Un firewall mal configurato su un VLAN di produzione, una regola ACL dimenticata dopo una migrazione di server, un accesso VPN ancora attivo per un fornitore partito sei mesi fa: sono questi angoli morti che trasformano una rete aziendale in un parco giochi per un attaccante. L’audit di sicurezza della rete serve a smascherarli prima che un incidente lo faccia al vostro posto.
Segmentazione della rete e flussi autorizzati: il primo punto di attrito
Su carta, la maggior parte delle aziende dispone di una segmentazione della rete. In pratica, si osserva spesso che le regole di filtraggio tra le zone non sono state riviste dalla messa in servizio. Flussi temporanei aperti per un progetto diventano permanenti per dimenticanza.
Leggi anche : Controlli essenziali dopo la sostituzione della batteria sulla vostra Peugeot 208
Prima di avviare una scansione delle vulnerabilità, si inizia con mappare i flussi realmente attivi tra ogni segmento. Si confronta poi questa fotografia con lo schema teorico fornito dal team infrastruttura. La differenza tra i due rivela le prime falle: porte aperte senza giustificazione, protocolli non crittografati che transitano tra la rete aziendale e la DMZ, macchine di test accessibili dal Wi-Fi ospite.
Questo lavoro di confronto tra il dichiarato e il reale è dettagliato in questo guida sull’audit di sicurezza della rete, che descrive la logica di priorizzazione da applicare una volta identificati gli scostamenti.
Leggi anche : Scopri come i servizi professionali di Optisanté supportano gli esperti della salute
I feedback variano su questo punto a seconda delle dimensioni del parco, ma una rete di alcune centinaia di postazioni genera già flussi sufficienti affinché l’esercizio richieda diversi giorni.
Inventario degli asset di rete: perché gli strumenti automatici non sono sufficienti
Uno scanner di rete restituisce indirizzi IP, nomi delle macchine, servizi esposti. Ciò che non dice: a chi appartiene questa attrezzatura, qual è il suo ruolo aziendale e chi ne è responsabile. Senza questo strato di informazione, si ottiene un elenco, non un inventario utilizzabile.
L’audit impone di incrociare la scoperta automatica con interviste ai team IT e aziendali. Si cerca in particolare:
- Le attrezzature non gestite (shadow IT): stampanti connesse, sensori IoT, NAS personali collegati alla rete locale senza validazione della DSI
- Gli account di servizio con privilegi elevati di cui nessuno conosce più l’uso esatto né la password
- Le interconnessioni con partner o fornitori, spesso configurate tramite tunnel VPN site-to-site le cui regole di filtraggio lato remoto sfuggono al controllo dell’azienda
Un asset non inventariato è un asset non protetto. È una regola semplice, ma condiziona tutto il resto dell’audit.
Analisi delle vulnerabilità e test di intrusione di rete: due approcci complementari
La scansione delle vulnerabilità identifica le falle note (CVE pubblicate, versioni obsolete, configurazioni predefinite). Viene eseguita su tutto il perimetro definito, programmando le scansioni intensive al di fuori dell’orario di produzione per limitare l’impatto sulle prestazioni.
Il test di intrusione va oltre. Un auditor cerca di sfruttare le vulnerabilità rilevate per misurare la profondità di accesso realmente raggiungibile. La domanda non è più “questa porta è aperta”, ma “da questo punto d’ingresso, fino a dove possiamo arrivare nel sistema informativo”.
Concretamente, si distinguono due approcci:
- Il test in black box, dove l’auditor non dispone di alcuna informazione preliminare e simula un attaccante esterno
- Il test in grey box, dove l’auditor riceve un account utente standard per valutare le possibilità di elevazione dei privilegi e di movimento laterale all’interno della rete
- Il test in white box, più raro, dove l’auditor accede alla documentazione completa e al codice sorgente per una revisione approfondita
La scansione rileva le falle, il test di intrusione misura il loro impatto reale. Entrambi sono necessari per produrre un rapporto di audit che superi la semplice lista di correzioni.
Conformità NIS2 e capacità di rilevamento: un criterio di audit ormai centrale
La direttiva NIS2 impone alle entità interessate una notifica di incidente entro 24 ore all’ANSSI. Questa costrizione cambia la natura stessa dell’audit di rete. Non si verifica più solo se i sistemi sono aggiornati: si valuta se l’azienda è in grado di rilevare un’intrusione, di registrarla e di segnalare l’allerta entro questo termine.
L’audit deve quindi esaminare l’intera catena di rilevamento: raccolta dei log (firewall, server, directory Active Directory), centralizzazione in un SIEM o in uno strumento equivalente, regole di correlazione attive e procedura di notifica formalizzata. Senze registrazione centralizzata, la notifica entro 24 ore rimane teorica.
La conformità normativa va oltre NIS2. A seconda del settore, si verifica anche l’allineamento con il GDPR per il trattamento dei dati personali che transitano sulla rete, o con riferimenti come l’ISO 27001 se l’azienda mira a una certificazione.
Dal rapporto di audit al piano di rimedio: trasformare le constatazioni in azioni
Un rapporto che elenca vulnerabilità classificate per livello di criticità (critica, alta, media, bassa) senza priorizzazione operativa finisce in un cassetto. Il deliverable utile è quello che gerarchizza le correzioni in base al rischio aziendale reale, non solo al punteggio CVSS.
Una falla critica su un server isolato senza dati sensibili passa dopo una falla media sul controller di dominio Active Directory. La priorizzazione avviene in base all’impatto aziendale, non solo al punteggio tecnico.
Il piano di rimedio specifica per ogni constatazione: l’azione correttiva, il responsabile, il termine e il mezzo di verifica. Si integrano anche indicatori di monitoraggio (tasso di correzioni applicate, copertura MFA, tempo medio di rilevamento) per misurare i progressi nel tempo.
L’audit occasionale rimane una fotografia. Le aziende che traggono il massimo da questo esercizio lo inseriscono in un ciclo continuo: valutare, correggere, supervisionare, rivalutare. Questo passaggio da un controllo annuale a una postura guidata in modo continuo è la tendenza di fondo che separa le organizzazioni reattive da quelle che anticipano realmente le minacce sulla loro rete.