Glossario Cybersecurity: 60 termini spiegati in italiano

Attacco contro account Active Directory per i quali la preautenticazione Kerberos è disabilitata. Un attaccante può ottenere una risposta cifrata e tentare il cracking offline senza conoscere preventivamente la password dell’utente.

Il backup crea copie dei dati; la resilienza include anche isolamento, immutabilità, controllo degli accessi, monitoraggio, test di ripristino, priorità applicative, RPO, RTO e procedure per ricostruire servizi e identità.

Frode nella quale un account email viene compromesso o impersonato per modificare coordinate bancarie, autorizzare pagamenti, ottenere dati o interferire con processi aziendali. Può avvenire senza malware e superare controlli focalizzati esclusivamente sugli allegati.

Piattaforma che rappresenta utenti, computer, gruppi, sessioni, trust e permessi come un grafo per individuare percorsi di attacco verso obiettivi privilegiati. È utilizzata in attività offensive e difensive per comprendere come relazioni apparentemente minori si combinano.

Insieme prioritizzato di misure di sicurezza organizzate in controlli e safeguard. Copre inventario, configurazioni sicure, account, vulnerabilità, logging, email, backup, network monitoring e risposta agli incidenti, con gruppi di implementazione progressivi.

Motore di policy di Microsoft Entra ID che decide se consentire, bloccare o rafforzare un accesso in base a utente, applicazione, rischio, posizione, metodo di autenticazione e conformità del dispositivo. Non è un secondo fattore: è il livello che stabilisce quando e come richiederlo.

Abuso dei diritti di replica della directory per richiedere dati delle credenziali come farebbe un Domain Controller. Non richiede necessariamente accesso interattivo al server: è sufficiente controllare un principal con permessi di replica adeguati.

Attacco distribuito che tenta di esaurire banda, connessioni o risorse applicative per rendere indisponibile un servizio. Può colpire livelli di rete, trasporto o applicazione e richiedere mitigazioni differenti.

Approccio che inserisce controlli di sicurezza nel ciclo di sviluppo e delivery: threat modeling, gestione dei secret, code review, SAST, DAST, software composition analysis, container scanning, policy as code e verifica dell’infrastruttura.

Controlli che identificano dati sensibili e applicano regole su utilizzo, condivisione, trasferimento o memorizzazione. Le policy possono agire su email, documenti, endpoint e servizi cloud in funzione della piattaforma adottata.

Piattaforma che raccoglie telemetria dagli endpoint, rileva comportamenti sospetti e consente azioni di indagine e risposta, per esempio isolamento del dispositivo, acquisizione di evidenze o terminazione di processi. Non coincide con il solo antivirus.

Categoria che comprende password spraying, phishing, abuso del device code flow, consent phishing, furto di token, app registration malevole, abuso di ruoli e persistenza tramite credenziali applicative. Le tecniche cloud non dipendono necessariamente dalla compromissione di Active Directory on-premises.

Standard di autenticazione basato su crittografia asimmetrica. La credenziale è legata al dominio del servizio e la chiave privata rimane nel dispositivo o nel relativo provider sicuro. Le implementazioni correttamente configurate sono resistenti al phishing.

Normativa sulla protezione dei dati personali. In ambito cybersecurity richiede misure tecniche e organizzative adeguate al rischio, capacità di garantire riservatezza, integrità, disponibilità e resilienza e gestione documentata delle violazioni dei dati personali.

Ticket Kerberos TGT contraffatto utilizzando materiale crittografico dell’account KRBTGT. Consente di dichiarare identità e appartenenze a gruppi arbitrarie e rappresenta un indicatore di compromissione profonda del dominio.

Processo strutturato per preparare, identificare, analizzare, contenere, rimuovere e recuperare da un incidente di sicurezza. Include anche comunicazione, conservazione delle evidenze, decisioni legali e revisione post-incidente.

Un IoC è un artefatto osservato o associato a una compromissione, come hash, dominio o indirizzo IP. Un IoA descrive invece un comportamento o una sequenza che indica un attacco, per esempio accesso anomalo a LSASS seguito da autenticazioni laterali.

Standard per progettare, attuare, mantenere e migliorare un sistema di gestione della sicurezza delle informazioni. Utilizza un approccio basato sul rischio e collega policy, ruoli, processi, controlli, audit e miglioramento continuo.

Tecnica che richiede ticket Kerberos TGS per account associati a Service Principal Name e tenta di recuperarne offline la password. L’esposizione dipende soprattutto dalla robustezza della password, dal tipo di cifratura e dalla gestione dell’account di servizio.

Fase nella quale l’attaccante utilizza credenziali, sessioni, protocolli amministrativi o vulnerabilità per spostarsi dal primo sistema compromesso verso altri asset. Gli obiettivi tipici sono Domain Controller, file server, hypervisor, backup e applicazioni gestionali.

Uso offensivo di strumenti legittimi già presenti nell’ambiente, come PowerShell, WMI, rundll32, certutil o PsExec. L’attività può confondersi con l’amministrazione ordinaria e riduce la necessità di depositare malware riconoscibile sul sistema.

Processo Windows che applica policy di sicurezza e gestisce materiale di autenticazione. In funzione della configurazione può contenere hash, ticket Kerberos e altri segreti di sessione, diventando un obiettivo prioritario per il credential dumping.

Servizio gestito che combina tecnologia di detection, analisti e procedure di risposta. Il provider monitora gli eventi, svolge triage e indagine e, nel perimetro contrattuale, supporta o esegue azioni di contenimento.

Autenticazione che richiede fattori appartenenti a categorie diverse, per esempio una password e una chiave hardware o un dato biometrico. La robustezza dipende dal metodo utilizzato: SMS e OTP sono più esposti a phishing e social engineering rispetto a FIDO2 e passkey.

Piattaforma che integra segnali e incidenti provenienti da endpoint, identità, posta elettronica, applicazioni cloud e altri servizi Microsoft. Consente indagine correlata, advanced hunting e azioni di risposta nel perimetro delle licenze e dei componenti attivati.

Servizio Microsoft per autenticazione, autorizzazione, Single Sign-On, gestione delle applicazioni enterprise e controllo degli accessi a Microsoft 365, Azure e servizi SaaS. Il precedente nome Azure Active Directory non implica equivalenza architetturale con Active Directory Domain Services.

Interrogazione delle API Microsoft Graph per ottenere informazioni su utenti, gruppi, applicazioni, ruoli, dispositivi e configurazioni. Può essere attività amministrativa legittima oppure ricognizione offensiva eseguita con un’identità o un’app compromessa.

Servizio cloud per gestire dispositivi e applicazioni, distribuire configurazioni, verificare la conformità e applicare controlli di protezione dei dati. La compliance di Intune può alimentare le decisioni di Conditional Access, ma non garantisce da sola l’assenza di compromissione.

Servizio Microsoft per acquisire dati, creare analytics rule, svolgere hunting, gestire incidenti e automatizzare risposte tramite playbook. Può correlare telemetria Microsoft e sorgenti di terze parti, ma richiede progettazione dei connettori e controllo dei costi di ingestione.

Base di conoscenza che descrive comportamenti osservati degli avversari tramite tattiche, tecniche, sottotecniche, procedure, mitigazioni e fonti dati. Non è una checklist di compliance né una sequenza obbligatoria di attacco.

Firewall che integra controllo stateful con funzioni applicative e di sicurezza come identificazione delle applicazioni, intrusion prevention, URL filtering, ispezione TLS, controllo utenti e integrazione con threat intelligence. Le funzioni disponibili variano per prodotto e licenza.

Quadro europeo che rafforza gestione del rischio cyber, responsabilità degli organi di amministrazione, sicurezza della supply chain, gestione degli incidenti e supervisione per soggetti essenziali e importanti. In Italia è stata recepita con il D.Lgs. 138/2024.

Framework per organizzare obiettivi di cybersecurity nelle funzioni Govern, Identify, Protect, Detect, Respond e Recover. Non prescrive un prodotto specifico e può essere utilizzato per descrivere lo stato attuale, definire il profilo target e pianificare gli interventi.

Raccolta e analisi di informazioni disponibili pubblicamente o legittimamente accessibili. In cybersecurity viene usata per ricognizione, threat intelligence, verifica dell’esposizione, indagini e attribuzione, nel rispetto di finalità, autorizzazioni e normativa.

Insieme di processi e tecnologie per proteggere account amministrativi, credenziali condivise, account di servizio e sessioni privilegiate. Può includere vault, rotazione delle password, approvazione, registrazione delle sessioni e segregazione dei ruoli.

Tecnica che riutilizza un hash NTLM per autenticarsi senza conoscere la password in chiaro. Gli hash possono essere ottenuti da memoria, database locali, backup o sistemi compromessi e successivamente impiegati per accessi remoti compatibili con NTLM.

Riutilizzo di ticket Kerberos TGT o TGS sottratti a una sessione per impersonare un’identità o accedere a un servizio. Non richiede la password dell’utente finché il ticket è valido e accettato dal sistema di destinazione.

Attività controllata che tenta di sfruttare vulnerabilità e concatenare debolezze per dimostrare impatto, accesso e percorsi di compromissione. Scope, regole di ingaggio, finestre operative e gestione delle evidenze devono essere definiti prima del test.

Comunicazioni fraudolente progettate per ottenere credenziali, indurre un pagamento o eseguire codice. Lo spear phishing utilizza contenuti mirati su una persona, un ruolo o un processo aziendale e può sfruttare email, SMS, QR code, social network e servizi di collaborazione.

Funzionalità di Microsoft Entra ID per assegnare ruoli privilegiati in modalità eligible e attivarli solo quando necessario. Può richiedere MFA, approvazione, motivazione e durata limitata, producendo evidenze di audit.

Insieme di tecniche che aumentano i privilegi di un attaccante, localmente o nel dominio. Può sfruttare vulnerabilità software, servizi configurati male, ACL eccessive, deleghe, credenziali privilegiate o relazioni di trust.

Il Primary Refresh Token supporta il Single Sign-On sui dispositivi Microsoft Entra. Più in generale, access token, refresh token e cookie di sessione possono essere sottratti o abusati per accedere ai servizi senza reinserire password e, in alcuni scenari, senza attivare nuovamente la MFA.

Malware o operazione criminale che rende indisponibili dati e sistemi, spesso dopo furto di credenziali, movimento laterale, esfiltrazione e compromissione dei backup. Nei modelli di doppia estorsione la pubblicazione dei dati viene utilizzata come ulteriore pressione.

Il Red Team simula un avversario e valuta obiettivi e percorsi di attacco; il Blue Team rileva, contiene e difende; il Purple Team organizza la collaborazione tra i due per migliorare telemetria, detection e procedure. Non sono sinonimi di penetration test e SOC.

SAML 2.0 scambia assertion XML per il Single Sign-On; OAuth 2.0 delega l’accesso a risorse senza condividere la password; OpenID Connect aggiunge un livello di autenticazione e identità sopra OAuth 2.0. Sono correlati, ma non intercambiabili.

Programma continuativo che sviluppa capacità di riconoscere e gestire phishing, frodi, credenziali, dati, dispositivi e richieste anomale. Non coincide con l’invio annuale di slide o con un singolo test a risposta multipla.

Suddivisione di reti e workload in zone con regole di comunicazione esplicite. Può utilizzare VLAN, firewall, ACL, host firewall, security group o tecnologie software-defined. La separazione logica senza policy restrittive non produce una segmentazione efficace.

Piattaforma che centralizza log ed eventi, normalizza dati provenienti da fonti diverse, applica regole di correlazione e supporta ricerca, reporting e indagine. Il valore dipende dalla qualità delle fonti e dei casi d’uso implementati.

Ticket Kerberos TGS contraffatto con la chiave di un account di servizio. Ha perimetro più limitato del Golden Ticket, ma può consentire accesso persistente a un servizio specifico senza richiedere continuamente comunicazioni con il Domain Controller.

Tecnologie e workflow che orchestrano strumenti di sicurezza e automatizzano attività ripetitive: enrichment degli indicatori, apertura ticket, blocco controllato, raccolta di evidenze e comunicazioni. I playbook devono includere condizioni, approvazioni e rollback.

Tecniche che sfruttano fiducia, urgenza, autorità, paura o abitudini per ottenere informazioni, accesso o azioni. Comprende phishing, vishing, smishing, pretexting, baiting e impersonificazione fisica o digitale.

Meccanismo che permette di autenticarsi una volta e accedere a più applicazioni tramite una relazione di trust con un identity provider. SAML e OpenID Connect sono protocolli comuni per il federated SSO; SCIM è utilizzato per il provisioning delle identità.

Attacco che sfrutta un fornitore, un aggiornamento, una dipendenza software, un servizio gestito o un accesso terzo per raggiungere l’organizzazione target. La fiducia preesistente può permettere di superare controlli tradizionali.

Processo guidato da ipotesi per cercare attività non rilevate dai controlli automatici. Utilizza telemetria, intelligence, conoscenza delle tecniche avversarie e analisi del comportamento per verificare la presenza di compromissioni o anomalie.

Informazioni analizzate su attori, campagne, infrastrutture, vulnerabilità, tecniche e indicatori. Diventano intelligence quando sono contestualizzate, valutate e collegate a decisioni: priorità di patching, detection, hunting, blocco o gestione del rischio.

Una VPN estende la connettività verso una rete o un segmento; lo ZTNA pubblica accessi più granulari a specifiche applicazioni in base a identità, dispositivo e policy. Lo ZTNA non sostituisce automaticamente ogni uso della VPN, soprattutto per protocolli e scenari legacy.

Processo di identificazione, classificazione e prioritizzazione delle vulnerabilità attraverso inventario, scansioni, verifica delle configurazioni e analisi del contesto. Un risultato tecnico deve essere correlato a esposizione, asset, exploitability e impatto.

Tecnologia passwordless Microsoft che associa l’accesso dell’utente a una coppia di chiavi protetta dal dispositivo, normalmente tramite TPM. PIN e biometria sbloccano localmente la chiave privata e non vengono inviati al servizio remoto.

Approccio che correla segnali provenienti da endpoint, identità, email, cloud e rete in un’esperienza di detection e indagine integrata. L’obiettivo è ricostruire la catena dell’attacco oltre il singolo prodotto.

Modello di sicurezza nel quale nessuna identità, dispositivo, rete o applicazione viene considerata attendibile per impostazione predefinita. Ogni richiesta deve essere autenticata, autorizzata e valutata in base al rischio, al contesto e alla sensibilità della risorsa.