Interrompere catene di attacchi informatici con 5 strumenti

I cyberattacchi non cessano mai di evolversi e quindi le difese IT e i fornitori di servizi sono sempre impegnati a trovare modi per intercettare ed eliminare le minacce. Il report State of Ransomware 2025 di Sophos rivela che il 59% delle organizzazioni che hanno partecipato all’indagine è stato colpito quest’anno, con un costo medio di recupero che ha raggiunto la cifra impressionante di 2,73 milioni di dollari, senza contare i tempi di inattività e altre perdite di produzione.

Su larga scala, le soluzioni di sicurezza degli endpoint sono probabilmente in prima linea nella lotta a questi attacchi, soprattutto quando i colpevoli cercano vulnerabilità in strumenti di uso quotidiano come PowerShell, Windows Explorer e attività automatizzate per distruggere gli obiettivi. Non c’è da stupirsi se il report Security 100 2025 di CRN enfatizza la protezione e il rilevamento degli endpoint come capacità fondamentali per la classificazione dei fornitori di cybersecurity e gestione IT.

Ma cosa rende affidabile un sistema di sicurezza degli endpoint per le aziende? Per cominciare, le organizzazioni possono utilizzare vari strumenti per proteggersi da una catena di attacchi informatici o cyber kill chain, un concetto adattato che spiega come gli aggressori possono infiltrarsi, sfruttare e persistere in un ambiente di riferimento. Questo quadro fornisce vari modi per interrompere la “catena” in determinate fasi, che potrebbero bloccare l’attacco del tutto o contenere i danni.

Detto questo, la gestione di diversi strumenti senza una piattaforma di gestione IT unificata o dedicata richiederà sforzi e risorse significative. Ma se sei desideroso di costruire le basi, ecco cinque soluzioni Windows integrate che possono essere utilizzate per spezzare le moderne catene di attacchi informatici.

Che cos’è una catena di attacchi informatici?

Sviluppata da Lockheed e Martin, la cyber kill chain è un quadro sistematico che delinea i passi che i criminali informatici compiono quando effettuano attacchi informatici alle organizzazioni. La comprensione della Cyber Kill Chain aiuta le organizzazioni a sviluppare solide misure di sicurezza in ogni fase di un attacco.

Cinque strumenti integrati in Windows per bloccare le catene di attacchi informatici

Ecco una panoramica di come RDP Gateway, regole ASR, Windows Firewall, PowerShell e Autoruns possono essere utilizzati nelle diverse fasi di un cyberattacco (accesso iniziale, furto di credenziali, movimento laterale, persistenza ed esecuzione del payload):

Queste utility integrate in Windows possono essere la prima difesa contro varie minacce digitali. La loro configurazione dovrebbe essere piuttosto semplice, poiché sono già disponibili nella maggior parte degli ambienti.

1. Gateway RD: Mantenere la rete RDP sicura

Dato che RDP è uno degli strumenti più affidabili per la gestione degli endpoint remoti, soprattutto nelle reti IT distribuite, è abbastanza comune che i malintenzionati tentino di sfruttarne le lacune.

Fortunatamente, esiste un modo semplice per gestire questi rischi: configurando un gateway RD. L’implementazione di questa strategia può proteggere i sistemi interni dietro un tunnel sicuro. Quindi, può essere abbinato a protezioni moderne come l’autenticazione a più fattori (MFA), l’autenticazione a livello di rete e i criteri di accesso condizionale per deviare la catena di attacchi prima che inizi.

Per controllare regolarmente la configurazione, puoi utilizzare strumenti di terze parti o funzionalità RMM come il monitoraggio e la scansione delle porte di NinjaOne per verificare l’integrità delle connessioni di rete e dei protocolli di sicurezza.

2. Regole ASR: Bloccare gli exploit e ridurre al minimo l’esposizione

Ci sono molti modi per utilizzare le regole ASR (Attack Surface Reduction) di Microsoft.

Come si evince dall’elenco, le regole ASR forniscono un’ampia copertura e affrontano molte tattiche tipiche in più fasi della catena di attacco.

Microsoft riconosce inoltre di aver creato regole ASR per proteggere le vulnerabilità comunemente attaccate. A sua volta, questo fornisce una protezione accessibile alle organizzazioni che si affidano a funzioni e programmi potenti, ma anche molto utilizzati come vettori d’attacco, come le macro di Office, WMI, PsExec e altri ancora.

I requisiti per le regole ASR includono:

• Windows 10, versioni 1709 e successive
• Microsoft Defender deve essere attivo (non in modalità passiva)
• Alcune regole richiedono che la protezione data dal cloud venga attivata

Il problema delle regole ASR è che Microsoft ha bloccato le funzioni ASR complete se non si possiedono delle licenze enterprise. In particolare, è necessaria la licenza Office 365 E5 se si desidera l’integrazione completa di Defender for Endpoint, oltre a monitoraggio, avvisi e reportistica migliorati.

Detto questo, la società di software ha documentato che è possibile utilizzare le regole ASR con una licenza Microsoft 365 Business, ma lo scenario non è ufficialmente supportato.

Un’altra preoccupazione comune per le regole ASR è il potenziale di falsi positivi e di avvisi che distraggono. Il team di sicurezza interno di Palantir ha scritto un post estremamente ponderato che illustra nel dettaglio le proprie esperienze con ciascuna delle 15 regole ASR disponibili. Il post include raccomandazioni su quali regole possono essere configurate in modo sicuro in modalità Blocco e quali è meglio lasciare in modalità Controllo o disabilitare del tutto, a seconda degli ambienti.

3. Windows Firewall: Contenere le minacce e il traffico di rete

Il firewall di Windows è uno strumento sottoutilizzato per affrontare le catene di attacchi informatici e può costituire un’ottima aggiunta ai livelli di difesa in profondità di qualsiasi organizzazione.

Ecco alcuni esempi di attivazioni di Firewall in ambienti gestiti:

• Creare regole in uscita per bloccare i protocolli legacy vulnerabili a livello di endpoint.
• Bloccare i protocolli di amministrazione in entrata non necessari (per esempio WinRM, RDP) tra i livelli di workstation, ad eccezione degli host di salto approvati.
• Utilizzare le regole GPO per limitare l’accesso a SMB, RDP e WinRM, impedendo agli aggressori di utilizzare credenziali rubate o strumenti come PsExec per spostarsi lateralmente.

Inoltre, una delle sue funzionalità più preziose è quella di isolare i sistemi compromessi bloccando il traffico degli aggressori su SMB, un protocollo spesso sfruttato per il movimento laterale e l’elusione dell’MFA. È anche un potente strumento per il monitoraggio e il controllo del traffico di rete, sia per i dispositivi personali sia su scala più ampia con una corretta configurazione di Windows Firewall.

4. PowerShell: Implementazione e monitoraggio IT su larga scala

I casi d’uso discussi per i tre precedenti strumenti della catena di attacchi informatici hanno sfruttato le capacità di prevenzione di ciascuno strumento, dal rifiuto e dalla limitazione dell’accesso iniziale al blocco delle attività dannose.

Con PowerShell e il prossimo strumento, l’attenzione si concentra ulteriormente sul rilevamento e sulla risposta. Per esempio, PowerShell può eseguire comandi per rilevare i tentativi di accesso falliti (ID evento 4625), che in genere segnalano attacchi brute-force.

Può anche interrogare comportamenti sospetti o accessi remoti non autorizzati da strumenti come AnyDesk o TeamViewer. Allo stesso modo, la sua profonda integrazione nel sistema operativo può essere sfruttata per identificare voci di avvio automatico e attività pianificate sospette.

Con un RMM puoi anche automatizzare le azioni di reporting e di correzione sui dispositivi gestiti.

5. Autoruns: Identificare gli avvii automatici dannosi e non corretti

Uno dei modi più comuni con cui i malintenzionati possono ottenere la persistenza è l’inserimento di script dannosi nel registro di Windows , spesso da eseguire al riavvio o quando viene attivata una scorciatoia o un file batch.

Microsoft Autoruns è lo strumento ideale per mostrare quali programmi sono configurati per essere eseguiti durante l’avvio o il login. Per l’implementazione, ecco una guida su come disabilitare l’autorun o utilizzarlo per ispezionare e identificare i programmi sospetti.

Aggiungere livelli di sicurezza e promuovere una risposta proattiva

Questi cinque strumenti non eliminano il rischio di ransomware. Tuttavia, contribuiranno senza dubbio a colmare le lacune delle vostre difese e a rendere le cose più difficili per gli aggressori, eliminando le vulnerabilità più evidenti.

Sai come si dice: Qui la questione non è se affrontare un attacco, ma quando. A questo proposito, questi strumenti e altre moderne strategie di cybersecurity possono essere combinati per definire un approccio unificato e sostenibile contro le catene di attacchi informatici e i ransomware.

Per un piano d’azione più solido e accessibile, puoi utilizzare NinjaOne Patch Management per rafforzare la sicurezza, automatizzare le attività IT di routine e riservare più risorse per avvisi da cui potrai poi intervenire.