Corso Incident Responder
Durata: 3 mezze giornate (10,5 ore)
Live Online
In presenza
Live Online
In presenza
Cosa fa un Incident Responder
L'Incident Responder è il professionista che interviene quando un attacco informatico è già in corso o è appena stato scoperto: conferma l'incidente, lo contiene, raccoglie le evidenze forensi e riporta i sistemi in condizione sicura. Lavora su quattro fronti: analisi di memoria e dischi, log di Windows e dei web server, attacchi ad Active Directory, reporting e gestione della crisi. Questo corso copre tutti e quattro con esercitazioni su casi reali.
Corso Incident Response e DFIR: dal contenimento all'analisi forense
Il Corso Incident Responder forma chi deve gestire un incidente di sicurezza dall'inizio alla fine: risposta su Windows, memory forensics, analisi dei log con Sysmon, forensics del registro e del browser, hunting degli attacchi ad Active Directory, fino al report e al piano di gestione della crisi. Attraverso simulazioni basate su scenari reali, i partecipanti acquisiscono competenze pratiche e specialistiche per analizzare gli attacchi, ripristinare le infrastrutture compromesse e proteggere le risorse critiche aziendali. Una formazione pensata per operare in autonomia anche nei contesti più complessi, riducendo al minimo l’impatto degli attacchi informatici. Per il quadro operativo completo della gestione di una crisi ransomware, dal contenimento al recovery, consulta l'approfondimento su ransomware e incident response.
Chi gestisce gli incidenti in un ambiente Microsoft può approfondire gli strumenti con il corso SC-200 su Microsoft Sentinel e Defender XDR.
Sessioni live interattive
Lezioni in diretta con spazio per domande e confronto.
Approccio pratico
Esercitazioni e casi reali per mettere in pratica ciò che impari.
Cosa imparerai
- Gestire gli incidenti di sicurezza e affrontare le fasi della risposta a un incidente
- Creare e implementare un piano di risposta agli incidenti su Windows e applicare procedure efficaci in situazioni di emergenza
- Eseguire analisi forensi per acquisire e analizzare immagini di memoria e dischi, e per eseguire triage utilizzando diversi strumenti
- Analizzare server web compromessi, log e identificare attacchi e vulnerabilità sia sui server che nelle applicazioni web
- Analizzare log e attività di navigazione tramite strumenti tecnici avanzati
- Redigere rapporti dettagliati e preparare un piano di gestione delle crisi efficace
I vantaggi della formazione Nexsys
Trainer esperti e certificati
Formatori con esperienza concreta in ambito aziendale.
Contenuti sempre aggiornati
Materiale sempre in linea con le novità del settore.
Open Badge digitale
Un certificato digitale, verificabile e condivisibile online.
Esercitazioni guidate
Attività pratiche con il supporto diretto del docente.
Registrazioni disponibili
Rivedi le lezioni quando vuoi per 3 mesi.
Supporto post-corso
Assistenza anche dopo la fine del corso, per chiarimenti e approfondimenti.
Personalizza la tua formazione
Il corso può essere riprogettato su misura delle esigenze formative della tua azienda o di un gruppo di lavoro. Contenuti, durata e modalità sono personalizzabili per garantire coerenza con i tuoi obiettivi, tempi e budget.
Programma del Corso
Modulo 1: Guida alla gestione degli incidenti di Cybersecurity
- Introduzione alla gestione degli incidenti
- Fasi della gestione degli incidenti
- Preparazione
- Rilevazione e analisi
- Contenimento, Eradication e Recovery
- Attività post-incidente
Modulo 2: Incident Response su Windows
- Come creare un Incident Response Plan
- Procedura di Incident Response
- 3 elementi importanti
- Strumenti gratuiti utilizzabili
- Analisi della memoria live – parte 1
- Analisi della memoria live – parte 2
- Utenti
- Operazioni pianificate (Task Scheduler)
- Servizi
- Registry Run Keys / Cartella di avvio
- File
- Soluzioni aggiuntive
- Checklist
Modulo 3: Analisi di un Web Server compromesso
- Introduzione all’analisi di un web server compromesso
- Analisi dei log sui web server
- Attacchi ai web server
- Attacchi contro le applicazioni web
- Vulnerabilità sui server
- Vulnerabilità nei linguaggi di programmazione
- Individuazione di una web shell
- Esempio di analisi di un web server compromesso
Modulo 4: Analisi dei Log con Sysmon
- Introduzione e configurazione di Sysmon
- Rilevazione di Mimikatz con Sysmon
- Rilevazione di Pass-the-Hash con Sysmon
- Rilevazione dell’elevazione dei privilegi con Sysmon
Modulo 5: Acquisizione e triage forense
- Introduzione all’acquisizione e al triage forense
- Acquisizione dell’immagine di memoria da Windows e Linux
- Creazione di un’immagine personalizzata con FTK e montaggio dell’immagine per l’analisi
- Target di KAPE per l’acquisizione
- Moduli di KAPE per triage e analisi
- Triage con FireEye Redline
- Acquisizione e triage dei dischi con Autopsy
Modulo 6: Memory Forensics
- Che cos’è la Memory Forensics
- Procedure di analisi della memoria
- Analisi pratica 1: processo camuffato (Masqueraded Process)
- Analisi pratica 2: Process Injection
- Analisi pratica 3: DLL Injection
Modulo 7: Forensics del registro di Windows
- Introduzione alla forensics del Registro di Windows
- Acquisizione degli hive del Registro
- Regedit e Registry Explorer
- Informazioni di sistema, utenti e rete
- Shellbags
- Shimcache
- Amcache
- File recenti
- MRU delle finestre di dialogo
Modulo 8: Analisi dei Log di Evento
- Introduzione ai log di evento
- Analisi dei log di evento
- Log degli eventi di autenticazione
- Log delle operazioni pianificate di Windows
- Log dei servizi di Windows
- Eventi di gestione degli account
- Manipolazione dei log di evento
- Log del firewall di Windows
- Log di Windows Defender
- Log di esecuzione dei comandi PowerShell
Modulo 9: Browser Forensics
- Introduzione alla Browser Forensics
- Acquisizione
- Artefatti del browser
- Strumento: BrowsingHistoryView
- Analisi manuale del browser
- Framework Hindsight
- Caso pratico: violazione di policy aziendale
- Caso pratico 2: minaccia interna (Insider Threat)
Modulo 10: GTFOBins
- Introduzione a GTFOBins
- Shell
- Command
- Reverse shell
- Bind shell
- Upload di file
- Download di file
- Sudo
Modulo 11: Hunting degli Attacchi ad Active Directory
- Introduzione ad Active Directory
- Hunting dell’attacco AS-REP Roasting
- Hunting degli attacchi Kerberoasting
- Hunting delle enumerazioni LDAP (Bloodhound/Sharphound)
- Hunting del dump del database NTDS
- Hunting degli attacchi Golden Ticket
- Hunting degli attacchi NTLM Relay
Modulo 12: Redazione di un report su un incidente di sicurezza
- Introduzione alla scrittura tecnica
- Standard di reporting
- Stile del report
- Formattazione del report
- Template del report
Modulo 13: Come preparare un piano di gestione della crisi Cyber
- Introduzione alla gestione della crisi
- Preparazione generale
- Strumenti
- Preparazione delle unità di risposta
- Backup
- Allerte e conclusione della crisi
Requisiti
Non sono richiesti prerequisiti specifici. Per la partecipazione sono consigliate conoscenze di base sulla sicurezza informatica, incluse le minacce comuni e le pratiche di protezione, oltre a una comprensione dei concetti di networking e degli strumenti di sicurezza. È inoltre consigliato aver frequentato i seguenti corsi:
Prezzo per formazione dedicata online (date a scelta)
€ 890 + IVA a partecipante
Edizione a calendario
10, 11 e 12 novembre 2026 · 3 mezze giornate da 3,5 ore
Online - Live Virtual Class
790 € + IVA a partecipante
Preferisci il modulo cartaceo? Scarica il modulo di iscrizione (PDF)
A chi è rivolto
- Professionisti in sicurezza informatica
- IT Manager e responsabili della Sicurezza
- System e Network Administrator
- Chiunque desideri prepararsi o affinare le proprie competenze nella gestione e risposta degli incidenti IT
Chi tiene il corso
Il corso è tenuto da un docente certificato in incident response e analisi forense, con esperienza diretta nella gestione di incidenti in aziende italiane. Le esercitazioni sono costruite su casi reali seguiti dal team Nexsys, anonimizzati.
Corso personalizzato? 1 ora di consulenza gratuita per la tua azienda
Se scegli questo corso in modalità personalizzata, hai diritto a 1 ora di consulenza gratuita con il trainer da utilizzare dopo la formazione. Un’occasione per approfondire dubbi specifici e applicare subito quanto appreso al tuo contesto aziendale.
Open Badge digitale
Con i nostri corsi non ricevi un semplice attestato in PDF, ma un badge digitale riconosciuto a livello internazionale, conforme allo standard Open Badge.
È verificabile, condivisibile su LinkedIn e integrabile nel tuo CV, per valorizzare le competenze acquisite in modo moderno, trasparente e affidabile.
FAQ Corso Incident Responder
Quanto costa il corso Incident Responder?
L'edizione a calendario costa 790 € + IVA a partecipante, online in Live Virtual Class. La formazione dedicata, con date a scelta e programma adattabile all'azienda, costa 1.400 € + IVA in modalità one-to-one, 1.100 € + IVA a partecipante con 2 partecipanti e 890 € + IVA a partecipante con 3; oltre i 3 partecipanti la quotazione è personalizzata. Tutte le quote includono le registrazioni per 3 mesi, l'Open Badge e il supporto post-corso.
Quanto dura e come si svolge?
Tre mezze giornate da 3,5 ore, per 10,5 ore totali, prevalentemente online in diretta; in presenza su richiesta. L'edizione pubblica del 10, 11 e 12 novembre 2026 è online. Le lezioni sono registrate e restano disponibili 3 mesi, quindi una sessione persa si recupera.
Questo corso o il corso Blue Team: quale scegliere?
Il corso Blue Team lavora sulla detection e sul threat hunting, cioè su come accorgersi di un attacco. Il corso Incident Responder parte dal momento in cui l'attacco è confermato: contenimento, acquisizione forense di memoria e dischi, analisi dei log, hunting degli attacchi ad Active Directory, report e piano di crisi. L'ordine consigliato è Blue Team prima, Incident Responder dopo.
Quali prerequisiti servono?
Non ci sono prerequisiti obbligatori. Servono basi di sicurezza informatica e di networking e la familiarità con Windows a riga di comando. Chi arriva dal corso Cybersecurity: Network, EndPoint & Cloud o dal corso Blue Team ha già tutto il necessario.
Quali strumenti si usano nelle esercitazioni?
Sysmon per il rilevamento di Mimikatz, Pass-the-Hash ed escalation di privilegi; KAPE, FTK Imager, FireEye Redline e Autopsy per acquisizione e triage; Registry Explorer, BrowsingHistoryView e Hindsight per registro e browser; GTFOBins per gli abusi di binari su Linux. Tutti gli strumenti usati sono gratuiti o con versione gratuita.
Cosa ricevo alla fine del corso?
Un Open Badge digitale "Incident Responder" conforme allo standard Open Badge 2.0, verificabile online e condivisibile su LinkedIn. Non è una certificazione d'esame: attesta la partecipazione e le competenze trattate nel programma.
Corsi correlati
Corso Cybersecurity Blue Team: dalla Detection al Threat Hunting Operativo
Corso Red Teaming: Active Directory Attack and Defense
Corso Penetration Test
Preferisci compilare il modulo? Scrivi i tuoi dati qui sotto
Il servizio telefonico è attivo dal lunedì al venerdì dalle 8:00 alle 18:00 al numero 0452456669. Puoi anche compilare il modulo sottostante: