Analisi del traffico di rete: la tecnica software che svela intrusioni prima che diventino un problema

L’analisi del traffico di rete anticipa le intrusioni perché vede i segnali deboli prima che esplodano in incidenti. Confronta il comportamento normale con ciò che devia. Incrocia metadati, firme e ritmo delle comunicazioni per scoprire movimenti sospetti anche quando tutto è cifrato.

Cos’è e come funziona

Si osservano pacchetti e flussi. I flussi (NetFlow, IPFIX) raccontano chi parla con chi, quanto, quando e con quale porta. I pacchetti aggiungono dettagli sui protocolli e, se possibile, sui contenuti.

Due approcci convivono. Il rilevamento per firme cerca tracce note di minacce. L’analisi comportamentale misura deviazioni rispetto a una baseline appresa. Insieme, coprono sia l’attacco conosciuto sia quello inedito.

Strumenti classici come Intrusion Detection System lavorano in mirror alla rete: nulla si ferma, ma tutto si vede. La Deep Packet Inspection aiuta dove il traffico non è cifrato. Altrove bastano i metadati: pattern temporali, dimensioni, JA3/JA3S dei client TLS, SNI, DNS.

Segnali precoci da non ignorare

• Beaconing regolare verso IP rari: intervalli rigidi tradiscono i server di comando e controllo.
• Anomalie DNS: tunnel, domini generati algoritmicamente, query a raffica fuori orario.
• Picchi di egress verso cloud mai usati: possibile esfiltrazione o abuso di credenziali.
• Lateral movement: SMB, RDP o WinRM che improvvisamente attraversano segmenti separati.
• Firme TLS sconosciute o cambiate su host critici: aggiornamenti o backdoor?
• Protocolli OT atipici in fabbrica: comandi di scrittura a PLC in orari di fermo.

Strumenti e architetture

In rete campus o data center si parte con SPAN o TAP ottici. Nei cloud si usa il mirroring di traffico VPC/VNet. In filiale bastano sensori leggeri su appliance x86.

Stack diffuso: Zeek per la telemetria ricca, Suricata per firme e IDS/IPS, un NDR per correlare, un SIEM per centralizzare e conservare. Arkime per la ricerca packet-level. Security Onion per integrare tutto senza bricolage eccessivo.

In ambienti ibridi la chiave è la visibilità est-ovest. I firewall perimetrali non bastano. Serve raccogliere flussi dagli switch core, dal virtual switch dell’hypervisor e dai mirror cloud.

Dalla fabbrica all’ufficio

Nelle linee manifatturiere, la rete OT è spesso piatta e longeva. Qui l’analisi del traffico separa rumore da rischio. Un picco Modbus con funzione di scrittura su PLC mentre la produzione è ferma è un campanello. Anche una scansione Profinet tra celle che non dovrebbero parlarsi.

In ufficio, attenzione a SaaS e VPN. Account compromessi generano download massivi o connessioni da ASN insoliti. La telemetria dei flussi racconta lo spostamento dei carichi e aiuta a verificare policy Zero Trust.

Metriche che contano e risposta

Due numeri definiscono la salute: MTTD e MTTR. Ridurli richiede triage chiaro, playbook e integrazione con NAC e firewall per isolare gli host a rischio in minuti.

Allarmi “high fidelity” prima, poi il resto. Partire da una top 10: beaconing, DNS anomalo, esfiltrazione, uso improprio di credenziali, protocolli vietati, scansioni laterali, nuove applicazioni, cifrature sospette, traffico verso Paesi non necessari, contatti con infrastrutture note malevole.

Errori comuni da evitare

Troppi log, poca qualità: si perde il segnale. Meglio poche pipeline curate e retention sensata. Non aggiornare firme e intelligence rende ciechi. Una baseline unica per tutti gli orari ignora i turni: serve profilo per reparto e fascia.

La cifratura non è un alibi. I metadati bastano spesso. Dove possibile, TLS inspection su segmenti non sensibili. E ricordarsi della privacy: i dati di rete possono toccare policy interne e normative.

Costi e ritorno

I sensori girano su hardware standard. Zeek e Suricata sono open source maturi. Il costo maggiore è il tempo degli analisti e il mirroring nel cloud. Il ROI è nel fermare sul nascere incidenti che fermerebbero la produzione o svuoterebbero i dati.

Un’ora di linea ferma costa spesso più di un progetto pilota ben fatto. Misurare i falsi positivi ridotti e gli allarmi gestiti per analista aiuta a difendere il budget.

Prossimi passi pratici

1) Attivare NetFlow/IPFIX sugli switch core e inviare a un collector. 2) Posare un TAP sul backbone o un mirror VPC nel cloud. 3) Deployare Zeek e Suricata su un nodo di prova. 4) Costruire una baseline di 30 giorni, con finestre per turno.

5) Definire 10 regole ad alta precisione e un playbook di isolamento via NAC. 6) Collegare al SIEM e creare dashboard su MTTD, MTTR e tasso di falsi positivi. 7) Fare un tabletop drill su esfiltrazione DNS e lateral movement. Poi scalare per segmenti.

Messaggio finale da sistemista: la rete non mente. Se impariamo a leggerla, gli attaccanti smettono di avere il vantaggio del tempo.