{"id":553414,"date":"2025-10-30T10:24:53","date_gmt":"2025-10-30T10:24:53","guid":{"rendered":"https:\/\/www.ninjaone.com\/?p=553414"},"modified":"2026-04-21T10:11:00","modified_gmt":"2026-04-21T10:11:00","slug":"lista-di-controllo-per-la-risposta-agli-incidenti-per-i-tecnici-msp","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/it\/blog\/lista-di-controllo-per-la-risposta-agli-incidenti-per-i-tecnici-msp\/","title":{"rendered":"Creare una lista di controllo per la risposta agli incidenti per i tecnici MSP"},"content":{"rendered":"<div class=\"in-context-cta\"><h2><strong>Punti chiave<\/strong><\/h2>\n<ul>\n<li>Una lista di controllo unificata per la risposta agli incidenti consente ai tecnici MSP di gestire gli incidenti di sicurezza (come malware, furti di credenziali e fughe di dati) in modo rapido e coerente.<\/li>\n<li>Le cinque fasi del framework NIST:\n<ul>\n<li>Preparazione: garantisce la prontezza operativa tramite criteri di auditing, sincronizzazione dell\u2019orario e impostazioni di sicurezza di base per la conformit\u00e0 e la visibilit\u00e0.<\/li>\n<li>Rilevamento e analisi: utilizza PowerShell, controlli del registro di sistema e log degli eventi per trovare indicatori di compromissione (IoC) e comportamenti anomali.<\/li>\n<li>Contenimento: comporta l&#8217;isolamento degli endpoint, la disabilitazione degli account compromessi e l&#8217;arresto dei processi dannosi, manualmente o tramite strumenti RMM come NinjaOne.<\/li>\n<li>Eradicazione e ripristino: rimuovere le minacce, reimpostare le credenziali e ripristinare i sistemi interessati verificandone l&#8217;integrit\u00e0.<\/li>\n<li>Attivit\u00e0 post-incidente: documentare gli eventi, eseguire l&#8217;analisi delle cause e aggiornare le SOP per evitare che si ripetano.<\/li>\n<\/ul>\n<\/li>\n<li>Prerequisiti: I tecnici devono avere\n<ul>\n<li>accesso come amministratore<\/li>\n<li>PowerShell<\/li>\n<li>Visualizzatore di eventi<\/li>\n<li>Log degli audit per individuare, contenere e risolvere gli incidenti<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/div>\n<p>Rispondere agli\u00a0<a href=\"https:\/\/www.ninjaone.com\/it\/gestione-impresa\/sicurezza\/\">incidenti di sicurezza negli ambienti IT<\/a>\u00a0deve essere veloce, coerente e scalabile. Per raggiungere questo obiettivo \u00e8 necessaria una\u00a0<strong>lista di controllo\u00a0<\/strong>standardizzata per la risposta agli incidenti, soprattutto per gli <a href=\"https:\/\/www.ninjaone.com\/it\/msp\/cos-e-un-msp\/\">MSP (Managed Service Provider)<\/a> che supportano pi\u00f9 tenant. Un&#8217;unica soluzione garantisce che ogni tecnico segua lo stesso processo, sia che si tratti di infezioni da malware, di compromissione di credenziali o di fughe di dati.<\/p>\n<p>Questa guida illustra l&#8217;intero ciclo di <a href=\"https:\/\/www.ninjaone.com\/it\/it-hub\/sicurezza-degli-endpoint\/cose-la-risposta-agli-incidenti\/\">risposta agli incidenti di sicurezza informatica (IR)<\/a>, basato sul quadro NIST (National Institute of Standards and Technology). Le fasi sono cinque: Preparazione, rilevamento e analisi, contenimento, sradicamento, recupero e attivit\u00e0 post-incidente.<\/p>\n<p>Ciascuna sezione comprender\u00e0 passaggi praticabili utilizzando strumenti come PowerShell, Prompt dei comandi, Criteri di gruppo e Registro di Windows. Questa lista di controllo si applica a tutti gli MSP e agli ambienti IT di qualsiasi dimensione.<\/p>\n<div class=\"in-context-cta\"><p style=\"text-align: center;\">Stabilite un solido quadro di risposta agli incidenti con NinjaOne.<\/p>\n<p style=\"text-align: center;\"><a href=\"https:\/\/www.ninjaone.com\/it\/prova-gratuita\/\" target=\"_blank\" rel=\"noopener\">Inizia la tua prova gratuita<\/a>\u00a0o\u00a0<a href=\"https:\/\/www.ninjaone.com\/it\/demo-gratuita\/\" target=\"_blank\" rel=\"noopener\">guarda una demo<\/a><\/p>\n<\/div>\n<h2>Passi per la creazione di una lista di controllo di risposta agli incidenti per i tecnici MSP<\/h2>\n<p>Prima di implementare una lista di controllo per la risposta agli incidenti informatici, i tecnici devono disporre delle autorizzazioni, degli strumenti e della telemetria appropriati.<\/p>\n<p>\ud83d\udccc\u00a0<strong>Prerequisiti<\/strong>:<\/p>\n<ul>\n<li>I tecnici devono avere accesso come amministratore a tutti gli endpoint, i server o i controller di dominio interessati dall&#8217;incidente.<\/li>\n<li>\u00c8 necessario avere accesso a strumenti come PowerShell 5.1 o successivo, Visualizzatore eventi, <a href=\"https:\/\/www.ninjaone.com\/it\/blog\/editor-del-registro\/\">Editor del registro di sistema<\/a> e Windows Security Logs.<\/li>\n<li>\u00c8 necessario essere in grado di registrare e verificare i log. Questi includono i log di audit di Microsoft 365, Windows Security, il <a href=\"https:\/\/www.ninjaone.com\/it\/blog\/cos-e-un-firewall\/\">firewall<\/a> e i log eventi locali.<\/li>\n<li>Accedi al\u00a0<a href=\"https:\/\/learn.microsoft.com\/en-us\/office365\/servicedescriptions\/microsoft-365-service-descriptions\/microsoft-365-tenantlevel-services-licensing-guidance\/microsoft-365-security-compliance-licensing-guidance\" target=\"_blank\" rel=\"noopener\">Centro per la conformit\u00e0 e sicurezza di Microsoft 365<\/a> per la revisione degli avvisi, l&#8217;auditing e le indagini sulle caselle postali, se applicabile.<\/li>\n<li>Un sistema di allerta o monitoraggio centralizzato come NinjaOne, Microsoft Defender o Azure Sentinel sarebbe la soluzione migliore per aumentare il monitoraggio delle anomalie e migliorare i flussi di lavoro degli incidenti.<\/li>\n<\/ul>\n<p>\ud83d\udccc<strong> Elenco dei passaggi per la creazione di una lista di controllo di risposta agli incidenti:<\/strong><\/p>\n<table>\n<tbody>\n<tr>\n<td>\n<p style=\"text-align: center;\"><strong>Fai clic per saltare una fase<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><a href=\"#step-1\"><strong>Fase 1: Fase di preparazione &#8211; preparazione e configurazione<\/strong><\/a><\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><a href=\"#step-2\"><strong>Fase 2: Rilevamento e analisi<\/strong><\/a><\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><a href=\"#step-3\"><strong>Fase 3: Procedure di contenimento<\/strong><\/a><\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><a href=\"#step-4\"><strong>Fase 4: Eradicazione e recupero<\/strong><\/a><\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><a href=\"#step-5\"><strong>Fase 5: Attivit\u00e0 successive all&#8217;incidente<\/strong><\/a><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h3 id=\"step-1\">Fase 1: Fase di preparazione &#8211; preparazione e configurazione<\/h3>\n<p>Questa fase mette a punto e prepara l&#8217;ambiente a un incidente di sicurezza. Affinch\u00e9 questa fase abbia successo, dovrai abilitare l&#8217;auditing dettagliato,\u00a0<a href=\"https:\/\/www.ninjaone.com\/blog\/fix-time-not-syncing-automatically-in-windows-11\/\">verificare la sincronizzazione temporale<\/a> e confermare ci\u00f2 che gli strumenti e i log possono fornire.<\/p>\n<p>\ud83d\udccc\u00a0<strong>Casi d&#8217;uso:<\/strong><\/p>\n<ul>\n<li>Questo aiuter\u00e0 te e il tuo team a stabilire una postura di sicurezza di base in tutti gli ambienti dei clienti.<\/li>\n<li>Assicurati che tutti gli endpoint e i controller di dominio possano creare e verificare i log prima che si verifichi un incidente.<\/li>\n<li>Contribuirai a soddisfare i requisiti di conformit\u00e0 e migliorare la visibilit\u00e0 forense dopo un incidente.<\/li>\n<\/ul>\n<p>\ud83d\udccc\u00a0<strong>Prerequisiti:<\/strong><\/p>\n<ul>\n<li>\u00c8 necessario l&#8217;accesso alla <a href=\"https:\/\/www.ninjaone.com\/it\/blog\/console-di-gestione-dei-criteri-di-gruppo\/\">Console di gestione dei Criteri di gruppo<\/a> o all&#8217;Editor dei Criteri di gruppo locale.<\/li>\n<li>Sono necessarie le autorizzazioni elevate per eseguire PowerShell o il Prompt dei comandi come amministratore.<\/li>\n<li>Per applicare le impostazioni basate sui gruppi, tutti i dispositivi devono essere collegati al dominio.<\/li>\n<\/ul>\n<p>Segui questi passaggi per configurare la registrazione di audit e la prontezza del sistema:<\/p>\n<h4><span style=\"font-size: 14pt;\">Problemi<\/span> di sicurezza<\/h4>\n<ol>\n<li>Innanzitutto, attiva i criteri di auditing utilizzando i Criteri di gruppo. Apri e naviga su:\u00a0<strong>Configurazione del computer &gt; Impostazioni di Windows &gt; Impostazioni di sicurezza &gt; Configurazione avanzata dei criteri di audit<\/strong>.<\/li>\n<li>Quindi, imposta le seguenti categorie di audit in base agli standard di sicurezza preferiti dall&#8217;organizzazione:\n<ul style=\"list-style-type: disc;\">\n<li>Eventi di accesso<\/li>\n<li>Accesso al conto<\/li>\n<li>Accesso agli oggetti<\/li>\n<li>Gestione dei conti<\/li>\n<\/ul>\n<\/li>\n<li>Verifica le impostazioni di auditing tramite PowerShell utilizzando questo comando:<\/li>\n<\/ol>\n<p style=\"padding-left: 80px;\"><strong>AuditPol \/get \/category:*<\/strong><strong><br \/>\n<\/strong><\/p>\n<ol start=\"4\">\n<li>Per verificare la sincronizzazione dell&#8217;ora su tutti gli endpoint, utilizza questo comando:<\/li>\n<\/ol>\n<p style=\"padding-left: 80px;\"><strong>w32tm \/query \/status<\/strong><\/p>\n<h4><span style=\"font-size: 14pt;\">Problemi non legati alla sicurezza<\/span><\/h4>\n<p>Prepararsi significa anche pianificare i problemi non legati alla sicurezza, come i guasti all&#8217;hardware e le interruzioni del servizio.<\/p>\n<p>Accertati di quanto segue:<\/p>\n<ul>\n<li>Il monitoraggio e gli avvisi sono configurati per garantire l&#8217;operativit\u00e0 del servizio.<\/li>\n<li>Finalizza i percorsi di escalation della documentazione per le interruzioni.<\/li>\n<li>Confermare la disponibilit\u00e0 di backup o di hardware di riserva in caso di guasto dei sistemi.<\/li>\n<\/ul>\n<h3 id=\"step-2\">Fase 2: Rilevamento e analisi<\/h3>\n<p>Questa fase prevede l&#8217;identificazione degli indicatori di compromissione del sistema. Esamina i log di sistema e di sicurezza per vedere se ci sono attivit\u00e0 sospette su endpoint o account.<\/p>\n<p>\ud83d\udccc\u00a0<strong>Casi d&#8217;uso:<\/strong><\/p>\n<ul>\n<li>Questa fase consente di rilevare gli accessi non autorizzati, le violazioni dei criteri e l&#8217;esecuzione di malware negli ambienti gestiti.<\/li>\n<li>Indagherai sulle anomalie segnalate dagli strumenti di sicurezza, dalle piattaforme SIEM o dai ticket dell&#8217;help desk.<\/li>\n<li>Verifica inoltre i requisiti di conformit\u00e0 esaminando le tracce di audit e gli eventi di sicurezza.<\/li>\n<\/ul>\n<p>\ud83d\udccc\u00a0<strong>Prerequisiti:<\/strong><\/p>\n<ul>\n<li>Per rilevare efficacemente le minacce \u00e8 necessario accedere a strumenti come Visualizzatore eventi, i log di Windows Security o una piattaforma SIEM.<\/li>\n<li>Devi disporre di un accesso come amministratore agli endpoint o agli strumenti di raccolta dei log centralizzati.<\/li>\n<\/ul>\n<p>Segui questi passaggi per implementare una strategia efficace di rilevamento e analisi delle minacce:<\/p>\n<h4><span style=\"font-size: 14pt;\">Eventi di sicurezza<\/span><\/h4>\n<ol>\n<li>In primo luogo, esamina i log di sicurezza per individuare gli ID degli eventi chiave:\n<ul style=\"list-style-type: disc;\">\n<li><strong>4624: Accesso riuscito<\/strong><\/li>\n<li><strong>4625: Accesso fallito<\/strong><\/li>\n<li><strong>4688: Creazione di un nuovo processo<\/strong><\/li>\n<li><strong>1102: Registro di controllo cancellato<\/strong><\/li>\n<li><strong>4720: Nuovo utente creato<\/strong><\/li>\n<li><strong>4728-4732: Modifiche all&#8217;appartenenza al gruppo<\/strong><strong><br \/>\n<\/strong><\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<ol start=\"2\">\n<li>Utilizza questo comando PowerShell per la raccolta dei log degli eventi:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong>Get-WinEvent\u00a0-LogName Security |\u00a0Where-Object\u00a0{$_.Id -eq\u00a04625}<\/strong><\/p>\n<ol start=\"3\">\n<li>Per verificare la presenza di meccanismi di persistenza, accedi a questa chiave di registro:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong>HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Run<\/strong><\/p>\n<ol start=\"4\">\n<li>Per verificare la presenza di attivit\u00e0 pianificate sospette, utilizza questo comando PowerShell:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong>Get-ScheduledTask |\u00a0Where-Object\u00a0{$_.TaskPath -like\u00a0&#8216;*mal*&#8217;}<\/strong><\/p>\n<h4><span style=\"font-size: 14pt;\">Eventi non legati alla sicurezza<\/span><\/h4>\n<p>Il rilevamento si applica anche agli eventi non legati alla sicurezza. Invece di processi o anomalie sospette, i tecnici possono notare segnali come cali di prestazioni, disconnessioni di server o fallimenti di lavori di backup. In questi casi, l&#8217;obiettivo \u00e8 lo stesso: raccogliere prove dagli strumenti di monitoraggio, dagli avvisi e dai log per confermare l&#8217;evento e comprenderne la portata.<\/p>\n<p>Ad esempio, puoi utilizzare questo codice PowerShell per determinare se lo stato del server \u00e8 attivo o meno:<\/p>\n<p style=\"padding-left: 40px;\"><strong>Test-Connection\u00a0server01 -Count\u00a01\u00a0-Quiet<\/strong><br \/>\n<strong>Get-Service\u00a0-ComputerName server01 |\u00a0Where-Object\u00a0Status -ne\u00a0&#8216;Running&#8217;<\/strong><br \/>\n<strong>Test-NetConnection server01 -Port\u00a03389<\/strong><\/p>\n<h3 id=\"step-3\">Fase 3: Procedure di contenimento<\/h3>\n<p>Una volta che il team ha confermato la presenza di una minaccia, il passo successivo di questa lista di controllo per la risposta agli incidenti di sicurezza IT \u00e8 isolare i sistemi interessati e prevenire ulteriori danni. I compiti prevedono la disabilitazione degli account, l&#8217;isolamento degli endpoint e l&#8217;arresto dei processi dannosi.<\/p>\n<p>\ud83d\udccc\u00a0<strong>Casi d&#8217;uso:<\/strong><\/p>\n<ul>\n<li>Questi passaggi ti aiuteranno a bloccare la diffusione di malware, ransomware e attivit\u00e0 non autorizzate nella rete.<\/li>\n<li>Isola i sistemi compromessi dalle infrastrutture critiche, impedendo la diffusione di eventuali infezioni.<\/li>\n<li>Ci\u00f2 consente di bloccare l&#8217;accesso dell&#8217;utente durante le indagini sulla compromissione dell&#8217;account.<\/li>\n<\/ul>\n<p>\ud83d\udccc\u00a0<strong>Prerequisiti:<\/strong><\/p>\n<ul>\n<li>\u00c8 necessario accedere ai dispositivi interessati tramite uno strumento RMM, PowerShell Remoting o login diretto.<\/li>\n<li>Le autorizzazioni amministrative sono necessarie sugli Endpoint o tramite <a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-management\/what-is-active-directory\/\">Active Directory<\/a>.<\/li>\n<li>Devono essere adottati criteri per l&#8217;escalation degli incidenti e per il loro contenimento.<\/li>\n<\/ul>\n<p>Segui questi passaggi per isolare o contenere le minacce:<\/p>\n<h4><span style=\"font-size: 14pt;\">Fasi di contenimento della sicurezza<\/span><\/h4>\n<ol>\n<li>Isola il dispositivo dalla rete. Puoi utilizzare questo comando PowerShell se non utilizzi NinjaOne o un altro software RMM:<\/li>\n<\/ol>\n<p style=\"padding-left: 80px;\"><strong>Disable-NetAdapter -Name\u00a0&#8220;Ethernet&#8221;\u00a0-Confirm:$false<\/strong><\/p>\n<ol start=\"2\">\n<li>Per bloccare l&#8217;accesso degli utenti o gli account compromessi (per gli utenti di Microsoft 365), utilizza questo comando PowerShell:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong>Set-MsolUser -UserPrincipalName user@domain.com -BlockCredential\u00a0<\/strong><strong>$true<\/strong><\/p>\n<ol start=\"3\">\n<li>Mettere in quarantena o contrassegnare gli endpoint compromessi.\n<ul style=\"list-style-type: disc;\">\n<li>Puoi utilizzare uno <a href=\"https:\/\/www.ninjaone.com\/it\/rmm\/\">strumento RMM (come NinjaOne)<\/a> per spostare i sistemi interessati in un gruppo di contenimento per isolarli.<\/li>\n<li>Un&#8217;altra opzione \u00e8 quella di spostare il dispositivo in un&#8217;unit\u00e0 organizzativa Active Directory ristretta che applica l&#8217;isolamento di rete tramite GPO.<\/li>\n<\/ul>\n<\/li>\n<li>Successivamente, puoi terminare i processi dannosi utilizzando questo comando di PowerShell:<\/li>\n<\/ol>\n<p style=\"padding-left: 80px;\"><strong>Stop-Process -Name &#8220;suspiciousprocess&#8221; -Force<\/strong><\/p>\n<p>Sostituisci\u00a0<strong>&#8220;suspiciousprocess&#8221;<\/strong>\u00a0con il nome del processo dannoso rilevato nella fase 2 (ID evento 4688). Puoi identificare i processi dannosi controllando le loro directory. Ad esempio, se \u00e8 salvato in\u00a0<strong>Temp<\/strong>\u00a0(<strong>ad esempio, C:\\Users\\Public\\Temp\\svchost.exe<\/strong>), allora \u00e8 motivo di sospetto e deve essere terminato.<\/p>\n<ol start=\"5\">\n<li>A questo punto puoi identificare le minacce dannose presenti nel Registro di sistema. Puoi farlo utilizzando questo comando PowerShell:<\/li>\n<\/ol>\n<p style=\"padding-left: 80px;\"><strong>Get-ItemProperty<\/strong><strong>\u00a0-Path\u00a0<\/strong><strong>&#8220;HKLM:\\Software\\<br \/>\nMicrosoft\\Windows\\CurrentVersion\\Run&#8221;<\/strong><\/p>\n<p>Esaminare l&#8217;output di PowerShell. Cerca i nomi abbozzati, scritti male, fuori posto e i file provenienti da posizioni non standard. Ad esempio, se trovi file<strong>. exe<\/strong>\u00a0con nomi sconosciuti che non dovrebbero essere presenti, questo \u00e8 motivo di sospetto.<\/p>\n<ol start=\"6\">\n<li>Terminare il processo rimuovendo le voci di avvio dannose dal Registro di Windows. Utilizza questo comando:<\/li>\n<\/ol>\n<p style=\"padding-left: 80px;\"><strong>Remove-ItemProperty<\/strong><strong>\u00a0-Path\u00a0<\/strong><strong>&#8220;HKLM:\\Software\\Microsoft\\<br \/>\nWindows\\CurrentVersion\\Run&#8221;<\/strong><strong>\u00a0-Name\u00a0<\/strong><strong>&#8220;BadApp&#8221;<\/strong><\/p>\n<p>Sostituisci\u00a0<strong>&#8220;Badapp&#8221;\u00a0<\/strong>con il nome della voce di avvio dannosa rilevata.<\/p>\n<ol start=\"7\">\n<li>Riavvia il computer o Explorer per rendere effettive le modifiche. Utilizza questo codice PowerShell:<\/li>\n<\/ol>\n<p style=\"padding-left: 80px;\"><strong>Stop-Process -Name explorer -Force<\/strong><br \/>\n<strong>Start-Process explorer<\/strong><\/p>\n<p>\u26a0\ufe0f <strong>Attenzione<\/strong>: Non eliminare le voci dannose a meno senza essere certo che siano effettivamente voci dannose o nocive.<\/p>\n<h4><span style=\"font-size: 14pt;\">Problemi non legati alla sicurezza: fasi di contenimento<\/span><\/h4>\n<p>Per gli incidenti non legati alla sicurezza, il contenimento comporta la messa offline dell&#8217;hardware difettoso, il ritorno a un aggiornamento precedente o il ripristino da backup non riusciti. Puoi utilizzare lo strumento di monitoraggio RMM per segnalare queste anomalie e iniziare a risolvere i problemi.<\/p>\n<h3 id=\"step-4\">Fase 4: Eradicazione e recupero<\/h3>\n<p>Una volta contenuta la minaccia, il passo successivo consiste nel rimuoverla dall&#8217;ambiente e ripristinare i sistemi interessati.<\/p>\n<p>\ud83d\udccc\u00a0<strong>Casi d&#8217;uso:<\/strong><\/p>\n<ul>\n<li>Questo passaggio e i metodi che seguono aiuteranno te e il tuo team a rimuovere malware, accessi backdoor e strumenti non autorizzati dai sistemi compromessi.<\/li>\n<li>Reimpostare le credenziali degli utenti e riapplicare i criteri di sicurezza dopo la violazione.<\/li>\n<li>Questo metodo ti aiuter\u00e0 a riparare e ripristinare lo stato operativo dei computer interessati.<\/li>\n<li>In questo modo \u00e8 puoi convalidare l&#8217;integrit\u00e0 del sistema prima di integrare nuovamente i dispositivi nella produzione.<\/li>\n<\/ul>\n<p>\ud83d\udccc\u00a0<strong>Prerequisiti:<\/strong><\/p>\n<ul>\n<li>Dovrai accedere a strumenti di protezione antivirus o endpoint come Microsoft Defender.<\/li>\n<li>Per eseguire scansioni, rimuovere un software dannoso e reimpostare i criteri, dovrai avere maggiori autorizzazioni di sistema.<\/li>\n<li>Per reimpostare le credenziali \u00e8 necessario accedere ad Active Directory o a strumenti per reimpostare le credenziali.<\/li>\n<\/ul>\n<p>Per debellare e aiutare il sistema a riprendersi, ecco cosa fare:<\/p>\n<h4><span style=\"font-size: 14pt;\">Problemi di sicurezza<\/span><\/h4>\n<ol>\n<li>Apri PowerShell ed esegui scansioni complete di malware\/antivirus utilizzando questo comando:<\/li>\n<\/ol>\n<p style=\"padding-left: 80px;\"><strong>Start-MpScan -ScanType FullScan<\/strong><\/p>\n<ol start=\"2\">\n<li>Per ripristinare le credenziali, esegui questa operazione con PowerShell:<\/li>\n<\/ol>\n<p style=\"padding-left: 80px;\"><strong>Set-ADAccountPassword -Identity &#8220;compromisedUser&#8221; -Reset<br \/>\n-NewPassword (ConvertTo-SecureString -AsPlainText &#8220;NewP@ssw0rd123&#8221; -Force)<\/strong><\/p>\n<p style=\"padding-left: 40px;\">Sostituisci\u00a0<strong>&#8220;compromisedUser&#8221;<\/strong>\u00a0con il nome utente e\u00a0<strong>&#8220;NewP@ssw0rd123<\/strong>&#8221;\u00a0con la password sicura che hai scelto.<\/p>\n<ol start=\"3\">\n<li>Per ispezionare il registro alla ricerca di dispositivi alterati o sospetti, esegui questo comando:<\/li>\n<\/ol>\n<p style=\"padding-left: 80px;\"><strong>Get-ItemProperty -Path<br \/>\n&#8220;HKLM:\\SYSTEM\\CurrentControlSet\\Services&#8221;<\/strong><\/p>\n<p style=\"padding-left: 40px;\">Qui puoi cercare nomi anomali, percorsi alterati e voci che mostrano file EXE sconosciuti.<\/p>\n<ol start=\"4\">\n<li>Per esaminare e verificare i firewall in entrata e assicurarti che siano in linea con i tuoi criteri, utilizza questo comando:<\/li>\n<\/ol>\n<p style=\"padding-left: 80px;\"><strong>Get-NetFirewallRule | Where-Object<br \/>\n{$_.Direction -eq &#8220;Inbound&#8221; -and $_.Action -eq &#8220;Allow&#8221;}<\/strong><\/p>\n<ol start=\"5\">\n<li>Utilizza questo comando PowerShell per aggiornare le baseline GPO e i criteri locali:<\/li>\n<\/ol>\n<p style=\"padding-left: 80px;\"><strong>gpupdate \/force<\/strong><\/p>\n<ol start=\"6\">\n<li>Opzionale: con questo comando puoi ripristinare il sistema a un punto di ripristino:<\/li>\n<\/ol>\n<p style=\"padding-left: 80px;\"><strong>Ripristino del computer -Punto di ripristino 1<\/strong><\/p>\n<h4>Problemi <span style=\"font-size: 14pt;\">non legati alla sicurezza\/operativi<\/span><\/h4>\n<p>In questi casi, il ripristino comprende i sistemi dai backup, il rollback delle patch problematiche o la sostituzione dei dispositivi guasti.<\/p>\n<h3 id=\"step-5\">Fase 5: Attivit\u00e0 successive all&#8217;incidente<\/h3>\n<p>Una volta contenuta la minaccia e ripristinato il sistema, la fase finale prevede la documentazione, l&#8217;analisi e i miglioramenti. L&#8217;esecuzione di questi passaggi impedir\u00e0 il ripetersi di tali eventi e contribuir\u00e0 a dimostrare la propria diligenza agli stakeholder e ai clienti.<\/p>\n<p>\ud83d\udccc\u00a0<strong>Casi d&#8217;uso:<\/strong><\/p>\n<ul>\n<li>Questa fase consente a te e al tuo team di documentare la cronologia degli eventi, di riepilogare le azioni intraprese e di documentare i risultati della bonifica, che saranno utili per le minacce future.<br \/>\nQuesto aiuter\u00e0 i team IT a individuare la causa principale dell&#8217;incidente e il modo in cui si \u00e8 diffuso, evitando che si verifichino eventi simili in futuro.<\/li>\n<li>Tu e il tuo team potete identificare le lacune di criteri o di configurazione e aggiornare le liste di controllo e le procedure di risposta agli incidenti informatici.<\/li>\n<li>Potrai rafforzare i controlli di accesso, i criteri di password o le impostazioni di audit in base alle tue scoperte.<\/li>\n<\/ul>\n<p>\ud83d\udccc\u00a0<strong>Prerequisiti:<\/strong><\/p>\n<ul>\n<li>\u00c8 necessario accedere ai rapporti di sicurezza, ai log degli eventi e ai dati RMM delle fasi precedenti di segnalazione degli incidenti.<\/li>\n<li>Ci\u00f2 richiede la capacit\u00e0 di esportare i log dai sistemi interessati.<\/li>\n<\/ul>\n<p>Per concludere l&#8217;incidente e creare risorse da utilizzare in futuro, segui i passaggi qui sotto:<\/p>\n<ol>\n<li>Documenta la cronologia degli eventi e le azioni intraprese dal tuo team. Assicurati di includere il tempo di rilevamento, le misure di contenimento, i sistemi interessati e quando e come l&#8217;incidente \u00e8 stato risolto.<\/li>\n<li>Raccogli e conserva le prove, come i log di sicurezza. Puoi esportarli utilizzando questa riga del prompt dei comandi:<\/li>\n<\/ol>\n<p style=\"padding-left: 80px;\"><strong>wevtutil epl Security &#8220;C:\\IR\\SecurityLog.evtx&#8221;<\/strong><\/p>\n<ol start=\"3\">\n<li>Ogni lista di controllo di risposta alla sicurezza necessita di un&#8217;analisi delle cause principali (RCA). Esamina come \u00e8 iniziato l&#8217;incidente, come \u00e8 stato rilevato e cosa ha permesso la sua diffusione. Questo aiuter\u00e0 te e il tuo team a risolvere le potenziali lacune e a ridurre la diffusione di potenziali minacce in futuro.<\/li>\n<\/ol>\n<ol start=\"4\">\n<li>Puoi verificare i privilegi locali. Cerca gli account utente inattesi o gli account di servizio con diritti elevati:<\/li>\n<\/ol>\n<p style=\"padding-left: 80px;\"><strong>Get-LocalGroupMember -Group &#8220;Administrators&#8221;<\/strong><\/p>\n<ol start=\"5\">\n<li>Sar\u00e0 necessario rafforzare i criteri sulle password per tutti gli utenti e rafforzare i controlli sugli accessi. Puoi affrontare questo compito richiedendo l&#8217;<a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-security\/what-is-multifactor-authentication-mfa\/\">autenticazione a pi\u00f9 fattori (MFA)<\/a>. A volte la password pu\u00f2 non essere sufficiente; un&#8217;app di autenticazione e altri livelli aggiuntivi di\u00a0<a href=\"https:\/\/www.ninjaone.com\/it\/blog\/checklist-della-sicurezza-informatica-per-proteggere-le-aziende\/\">protezione della sicurezza IT<\/a>\u00a0saranno utili.<\/li>\n<li>Infine, aggiorna la lista di controllo per la risposta agli incidenti e le procedure operative standard per il tuo\u00a0 MSP. Prendi nota di ci\u00f2 che ha funzionato, di ci\u00f2 che non ha funzionato e dei fattori che devono essere migliorati. Assicurati di annotare i problemi causati da avvisi mancati o da azioni che potrebbero essere fallite.<\/li>\n<\/ol>\n<h2><strong>\u26a0\ufe0f Cose da tenere d&#8217;occhio<\/strong><\/h2>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>Rischi<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Potenziali conseguenze<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Possibilit\u00e0 di tornare alla configurazione precedente<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Mancata esportazione dei log prima del riavvio o della pulizia<\/td>\n<td>Puoi perdere prove fondamentali, rendendo incompleta l&#8217;analisi delle cause principali<\/td>\n<td>Esportare i log subito dopo il contenimento.<\/td>\n<\/tr>\n<tr>\n<td>Trascurare gli account con privilegi elevati<\/td>\n<td>Gli account di amministratore non autorizzati possono persistere e gli aggressori potrebbero finire per riutilizzarli.<\/td>\n<td>Esegui il comando\u00a0<strong>Get-LocalGroupMember -Group &#8220;Administrators&#8221;\u00a0<\/strong>e disabilita o rimuovi gli utenti sconosciuti.<\/td>\n<\/tr>\n<tr>\n<td>Saltare l&#8217;analisi delle cause profonde (RCA)<\/td>\n<td>Il tuo sistema potrebbe essere sfruttato nuovamente dallo stesso tipo di attacco.<\/td>\n<td>Esegui l&#8217;analisi delle cause principali e documentala. Esamina le protezioni, come il firewall e l&#8217;antivirus, e rimuovi le condizioni che potrebbero rendere possibile lo stesso attacco.<\/td>\n<\/tr>\n<tr>\n<td>Non aggiornare la lista di controllo per la risposta agli incidenti<\/td>\n<td>I team potrebbero commettere errori in incidenti futuri e non seguire la procedura, con conseguenti problemi di recupero.<\/td>\n<td>Modifica la tua lista di controllo e rivedi le tue SOP per completare i rapporti sugli incidenti.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Modello di lista di controllo per la risposta agli incidenti per i tecnici IT<\/h2>\n<p>Modifica questo modello in base alle esigenze del cliente o dell&#8217;organizzazione.<\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>Fase<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Punto d&#8217;azione<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Strumento<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Preparazione<\/td>\n<td>\u2610 Modifica abilitata<br \/>\n\u2610 Verificare la sincronizzazione temporale<br \/>\n\u2610 Confermare la copertura della registrazione<\/td>\n<td>GPO, PowerShell<\/td>\n<\/tr>\n<tr>\n<td>Rilevamento<\/td>\n<td>\u2610 Query relative al login\/log di processo<br \/>\n\u2610 Rivedere gli ID degli eventi nel passaggio 2 (4624, 4625, 4688)<br \/>\n\u2610 Verificare la presenza di malware che sopravvive ai riavvii (meccanismi di persistenza)<\/td>\n<td>Visualizzatore eventi, PowerShell<\/td>\n<\/tr>\n<tr>\n<td>Indagine<\/td>\n<td>\u2610 Correlazione degli avvisi tra i sistemi<br \/>\n\u2610 Identificare la portata degli account o dei dispositivi interessati<br \/>\n\u2610 Convalidare i segnali di compromissione del sistema<\/td>\n<td><a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-security\/what-is-security-information-and-event-management-siem\/\">SIEM<\/a> (come Microsoft Sentinel), RMM, PowerShell<\/td>\n<\/tr>\n<tr>\n<td>Contenimento<\/td>\n<td>\u2610 Bloccare gli account compromessi<br \/>\n\u2610 Isolare gli endpoint interessati<br \/>\n\u2610 Terminare i processi dannosi<\/td>\n<td>PowerShell, NinjaOne<\/td>\n<\/tr>\n<tr>\n<td>Sradicamento<\/td>\n<td>\u2610 Eseguire una scansione AV completa,<br \/>\n\u2610 Rimuovere le voci di avvio dannose<br \/>\n\u2610 Ripristinare le credenziali dell&#8217;account compromesso<\/td>\n<td>Windows Defender, Registro di sistema<\/td>\n<\/tr>\n<tr>\n<td>Recupero<\/td>\n<td>\u2610 Reimpostazione del dispositivo, se necessario<br \/>\n\u2610 Aggiornare i criteri GPO<br \/>\n\u2610 Ripristino da backup<\/td>\n<td>PowerShell, strumenti RMM<\/td>\n<\/tr>\n<tr>\n<td>Comunicazione<\/td>\n<td>\u2610 Avvisare le parti interessate interne (dipendenti, alti dirigenti)<br \/>\n\u2610 Se necessario, rivolgersi ai clienti<br \/>\n\u2610 Fornire aggiornamenti sullo stato di avanzamento e un riepilogo della risoluzione<\/td>\n<td>Strumenti di posta elettronica, RMM, messaggistica<\/td>\n<\/tr>\n<tr>\n<td>Dopo l&#8217;incidente<\/td>\n<td>\u2610 Esportare e conservare i log,<br \/>\n\u2610 Documentate la cronologia<br \/>\n\u2610 Condurre l&#8217;analisi delle cause profonde (RCA)<br \/>\n\u2610 Aggiornare le SOP e le liste di controllo dei rapporti sugli incidenti, se necessario<\/td>\n<td>CMD, PowerShell<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Come NinjaOne supporta una risposta rapida e automatizzata agli incidenti IT<\/h2>\n<p>NinjaOne fornisce agli MSP gli strumenti necessari per automatizzare, accelerare e rendere uniformi le risposte agli incidenti IT negli ambienti gestiti. Lo fa integrando monitoraggio, scripting e documentazione in un&#8217;unica piattaforma. Grazie ad esso, i tecnici possono rispondere agli eventi di sicurezza in modo rapido e coerente.<\/p>\n<p>Alcune delle sue funzionalit\u00e0 che possono aiutare a soddisfare le fasi descritte nella lista di controllo della risposta agli incidenti sono le seguenti:<\/p>\n<ul>\n<li>NinjaOne ha integrato\u00a0<a href=\"https:\/\/www.ninjaone.com\/it\/gestione-endpoint\/piattaforma-di-monitoraggio-remoto\/\">gli strumenti di monitoraggio remoto<\/a>, che consentono di rilevare e segnalare le anomalie in tempo reale.<\/li>\n<li>Puoi disabilitare gli adattatori di rete e contrassegnare i dispositivi infetti per l&#8217;isolamento utilizzando il contenimento remoto.<\/li>\n<li>Automazione di attivit\u00e0 critiche come il ripristino delle credenziali, la scansione del malware e la terminazione dei processi dannosi utilizzando script personalizzati e azioni precostituite.<\/li>\n<li>NinjaOne dispone di una solida\u00a0<a href=\"https:\/\/www.ninjaone.com\/docs\/administration\/script-library\/\">funzionalit\u00e0 di libreria di script<\/a>\u00a0che consente di distribuire script PowerShell per correggere le voci di registro compromesse.<\/li>\n<li>Puoi generare documentazione di audit, compresi i log degli incidenti e le azioni dei tecnici per la revisione successiva all&#8217;incidente.<\/li>\n<li>NinjaOne fornisce una documentazione centralizzata e la distribuzione di procedure operative standard, consentendo di condividere con i team di tecnici le liste di controllo dei rapporti sugli incidenti e i flussi di attivit\u00e0.<\/li>\n<\/ul>\n<p>NinjaOne pu\u00f2 aiutare gli MSP a ridurre i tempi di risposta e a gestire in modo uniforme gli incidenti, mantenendo la piena visibilit\u00e0 e il controllo sugli ambienti dei clienti.<\/p>\n<div class=\"in-context-cta\"><p style=\"text-align: center;\">Crea un flusso di lavoro di risposta agli incidenti pi\u00f9 rapido e affidabile con NinjaOne.<\/p>\n<p style=\"text-align: center;\"><a href=\"https:\/\/www.ninjaone.com\/it\/gestione-endpoint\/gestione-della-risposta-agli-incidenti-it\/\" target=\"_blank\" rel=\"noopener\">Ulteriori informazioni sulla gestione della risposta agli incidenti di NinjaOne<\/a><\/p>\n<\/div>\n<h2>Creare una lista di controllo per la risposta agli incidenti per migliorare la sicurezza dell&#8217;ambiente IT<\/h2>\n<p>Una lista di controllo per la risposta agli incidenti assicura che ogni tecnico del tuo team risponda in modo efficace e coerente alle minacce di incidenti informatici. Puoi combinare strumenti di rilevamento, applicazione dei criteri, automazione e documentazione post-incidente per salvaguardare i clienti mantenendo la fiducia e l&#8217;eccellenza operativa.<\/p>\n<p>Preparati, rileva le minacce, contienile ed eliminale, ripristina il sistema e crea la documentazione appropriata per migliorare le tue SOP.<\/p>\n<p><strong>Argomenti correlati:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/checklist-della-sicurezza-informatica-per-proteggere-le-aziende\/\">Elenco di controllo della sicurezza informatica per proteggere la tua azienda<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/guida-sicurezza-informatica-msp-consigli-contro-ransomware\/\">Elenco di controllo per la sicurezza informatica degli MSP nel 2025: proteggersi dalle minacce e dai ransomware<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/resource\/checklist-per-hardening-degli-endpoint\/\">Checklist per l&#8217;hardening degli endpoint<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/guida-hardening-dei-sistemi\/\">Guida completa all&#8217;hardening dei sistemi [Elenco di controllo]<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/elenco-di-controllo-per-la-conformita-dora\/\">Lista di controllo per la conformit\u00e0 alla legge sulla resilienza operativa digitale (DORA)<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/msp-pianificare-risposta-incidente-ransomware-2019\/\">MSP: 6 chiavi per sopravvivere a un&#8217;epidemia di ransomware nella tua base clienti<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Rispondere agli\u00a0incidenti di sicurezza negli ambienti IT\u00a0deve essere veloce, coerente e scalabile. Per raggiungere questo obiettivo \u00e8 necessaria una\u00a0lista di controllo\u00a0standardizzata per la risposta agli incidenti, soprattutto per gli MSP (Managed Service Provider) che supportano pi\u00f9 tenant. Un&#8217;unica soluzione garantisce che ogni tecnico segua lo stesso processo, sia che si tratti di infezioni da malware, [&hellip;]<\/p>\n","protected":false},"author":223,"featured_media":532543,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"no","_lmt_disable":"","footnotes":""},"categories":[4354],"tags":[],"class_list":["post-553414","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-operazioni-it"],"acf":[],"modified_by":"Chiara Cavalletti","_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/553414","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/users\/223"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/comments?post=553414"}],"version-history":[{"count":0,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/553414\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/media\/532543"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/media?parent=553414"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/categories?post=553414"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/tags?post=553414"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}