Minaccia esterna e minaccia interna
Le minacce di sicurezza si classificano comunemente in base all'origine dell'attore. Una minaccia esterna proviene da chi non ha alcun rapporto legittimo con l'organizzazione: un hacker singolo, un gruppo criminale organizzato, un attore sostenuto da uno Stato o attaccanti automatizzati che scandagliano internet in cerca di servizi esposti. Una minaccia interna proviene da chi l'organizzazione ha già autorizzato, come un dipendente, un collaboratore o un partner.
La distinzione conta perché le due classi superano controlli diversi. L'attore esterno deve prima entrare, mentre le minacce interne sono già dentro e aggirano completamente le difese perimetrali.
Come operano gli attaccanti esterni
Gli attaccanti esterni di solito entrano da alcune vie note. Un messaggio di phishing per clonazione, copia di una e-mail autentica, è uno dei modi per ottenere una password valida.
| Vettore | Come funziona |
|---|---|
| Phishing e ingegneria sociale | Induce i dipendenti a rivelare credenziali o a eseguire software malevolo |
| Sfruttamento di servizi esposti | VPN senza aggiornamenti, portali di accesso remoto o cloud configurato male |
| Credential stuffing e forza bruta | Riusa password trapelate da altre violazioni contro gli account aziendali |
| Malware e ransomware | Payload consegnati via e-mail, download malevoli o siti compromessi |
| Attacchi alla catena di fornitura | Compromette un fornitore fidato o un aggiornamento software |
Il confine sfumato
La netta separazione tra interno ed esterno non regge nella pratica. Quando un attaccante esterno ottiene la password valida di un dipendente, opera attraverso un account interno.
Questo scenario ibrido è spesso descritto come account interno compromesso. L'autore è esterno, ma l'accesso e l'attività appaiono interni. È uno degli schemi di attacco più dannosi.
- 1
Ottenere una password valida
Tramite phishing, un registro di infostealer o una fuga di credenziali.
- 2
Accedere come dipendente
Ogni sistema vede un utente legittimo e autenticato. Al perimetro non è stato violato nulla.
- 3
Ereditare i privilegi
I controlli perimetrali vengono aggirati e l'attaccante eredita i privilegi dell'utente.
Come appare in Anexet
La parte di rilevamento delle minacce interne di Anexet aggiunge alla dashboard un widget Users risk. Ordina gli utenti per rischio e può mostrare solo il rischio che nessuno ha ancora esaminato, così un account il cui comportamento cambia è più facile da individuare.
Segnali di un account compromesso
Nessun segnale isolato dimostra che un attaccante esterno è all'interno. Ordinare i segnali in base a ciò che suggeriscono permette al team di sicurezza di concentrarsi sugli account più importanti.
Il passo finale è spesso un'esfiltrazione di dati, quindi un trasferimento su un canale insolito merita attenzione anche quando l'accesso sembra regolare.
| Segnale | Cosa può indicare | Priorità di verifica |
|---|---|---|
| Attività in orari insoliti | Una sessione che non corrisponde al ritmo di lavoro abituale del titolare | Verificare presto |
| Accesso a dati fuori dal ruolo dell'utente | Un account usato al di là dei compiti del suo titolare | Verificare per primo |
| Trasferimento su un canale nuovo o insolito | Dati che escono da un percorso che l'utente non aveva mai usato | Verificare per primo |
| Lavoro di routine in orario normale | Di solito nulla di per sé | Di solito normale |
Difendersi dalle minacce esterne
La difesa classica contro gli attori esterni è centrata sul perimetro: firewall, prevenzione delle intrusioni, filtraggio della posta, applicazione tempestiva degli aggiornamenti, autenticazione a più fattori e gestione della superficie di attacco.
Poiché le credenziali possono essere rubate, per quanto solido sia il perimetro, i programmi maturi prevedono anche che gli attori esterni possano entrare. Aggiungono controlli centrati sull'identità, il privilegio minimo e il monitoraggio interno: monitoraggio dell'attività degli utenti, analisi comportamentale e prevenzione della perdita di dati. Questi controlli osservano ciò che gli utenti autenticati fanno davvero. Il passaggio verso architetture a fiducia zero riflette proprio questo: la posizione in rete, da sola, non stabilisce più la fiducia.
Errori comuni
La maggior parte delle lacune nasce dal considerare un accesso valido come prova che a operare sia un utente legittimo. Conta ciò che fa l'account, non solo il modo in cui ha effettuato l'accesso. Confronta i segnali con gli indicatori di minaccia interna noti per decidere quali meritano un esame più attento.
- Considerare la difesa perimetrale come unica linea di difesa
- Trattare un accesso riuscito come prova che il titolare sta lavorando
- Generare un allarme per ogni anomalia, così i segnali veri si perdono nel rumore
- Verificare i rischi solo dopo un incidente, e non quando compaiono
Da dove iniziare
Parti dagli account che hanno accesso ai dati più sensibili, poi dai canali che possono raggiungere. Gli avvisi legati a questi account sono quelli da esaminare per primi.
Per approfondire: Minacce alla Sicurezza delle Informazioni; Malware: le 7 minacce più pericolose del 2025.
L'attaccante esterno più difficile da individuare è quello che entra con una password valida.
Anexet TeamCome Anexet affronta questo
Anexet è orientata al rischio interno, non alla difesa perimetrale. Non è un firewall, né un gateway di posta, né uno scanner di vulnerabilità, e fermare gli attori esterni al confine esula dal suo ambito. Il punto in cui Anexet è direttamente pertinente è il caso ibrido descritto sopra: un attaccante esterno che opera già dall'interno con credenziali rubate.
L'architettura on-premise mantiene tutti i dati di monitoraggio e d'indagine nell'infrastruttura dell'organizzazione.
Rilevamento comportamentale della compromissione delle credenziali
il modulo Activity costruisce una linea di base del comportamento normale di ciascun utente: orario di lavoro, applicazioni usate, attività su file e web. Così gli scostamenti, come orari insoliti, accessi a dati non consueti o canali atipici, risaltano anche quando l'accesso in sé è «valido».
Motore di analisi del rischio
gli utenti ricevono un punteggio su otto categorie di rischio predefinite, con soglie configurabili, cruscotti di tendenza e notifiche a soglia, così che un'anomalia persistente alzi il punteggio e arrivi al team di sicurezza.
DLP in uscita
se un account compromesso tenta di spostare dati sensibili, il modulo DLP valuta i trasferimenti in base al contenuto (tesauri, banche di hash, impronte digitali, etichette di riservatezza) su posta, web, cloud, messaggistica, USB, stampa e appunti. Può bloccare o mettere in quarantena il trasferimento, chiunque sia il titolare dell'account.
Traccia di audit
ogni evento è registrato con utente, marca temporale, canale e classificazione del contenuto, a sostegno dell'indagine su chi fosse dietro l'attività: il titolare dell'account o un attore esterno.
Funzionalità di rilevamento delle minacce interne
Scopri di più