Analizza · MITRE ATT&CK
Persistenza ed evasione
Come un intruso mantiene l’accesso a un sistema già compromesso e prova a sfuggire ai controlli, quali tracce lascia e come chi difende può rilevarlo e prevenirlo.
Perché chi difende studia queste tecniche
Un intruso raramente ottiene tutto ciò che vuole al primo accesso. Per restare nel sistema dopo un riavvio o un cambio di password usa tecniche di persistenza; per non farsi notare da antivirus, EDR e analisti usa tecniche di evasione. Sono le fasi in cui un attacco può durare settimane senza che nessuno se ne accorga.
Conoscerle serve a sapere dove guardare: ogni meccanismo di persistenza lascia una traccia (una chiave di registro, un servizio, un’attività pianificata) e ogni tentativo di evasione produce segnali che un buon sistema di monitoraggio può raccogliere. Prima si trova la persistenza, più breve è la permanenza dell’intruso e minore è il danno.
Le schede descrivono cosa fa ogni tecnica e come riconoscerla, non come eseguirla. Usa queste conoscenze solo su sistemi tuoi o per cui hai un’autorizzazione scritta: leggi Etica e legge prima di sperimentare in laboratorio.
Schede delle tecniche
Nessuna tecnica corrisponde alla ricerca o al filtro scelto.
Come leggere i valori
Ogni tecnica ha tre valori su una scala bassa / media / alta. Sono stime qualitative a scopo didattico, non misure: nel tuo ambiente possono cambiare molto in base ai log raccolti e agli strumenti disponibili. Il colore indica chi è avvantaggiato: verde favorisce chi difende, rosso chi attacca.
- Stealth
- Quanto la tecnica è discreta. Alta: lascia poche tracce visibili con un controllo di routine. Bassa: basta guardare nel posto giusto per notarla.
- Prevalenza
- Quanto spesso la tecnica compare negli incidenti e nei report pubblici di threat intelligence. Alta: è tra le prime cose da controllare.
- Difficoltà di rilevamento
- Quanto è difficile accorgersene. Bassa: un evento di log dedicato o uno strumento come Autoruns è sufficiente. Alta: servono telemetria avanzata (EDR, Sysmon ben configurato) o analisi della memoria.
Una tecnica con prevalenza alta e difficoltà di rilevamento bassa è il primo controllo da automatizzare; una con difficoltà alta richiede investimenti in telemetria e competenze di analisi.
Confronto rapido
| Tecnica | Stealth | Prevalenza | Difficoltà di rilevamento | Contromisura principale |
|---|
Per approfondire
Catalogo malware — famiglie documentate con indicatori e contromisure
Tassonomia malware — le categorie di malware spiegate con esempi
Analisi file — indicatori statici di un file sospetto
Violazioni storiche — casi reali e cosa hanno insegnato
Etica e legge — cosa puoi fare, dove e con quale autorizzazione