{"id":917525,"date":"2026-10-29T17:59:35","date_gmt":"2026-10-29T17:59:35","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/switch-spoofing-2\/"},"modified":"2026-10-29T17:59:37","modified_gmt":"2026-10-29T17:59:37","slug":"switch-spoofing-2","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/it\/blog\/switch-spoofing-2\/","title":{"rendered":"Che cos\u2019\u00e8 lo switch spoofing e come prevenirlo nelle reti delle PMI"},"content":{"rendered":"<div class=\"in-context-cta\"><h2>Punti chiave<\/h2>\n<ul>\n<li style=\"font-weight: 400;\"><span style=\"font-weight: 400;\">Capisci come funziona lo switch spoofing: \u00e8 un attacco di VLAN hopping in cui un dispositivo non autorizzato si presenta come uno switch per negoziare un trunk e accedere ad altre VLAN. <\/span><\/li>\n<li style=\"font-weight: 400;\"><span style=\"font-weight: 400;\">Forza la modalit\u00e0 access sulle porte edge: configura tutte le porte rivolte agli utenti come porte access, per impedire negoziazioni di trunk indesiderate e bloccare lo spoofing. <\/span><\/li>\n<li style=\"font-weight: 400;\"><span style=\"font-weight: 400;\">Disabilita il trunking dinamico e limita le VLAN: disattiva DTP e limita le VLAN consentite sulle porte trunk per ridurre movimenti laterali e abusi. <\/span><\/li>\n<li style=\"font-weight: 400;\"><span style=\"font-weight: 400;\">Abilita i controlli di sicurezza first-hop: aggiungi livelli di protezione come port security, DHCP snooping e Dynamic ARP Inspection per individuare i dispositivi non autorizzati. <\/span><\/li>\n<li style=\"font-weight: 400;\"><span style=\"font-weight: 400;\">Controlla l\u2019accesso alla rete tramite l\u2019identit\u00e0: usa 802.1X con fallback MAB per legare l\u2019accesso alla rete a dispositivi o utenti noti e mantenere una segmentazione chiara. <\/span><\/li>\n<\/ul>\n<\/div>\n<p><span style=\"font-weight: 400;\">Lo <strong>switch spoofing<\/strong> \u00e8 una minaccia spesso sottovalutata per le reti delle piccole e medie imprese (PMI). Imitando uno switch di rete legittimo all\u2019interno della tua rete, gli aggressori possono ottenere l\u2019accesso a infrastrutture e dati sensibili e preparare il terreno per ulteriori exploit tramite un attacco di <a href=\"https:\/\/www.google.com\/url?sa=t&#038;rct=j&#038;q=&#038;esrc=s&#038;source=web&#038;cd=&#038;cad=rja&#038;uact=8&#038;ved=2ahUKEwiNt-GQrr2WAxX2keEIHRCMJocQFnoECBwQAQ&#038;url=https%3A%2F%2Fwww.ninjaone.com%2Fblog%2Fhow-to-prevent-vlan-hopping-in-msp-networks%2F&#038;usg=AOvVaw3l54CiUOTt5aPn43oxzaJx&#038;opi=89978449\">VLAN hopping<\/a>.<\/span><br \/>\n<span style=\"font-weight: 400;\">Questa guida pratica spiega come prevenire lo switch spoofing ed \u00e8 rivolta agli amministratori IT e ai <a href=\"https:\/\/www.ninjaone.com\/it\/msp\/cos-e-un-msp\/\">fornitori di servizi gestiti<\/a> (MSP) responsabili del funzionamento e della sicurezza delle reti delle PMI. Illustra come applicare l\u2019hardening alle interfacce, come eseguire verifiche automatizzate e ripetibili e come produrre prove di conformit\u00e0 pronte per gli audit.<\/span><\/p>\n<h2>Che cos\u2019\u00e8 lo switch spoofing?<\/h2>\n<p><span style=\"font-weight: 400;\">Switch spoofing \u00e8 il nome con cui si indica comunemente un attacco di VLAN hopping. Si verifica quando un hacker collega alla tua rete un dispositivo che si finge uno switch reale e induce uno switch vulnerabile (con una configurazione troppo permissiva) presente in rete a creare con esso un collegamento trunk. Questo collegamento trunk trasporta i dati di altre VLAN, quindi l\u2019aggressore riesce ad aggirare l\u2019isolamento delle VLAN e ad accedere ai dati.<\/span><br \/>\n<a href=\"https:\/\/www.ninjaone.com\/it\/blog\/che-cos-e-una-vlan\/\"><span style=\"font-weight: 400;\">Le VLAN (LAN virtuali)<\/span><\/a><span style=\"font-weight: 400;\"> sono partizioni di rete che ti permettono di tenere separati dispositivi diversi pur collegandoli alla stessa infrastruttura di rete fisica (pratica nota come <\/span><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/best-practice-di-segmentazione-della-rete\/\"><span style=\"font-weight: 400;\">segmentazione della rete<\/span><\/a><span style=\"font-weight: 400;\">). Vengono comunemente utilizzate nelle organizzazioni per isolare reti diverse senza dover realizzare infrastrutture parallele, oltre che per ragioni di sicurezza. Ad esempio, il Wi-Fi pubblico pu\u00f2 condividere i collegamenti fisici e la connessione internet esterna con le risorse del reparto IT interno, ma essere collocato su una VLAN separata per impedire agli utenti di accedere agli asset privati.<\/span><br \/>\n<span style=\"font-weight: 400;\">Gli aggressori possono ottenere l\u2019accesso alla tua infrastruttura di rete in diversi modi: ad esempio tramite una porta Ethernet esposta in un luogo pubblico, porte non protette in un ufficio oppure utilizzando dispositivi ed endpoint compromessi.<\/span><\/p>\n<h2>Quali sono i metodi di VLAN hopping?<\/h2>\n<p><span style=\"font-weight: 400;\">Oltre allo switch spoofing, un altro metodo di VLAN hopping \u00e8 il double tagging: l\u2019aggressore applica due tag VLAN (uno interno e uno esterno) allo stesso frame Ethernet, l\u2019unit\u00e0 con cui vengono trasmessi i dati.<\/span><br \/>\n<span style=\"font-weight: 400;\">Quando la porta trunk scarta il primo tag &#8211; cosa prevista dal funzionamento normale quando il tag corrisponde alla <a href=\"https:\/\/www.ninjaone.com\/it\/blog\/che-cos-e-una-vlan\/\">VLAN<\/a> nativa &#8211; e il frame viene inoltrato, gli altri switch penseranno che provenga dalla seconda VLAN. Anche se questo metodo \u00e8 unidirezionale (il traffico non torna indietro), pu\u00f2 comunque essere sfruttato per costruire attacchi.<\/span><\/p>\n<h2>Come si pu\u00f2 prevenire il VLAN hopping?<\/h2>\n<p><span style=\"font-weight: 400;\">Seguendo le indicazioni di questo articolo, metterai in pratica le seguenti best practice per mitigare gli attacchi di VLAN hopping:<\/span><\/p>\n<table>\n<tbody>\n<tr>\n<td><strong>Best practice<\/strong><\/td>\n<td><strong>Scopo<\/strong><\/td>\n<td><strong>Risultato<\/strong><\/td>\n<\/tr>\n<tr>\n<td><span style=\"font-weight: 400;\">Forzare la modalit\u00e0 access sulle porte edge<\/span><\/td>\n<td><span style=\"font-weight: 400;\">Impedisce la creazione involontaria di trunk<\/span><\/td>\n<td><span style=\"font-weight: 400;\">Blocca il VLAN hopping al perimetro<\/span><\/td>\n<\/tr>\n<tr>\n<td><span style=\"font-weight: 400;\">Disabilitare DTP e limitare le VLAN sui trunk<\/span><\/td>\n<td><span style=\"font-weight: 400;\">Previene l\u2019abuso dei trunk<\/span><\/td>\n<td><span style=\"font-weight: 400;\">Limita i movimenti laterali<\/span><\/td>\n<\/tr>\n<tr>\n<td><span style=\"font-weight: 400;\">Abilitare port security, Snooping e DAI<\/span><\/td>\n<td><span style=\"font-weight: 400;\">Individua dispositivi non autorizzati e abusi di ARP<\/span><\/td>\n<td><span style=\"font-weight: 400;\">Aumenta la visibilit\u00e0 e lo sforzo richiesto all\u2019aggressore<\/span><\/td>\n<\/tr>\n<tr>\n<td><span style=\"font-weight: 400;\">Usare 802.1X con fallback su MAB<\/span><\/td>\n<td><span style=\"font-weight: 400;\">Lega l\u2019accesso ai dispositivi o all\u2019identit\u00e0 dell\u2019utente<\/span><\/td>\n<td><span style=\"font-weight: 400;\">Segmentazione e audit pi\u00f9 puliti<\/span><\/td>\n<\/tr>\n<tr>\n<td><span style=\"font-weight: 400;\">Validare con tentativi di test<\/span><\/td>\n<td><span style=\"font-weight: 400;\">Dimostra l\u2019efficacia dei controlli e individua le regressioni<\/span><\/td>\n<td><span style=\"font-weight: 400;\">Crea prove pronte per gli audit<\/span><\/td>\n<\/tr>\n<tr>\n<td><span style=\"font-weight: 400;\">Archiviare configurazioni e riepiloghi<\/span><\/td>\n<td><span style=\"font-weight: 400;\">Tiene traccia di modifiche e violazioni<\/span><\/td>\n<td><span style=\"font-weight: 400;\">Dimostra una conformit\u00e0 continua<\/span><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Cosa serve per prevenire lo switch spoofing<\/h2>\n<p><span style=\"font-weight: 400;\">Per mitigare gli attacchi alle VLAN tramite switch spoofing sulla rete della tua PMI ti serviranno le informazioni e gli strumenti seguenti:<\/span><\/p>\n<ul>\n<li style=\"font-weight: 400;\"><span style=\"font-weight: 400;\">Modelli degli switch di rete e versioni di OS\/firmware che supportano la disattivazione del dynamic trunking protocol (DTP) o delle tecnologie di auto-trunking equivalenti<\/span><\/li>\n<li style=\"font-weight: 400;\"><span style=\"font-weight: 400;\">Un piano di rete (nuovo o esistente) per le VLAN utente e le VLAN di gestione, oltre a un ID di VLAN nativa inutilizzato<\/span><\/li>\n<li style=\"font-weight: 400;\"><span style=\"font-weight: 400;\">Una finestra di manutenzione e un accesso out-of-band per il rollback in caso di problemi<\/span><\/li>\n<li style=\"font-weight: 400;\"><span style=\"font-weight: 400;\">Una <\/span><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/best-practice-della-documentazione-it\/\"><span style=\"font-weight: 400;\">piattaforma di documentazione<\/span><\/a><span style=\"font-weight: 400;\"> centralizzata in cui conservare i backup delle configurazioni, gli screenshot delle verifiche e i riepiloghi mensili delle prove raccolte<\/span><\/li>\n<\/ul>\n<p><a href=\"https:\/\/www.ninjaone.com\/docs\/endpoint-management\/hardware-inventory\/switch-monitoring\/\"><span style=\"font-weight: 400;\">Un software di monitoraggio degli switch<\/span><\/a><span style=\"font-weight: 400;\"> pu\u00f2 inoltre essere distribuito sui dispositivi supportati.<\/span><\/p>\n<h2>Raccomandazione 1: forza la modalit\u00e0 access sulle porte edge<\/h2>\n<p><span style=\"font-weight: 400;\">Il metodo principale per prevenire il VLAN hopping tramite switch spoofing consiste nel configurare le porte in modo che non negozino automaticamente i collegamenti trunk. <\/span><\/p>\n<ul>\n<li style=\"font-weight: 400;\"><strong>Imposta le porte in modalit\u00e0 edge: <\/strong><span style=\"font-weight: 400;\">imposta tutte le porte rivolte agli utenti (note anche come porte edge) in modalit\u00e0 access, cos\u00ec da non poter essere usate per negoziare nuovi trunk.<\/span><\/li>\n<li style=\"font-weight: 400;\"><strong>Configura le porte correttamente in base al loro scopo: <\/strong><span style=\"font-weight: 400;\">assicurati che per ogni porta sia impostata la VLAN corretta. Imposta come VLAN nativa un ID di VLAN inutilizzato e per il resto disabilitato, invece della VLAN 1 predefinita, per prevenire l\u2019hopping tramite double tagging.<\/span><\/li>\n<li style=\"font-weight: 400;\"><strong>Documenta le configurazioni: <\/strong><span style=\"font-weight: 400;\">documenta tutte le porte e le VLAN nella tua <\/span><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/best-practice-della-documentazione-it\/\"><span style=\"font-weight: 400;\">documentazione IT centralizzata<\/span><\/a><span style=\"font-weight: 400;\">, cos\u00ec da poter verificare il comportamento previsto di una porta senza dover accedere alle interfacce di gestione.<\/span><\/li>\n<\/ul>\n<h2>Raccomandazione 2: metti in sicurezza i trunk<\/h2>\n<p><span style=\"font-weight: 400;\">Le porte che devono poter negoziare i trunk vanno messe in sicurezza, perch\u00e9 le configurazioni predefinite possono consentire comportamenti che rendono possibile lo switch spoofing.<\/span><\/p>\n<ul>\n<li style=\"font-weight: 400;\"><strong>Configura manualmente le porte trunk: <\/strong><span style=\"font-weight: 400;\">disabilita DTP su tutte le interfacce ancora in grado di funzionare come trunk e indica esplicitamente le VLAN consentite, invece di lasciare una configurazione permissiva per impostazione predefinita.<\/span><\/li>\n<li style=\"font-weight: 400;\"><strong>Metti in sicurezza la VLAN nativa:<\/strong><span style=\"font-weight: 400;\"> se la VLAN nativa viene utilizzata, assicurati che il traffico degli utenti non sia consentito.<\/span><\/li>\n<li style=\"font-weight: 400;\"><strong>Documenta tutto: <\/strong><span style=\"font-weight: 400;\">nella tua documentazione indica anche perch\u00e9 determinate VLAN sono consentite sulle diverse interfacce, e rivedi queste scelte quando necessario per limitare l\u2019accesso ai soli casi in cui serve davvero.<\/span><\/li>\n<\/ul>\n<h2>Raccomandazione 3: abilita la sicurezza first-hop<\/h2>\n<p><span style=\"font-weight: 400;\">Le funzionalit\u00e0 di port security andrebbero abilitate su tutte le porte edge, con restrizioni sugli indirizzi MAC per impedire la connessione di dispositivi non autorizzati. Vanno inoltre attivati DHCP snooping e ARP inspection per validare il traffico e mitigare i pi\u00f9 comuni attacchi al livello 2 (il livello di collegamento dati del modello di rete OSI).<\/span><br \/>\n<span style=\"font-weight: 400;\">\u00c8 possibile utilizzare anche tecnologie di sicurezza specifiche di un fornitore, come Cisco BPDU Guard, per mettere in sicurezza le reti e impedire la connessione di dispositivi non autorizzati dalle porte edge.<\/span><\/p>\n<h2>Raccomandazione 4: controlla l\u2019identit\u00e0 al perimetro<\/h2>\n<p><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/cos-e-il-nac-controllo-degli-accessi-alla-rete\/\"><span style=\"font-weight: 400;\">Le best practice per il controllo degli accessi alla rete (NAC)<\/span><\/a><span style=\"font-weight: 400;\"> vanno seguite per separare le reti e per fare in modo che i dispositivi fidati, quelli ospiti e quelli anomali siano chiaramente identificati e separati. Dove possibile, utilizza 802.1X per autenticare l\u2019accesso alla rete, con MAC authentication bypass (MAB) per i dispositivi che non supportano 802.1X.<\/span><\/p>\n<h2>Raccomandazione 5: verifica che le tue protezioni funzionino<\/h2>\n<p><span style=\"font-weight: 400;\">Puoi testare l\u2019efficacia delle misure di prevenzione dello switch spoofing <\/span><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/cos-e-il-penetration-test\/\"><span style=\"font-weight: 400;\">simulando attacchi reali<\/span><\/a><span style=\"font-weight: 400;\">. Collega un laptop senza privilegi e prova a inviare frame DTP o con tag per verificare che non si verifichi alcuna escalation verso altre VLAN. I dati acquisiti durante questi test possono essere usati come prova dell\u2019efficacia dei controlli.<\/span><\/p>\n<h2>Metodo 6: monitora, rivedi e aggiorna le misure anti-spoofing e i relativi risultati<\/h2>\n<p><span style=\"font-weight: 400;\">Nell\u2019ambito del tuo processo di monitoraggio IT dovresti:<\/span><\/p>\n<ul>\n<li style=\"font-weight: 400;\"><strong>Proteggerti dalla deriva della configurazione: <\/strong><span style=\"font-weight: 400;\">acquisisci e conserva le configurazioni e confrontale con gli standard per assicurarti che non ci siano derive della configurazione o manomissioni.<\/span><\/li>\n<li style=\"font-weight: 400;\"><strong>Assicurarti che i tecnici ricevano una notifica immediata: <\/strong><span style=\"font-weight: 400;\">configura notifiche per le violazioni ripetute della port security e integra la gestione dei problemi di sicurezza di rete nel tuo <\/span><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/risposta-agli-incidenti-di-sicurezza-specifico-per-msp\/\"><span style=\"font-weight: 400;\">playbook di risposta agli incidenti<\/span><\/a><span style=\"font-weight: 400;\">.<\/span><\/li>\n<\/ul>\n<p><span style=\"font-weight: 400;\">Rivedi regolarmente i dati raccolti per valutare l\u2019efficacia delle tue protezioni contro lo switch spoofing:<\/span><\/p>\n<ul>\n<li style=\"font-weight: 400;\"><strong>Esegui revisioni periodiche: <\/strong><span style=\"font-weight: 400;\">rivedi gli elenchi delle eccezioni e la mappatura delle porte per ridurre l\u2019esposizione, verificando che non ci siano porte trunk disponibili al perimetro e che le eccezioni per i dispositivi legacy vengano eliminate quando non servono pi\u00f9.<\/span><\/li>\n<li style=\"font-weight: 400;\"><strong>Aggiorna la documentazione quando cambiano configurazioni o processi: <\/strong><span style=\"font-weight: 400;\">documenta in modo accurato i risultati e le conseguenti modifiche alla configurazione, per facilitare la risoluzione dei problemi e dimostrare la conformit\u00e0.<\/span><\/li>\n<\/ul>\n<h2>NinjaOne unisce gestione, applicazione dei criteri, monitoraggio e automazione per aiutarti a rilevare e mitigare le intrusioni di rete<\/h2>\n<p><span style=\"font-weight: 400;\">Garantire configurazioni di rete coerenti e un monitoraggio senza lacune, in grado di individuare rapidamente gli attori malevoli presenti nelle tue reti, \u00e8 una sfida che cresce insieme alla tua infrastruttura.<\/span><br \/>\n<span style=\"font-weight: 400;\">NinjaOne ti aiuta ad affrontare un panorama della cybersecurity in continua evoluzione con una toolchain flessibile che unifica il monitoraggio e la gestione da remoto (RMM) degli endpoint con il <\/span><a href=\"https:\/\/www.ninjaone.com\/it\/gestione-endpoint\/gestione-network\/\"><span style=\"font-weight: 400;\">monitoraggio e gestione della rete (NMS)<\/span><\/a><span style=\"font-weight: 400;\">, integrandosi al contempo con strumenti di sicurezza come CrowdStrike e SentinelOne.<\/span><br \/>\n<span style=\"font-weight: 400;\">Puoi acquisire e confrontare configurazioni e log dei dispositivi di rete per garantirne la coerenza ed evitare derive, e inviare avvisi quando vengono rilevati tentativi di creare nuovi trunk. I riepiloghi possono essere formattati e conservati negli strumenti di documentazione integrati in NinjaOne, per essere rivisti e utilizzati come prova di conformit\u00e0.<\/span><br \/>\n<span style=\"font-weight: 400;\">Il VLAN hopping e altri tentativi di intrusione nella rete e di movimento laterale possono essere rilevati rapidamente anche da piattaforme di cybersecurity basate sull\u2019AI, che sfruttano NinjaOne per creare ticket e avvisare immediatamente i tecnici.<\/span><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Lo switch spoofing \u00e8 una minaccia spesso sottovalutata per le reti delle piccole e medie imprese (PMI). Imitando uno switch di rete legittimo all\u2019interno della tua rete, gli aggressori possono ottenere l\u2019accesso a infrastrutture e dati sensibili e preparare il terreno per ulteriori exploit tramite un attacco di VLAN hopping. Questa guida pratica spiega come [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":743672,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[3032],"tags":[],"class_list":["post-917525","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/917525","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/comments?post=917525"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/917525\/revisions"}],"predecessor-version":[{"id":917526,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/917525\/revisions\/917526"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/media\/743672"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/media?parent=917525"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/categories?post=917525"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/tags?post=917525"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}