Le reti aziendali non hanno più un perimetro netto. Cloud ibrido, lavoro da remoto, dispositivi IoT e servizi SaaS hanno moltiplicato i punti di ingresso, mentre gli attaccanti hanno affinato tecniche per muoversi senza essere notati: movimenti laterali, uso di credenziali legittime, traffico cifrato e strumenti di amministrazione già presenti nei sistemi (le cosiddette tecniche living off the land).
Inoltre, firewall, antivirus e sistemi basati su firme, pur restando necessari, faticano a intercettare queste attività.
Il Network Detection and Response (NDR) e la Network Traffic Analysis (NTA), osservando ciò che accade davvero nella rete, permettono ai team di sicurezza di individuare comportamenti sospetti, anche quando non esiste una firma nota e nessun endpoint segnala anomalie.
Indice degli argomenti
Come funziona il Network Detection and Response nella sicurezza B2B
Un sistema NDR raccoglie in modo continuo il traffico di rete, in particolare, quello est-ovest (tra server e workload interni) oltre a quello nord-sud (da e verso internet), lo arricchisce di contesto e lo analizza con modelli di machine learning, regole di detection e threat intelligence.
Di fatto, l’analisi comportamentale del traffico rappresenta un presidio indispensabile per la sicurezza del capitale informativo, consentendo di individuare comunicazioni silenti e minacce sconosciute prima che causino danni.
La raccolta delle informazione avviene tramite sensori collegati a porte SPAN (Switched Port Analyzer) o TAP (Test Access Point) di rete, oppure tramite flussi (NetFlow, IPFIX – Internet Protocol Flow Information Export) e agenti virtuali negli ambienti cloud.
Il sistema, da questi dati, costruisce una baseline del comportamento normale e segnala le deviazioni rilevanti, correlando eventi apparentemente isolati in un’unica “storia” d’attacco.
Un approccio che, nel contesto B2B, è particolarmente prezioso, considerando che le organizzazioni gestiscono ambienti eterogenei, con sistemi legacy, dispositivi OT e IoT su cui non è possibile installare agenti di sicurezza. Pertanto, la rete diventa l’unico punto di osservazione affidabile.
Qual e la differenza tra ispezione dei pacchetti e analisi comportamentale NTA
L’ispezione dei pacchetti (Deep Packet Inspection – DPI) esamina principalmente checosa transita in rete: header, protocollo e anche il contenuto/payload. È molto precisa contro minacce già catalogate, ma perde efficacia quando il traffico è cifrato, che oggi è la norma, e non rileva attacchi inediti.
L’analisi comportamentale in una soluzione NTA (Network Traffic Analysis) osserva, invece, come utenti, host e applicazioni comunicano nel tempo, cercando deviazioni rispetto a un comportamento atteso. Non ha bisogno di decifrare il payload per accorgersi, ad esempio, che un server di stampa sta improvvisamente trasferendo gigabyte verso un IP sconosciuto, o che un account di servizio sta contattando decine di macchine mai raggiunte prima.
Le piattaforme NDR più mature combinano i due approcci: la DPI per la precisione sulle minacce conosciute, l’NTA per la copertura su quelle sconosciute.
Come identificare i canali di comando e controllo C2 e le comunicazioni anomale
L’attaccante, dopo essere entrato nella rete dell’organizzazione, deve mantenere la comunicazione con l’infrastruttura esterna per ricevere istruzioni ed esfiltrare dati. Ciò avviene tramite il cosiddetto canale di comando e controllo (C2), che, sfruttando spesso protocolli legittimi come HTTPS o DNS, è difficile da individuare con controlli tradizionali.
L’NDR è in grado di riconoscere il C2 attraverso indicatori comportamentali ricorrenti, quali:
- Beaconing – Connessioni periodiche e regolari verso lo stesso host esterno, tipiche di un malware che “chiede istruzioni” a intervalli fissi.
- DNS tunneling – Query DNS anomale per lunghezza, frequenza o entropia dei nomi di dominio, usate per veicolare dati.
- Domain Generation Algorithm (DGA) – Richieste verso domini dall’aspetto casuale.
- Fingerprint Transport Layer Security (TLS) anomali – Certificati o parametri di negoziazione (come JA3/JA3S) associati a strumenti offensivi noti.
- Trasferimenti anomali: volumi in uscita fuori scala rispetto alla baseline dell’host o dell’orario.
La rilevazione di questi segnali in fase precoce consente di interrompere la catena d’attacco prima dell’esfiltrazione o dell’esecuzione di un ransomware.
Come implementare soluzioni NDR nell’architettura di rete aziendale
È importante evidenziare che un’implementazione efficace di soluzioni NDR parte dalla mappatura dei punti di visibilità, ovvero, identificando quali segmenti di rete sono critici, dove passa il traffico est-ovest, quali ambienti cloud e OT devono essere coperti. Successivamente, si tratta di installare i sensori.
Di seguito le fasi chiave per garantire una implementazione efficace delle soluzioni di NDR:
- Definire gli obiettivi e il perimetro, dando priorità agli asset e ai segmenti a maggior rischio (data center, server con dati sensibili, sedi remote, ambienti cloud).
- Scegliere il modello di deployment: appliance fisiche, sensori virtuali o soluzioni cloud-native, in base all’infrastruttura.
- Posizionare i sensori su TAP o porte SPAN nei punti di aggregazione, senza introdurre latenza o punti di guasto.
- Avviare una fase di apprendimento per costruire la baseline comportamentale prima di attivare gli avvisi ad alta priorità.
- Ottimizzare il tuning per ridurre i falsi positivi e adattare le regole al contesto aziendale.
Come integrare la telemetria di rete con i sistemi SIEM e le piattaforme SOC
È importante evidenziare che l’NDR, inviando la telemetria e gli allarmi al SIEM (Security Information and Event Management), arricchisce le correlazioni con log di endpoint, identità, firewall e applicazioni. Ne consegue che un evento di rete sospetto, unito a un login anomalo e a un processo insolito su un endpoint, viene intercettato e gestito con priorità.
I termini di SOC, l’integrazione del NDR significa meno cambi di console, indagini più rapide e contesto già pronto: l’analista vede la sequenza completa dei flussi, gli host coinvolti e la mappatura sulle tecniche MITRE ATT&CK.
Inoltre, l’integrazione con piattaforme XDR e SOAR completa il quadro, portando a un’unica vista degli incidenti e a flussi di lavoro standardizzati.
Come automatizzare il contenimento delle minacce per ridurre i tempi di risposta
È importante evidenziare che rilevare una minaccia in pochi minuti serve a poco se il contenimento richiede ore.
Pertanto, un NDR moderno deve trasformare i livelli di affidabilità dell’alert in azioni operative ripetibili, orchestrate da una piattaforma SOAR (Security Orchestration, Automation and Response) o integrate direttamente con EDR (Endpoint Detection and Response), XDR (Extended Detection and Response), NAC (Network Access Control), firewall, sistemi IAM (Identity and Access Management) e strumenti ITSM (IT Service Management).
Di fatto, l’obiettivo non è solo automatizzare ogni risposta, ma ridurre il tempo tra rilevamento, verifica e contenimento, diminuendo il margine di movimento laterale, l’esfiltrazione e la compromissione di nuove identità.
Di seguito le azioni più comuni da automatizzare:
- Isolamento dell’endpoint o del server compromesso tramite EDR/XDR, mantenendo attivi i canali necessari alla remediation.
- Blocco di IP, domini, URL e hash malevoli su firewall, DNS security, proxy e protezione email.
- Quarantena dinamica tramite NAC, ad esempio spostando il dispositivo in una VLAN isolata.
- Sospensione delle credenziali o reset forzato per gli account con comportamenti anomali, come accessi impossibili o escalation sospette.
- Revoca di sessioni, token e privilegi su account cloud, SaaS e amministrativi.
- Avvio di playbook di incident response: raccolta di log ed evidenze, arricchimento con threat intelligence e apertura di ticket prioritari nell’ITSM.
- Notifica contestualizzata a SOC, IT e business owner, con evidenze, impatto potenziale e azioni già eseguite.
Si consiglia di adottare un approccio progressivo e basato sul rischio. Pertanto, le azioni a basso impatto e alta confidenza -i.e. il blocco di un dominio chiaramente malevolo o l’arricchimento di un alert – possono partire senza intervento umano; mentre, per le misure più invasive -i.e. isolare un server produttivo, disabilitare un account privilegiato o segmentare una rete critica – è opportuno mantenere un approccio human-in-the-loop. Ovvero, il playbook prepara evidenze e raccomandazioni, ma l’approvazione spetta a un analista o al responsabile del servizio.
La maturità, quindi, non si misura dal numero di playbook attivi, ma dalla capacità di collegare ogni automazione a livelli di affidabilità dell’alert, criteri di impatto, asset critici, procedure di rollback e responsabilità chiare.
Inoltre, test periodici, simulazioni e analisi dei falsi positivi permettono di affinare le regole, estendere l’automazione ai casi ricorrenti e ridurre il MTTR senza causare interruzioni evitabili.
Qual e il valore economico e operativo dell’analisi del traffico di rete
Il valore dell’NDR si misura su due piani.
Piano economico – Ridurre il tempo in cui un attaccante resta nascosto limita i danni: meno dati esfiltrati, meno sistemi cifrati, costi di ripristino e fermo operativo più contenuti, minore esposizione a sanzioni normative come quelle previste da GDPR e NIS2.
Piano operativo – l’NDR riduce il carico sugli analisti grazie alla correlazione automatica e alla prioritizzazione degli allarmi, permettendo a team spesso sottodimensionati di concentrarsi sulle minacce reali.
È importante evidenziare che l’NDR garantisce ulteriori benefici in termini di: visibilità su dispositivi non gestiti; supporto alle indagini forensi grazie alla conservazione dei metadati storici; capacità di dimostrare conformità con evidenze concrete.
Come misurare la riduzione del tempo di rilevamento degli attacchi nascosti
Si consiglia, per dimostrare la riduzione del tempo di rilevamento degli attacchi nascosti, di adottare metriche chiare, tra cui:
- MTTD (Mean Time To Detect), i.e. tempo medio tra l’inizio dell’attività malevola e il suo rilevamento;
- MTTR (Mean Time To Respond), i.e. tempo medio tra il rilevamento e il contenimento;
- Dwell time, i.e. durata della permanenza dell’attaccante nella rete;
- Tasso di falsi positivi e numero di alert gestiti per analista, quali indicatori dell’efficienza operativa;
- Copertura di visibilità, i.e. percentuale di segmenti e asset monitorati.
È opportuno stabilire un valore di partenza prima dell’implementazione dell’NDR e la NTA e confrontarlo a intervalli regolari, integrando i dati con esercizi di simulazione (es. red team, purple team, breach and attack simulation) che, in condizioni controllate, verificano la capacità di rilevamento.
Conclusione
L’NDR e la NTA si rivelano soluzioni efficaci per colmare una lacuna che i controlli tradizionali non riescono a coprire, garantendo: la visibilità sul comportamento reale della rete, anche quando il traffico è cifrato e l’attaccante usa strumenti legittimi.
Inoltre, l’NDR riduce in modo misurabile il tempo tra intrusione e risposta, oltre ad automatizzare il processo di contenimento, combinando ispezione dei pacchetti e analisi comportamentale ed integrandosi con SIEM e SOC.
Si consiglia alle organizzazioni di partire da una valutazione della propria visibilità attuale, individuare i segmenti più critici e avviare un’implementazione progressiva, misurando fin dall’inizio MTTD e MTTR. Ciò consentirà di rafforzare la postura di sicurezza complessiva, in uno scenario di minacce sempre più silenziose, passando da una strategia di cyber security reattiva ad una maggiormente proattiva.
Partecipa alla community