrivano a un collettore centrale con orario sincronizzato?
  5. Il firmware ha meno di 12 mesi e le CVE note sui vostri modelli sono coperte?

Networking e compliance: NIS2, ISO 27001, DORA

Le misure viste fin qui non sono solo buona ingegneria: sono richieste, più o meno esplicitamente, dai principali framework. Le misure di base ACN per la NIS2 includono controllo degli accessi con MFA, gestione degli incidenti, protezione delle reti e segmentazione; la ISO 27001 (Annex A) prevede controlli dedicati alla sicurezza delle reti, alla segregazione e al trasferimento delle informazioni; DORA chiede agli operatori finanziari resilienza operativa che passa anche dall'architettura di rete e dalla capacità di rilevazione.

C'è però un punto che i framework rendono evidente e i tecnici a volte dimenticano: la sicurezza di rete non è solo configurazione, è processo. Change management per le modifiche alle regole, gestione documentata delle configurazioni, schemi di rete aggiornati e review periodiche delle regole firewall valgono quanto la tecnologia, perché una segmentazione perfetta che nessuno mantiene torna flat nel giro di due anni di eccezioni. Capire la rete, in fondo, serve a questo: trasformare un groviglio di cavi e regole in qualcosa che si può difendere — e dimostrare di saper difendere.