CompTIA SY0-701: Risposta agli Incidenti, Analisi Forense e Valutazione — Guida allo studio

By Laurynas Brazys · 20 July 2026 · #comptia #sy0-701 #certification #exam-prep #study-guide

Fa parte della CompTIA Security+ SY0-701 — Guida allo studio. Esercitati con risposte verificate nel centro esami CompTIA, oppure fai test cronometrati su ExamRoll.io.

Gli incidenti di sicurezza sono inevitabili. La disciplina della risposta agli incidenti (incident response) trasforma un evento caotico e dannoso in un processo strutturato e documentato che limita i danni, preserva le prove, ripristina le operazioni e produce miglioramenti duraturi. L’analisi forense fornisce la metodologia investigativa che rende possibile l’analisi della causa radice (root-cause analysis) e difendibile un procedimento legale. La gestione delle vulnerabilità (vulnerability management) chiude il cerchio, individuando e rimediando sistematicamente alle debolezze sfruttate dagli incidenti.

Scansione delle Vulnerabilità e Prioritizzazione CVSS

Gli scanner di vulnerabilità come Nessus, Qualys e Rapid7 InsightVM enumerano gli host, sondano i servizi e confrontano i risultati con i database CVE per produrre un elenco prioritario di debolezze. Le scansioni autenticate — in cui lo scanner accede al target con credenziali valide — producono risultati molto più completi rispetto alle scansioni non autenticate, che possono valutare solo i servizi visibili esternamente. Un errore comune è eseguire solo scansioni non autenticate e concludere che un sistema è “pulito” quando lo scanner semplicemente non ha potuto vedere all’interno.

La prioritizzazione si basa sul Common Vulnerability Scoring System (CVSS), attualmente alla versione 3.1/4.0. Il CVSS produce un punteggio da 0.0 a 10.0 derivato da metriche di Base (Vettore di Attacco, Complessità dell’Attacco, Privilegi Richiesti, Interazione dell’Utente, Scope e la triade di impatto CIA), perfezionato opzionalmente con metriche Temporali e Ambientali. Una vulnerabilità CVSS 9.8 con vettore di attacco di rete e senza autenticazione (ad esempio, CVE-2021-44228 Log4Shell) giustifica un patching di emergenza, mentre un problema 5.4 sfruttabile localmente su un host di gestione isolato può attendere. I programmi sofisticati integrano il CVSS con l’EPSS (Exploit Prediction Scoring System) e il catalogo Known Exploited Vulnerabilities (KEV) della CISA per ponderare la probabilità di sfruttamento nel mondo reale insieme alla gravità teorica.

Penetration Testing e Rules of Engagement

Il penetration testing va oltre la scansione, sfruttando attivamente le debolezze per dimostrarne l’impatto. Gli ingaggi sono classificati come black-box (nessuna conoscenza pregressa), white-box (documentazione completa e accesso al codice sorgente) o gray-box (conoscenza parziale, spesso simulando un insider o un utente compromesso). Il Static application security testing (SAST) analizza il codice sorgente senza eseguirlo, individuando difetti come i sink di SQL injection e i pattern di deserializzazione non sicuri, mentre il dynamic application security testing (DAST) esegue l’applicazione in funzione per identificare problemi di runtime come bypass dell’autenticazione e difetti nella gestione delle sessioni. Nessun approccio da solo è sufficiente: il SAST non rileva problemi di runtime e ambientali, il DAST non copre i percorsi del codice che non attraversa.

Il documento Rules of Engagement (RoE) è un artefatto vincolante che definisce lo scope (intervalli IP, domini, applicazioni), le tecniche permesse, le finestre temporali per i test, i contatti di emergenza, la gestione dei dati sensibili scoperti e l’autorizzazione legale. Senza un RoE firmato e uno statement of work, l’attività di testing è legalmente indistinguibile da un’intrusione criminale. Le RoE tipicamente proibiscono azioni distruttive, test di DoS in produzione e social engineering, a meno che non siano esplicitamente autorizzati.

Ciclo di Vita della Risposta agli Incidenti

Il ciclo di vita del NIST SP 800-61 fornisce la struttura canonica:

Preparazione: stabilisce la capacità operativa prima di qualsiasi incidente: costruire il CSIRT, definire ruoli e responsabilità, implementare strumenti di rilevamento (SIEM, EDR, NDR), mantenere i runbook, rifornire i jump kit con write blocker e dischi per l’imaging, e condurre esercitazioni tabletop. La revisione di ruoli e responsabilità è un’attività di preparazione, non qualcosa che si inventa nel mezzo di una crisi.

Identificazione (rilevamento e analisi): conferma che un evento è effettivamente un incidente. Gli analisti eseguono il triage degli alert, correlano gli indicatori, determinano lo scope e classificano la gravità. La precisione in questa fase previene sia l’affaticamento da alert (alert fatigue) sia un’escalation prematura.

Contenimento: limita il danno. Il contenimento a breve termine potrebbe isolare un host disabilitando la porta dello switch o applicando una quarantena di rete tramite EDR; il contenimento a lungo termine potrebbe comportare la ricostruzione dei segmenti interessati mentre l’indagine prosegue. Le decisioni di contenimento bilanciano la conservazione delle prove con il danno in corso — staccare il cavo di alimentazione distrugge la memoria volatile ma ferma un’esfiltrazione attiva.

Eradicazione: rimuove l’avversario e la causa radice: eliminare malware, disabilitare account compromessi, applicare patch alle vulnerabilità sfruttate e ruotare credenziali e chiavi che potrebbero essere state esposte.

Ripristino: ripristina i sistemi in produzione, convalidandone l’integrità, monitorando eventuali recidive e rimettendo gradualmente online i servizi. Il ripristino non è completo finché non si è certi che la minaccia non possa ripresentarsi immediatamente attraverso lo stesso vettore.

Lezioni Apprese (Lessons Learned): produce il report post-incidente, aggiorna i runbook e migliora i controlli. Questa è la fase in cui le organizzazioni convertono gli incidenti in capacità durature — saltarla garantisce che lo stesso incidente si ripeta.

Informatica Forense: Conservazione, Acquisizione e Analisi

La validità forense si basa sul principio che le prove devono essere raccolte in modo da preservarne l’integrità e l’ammissibilità. La conservazione inizia nel momento in cui si sospetta un incidente: congelando i log, sospendendo la pulizia automatizzata ed emettendo blocchi a fini legali (legal hold) ai custodi dei dati. L’acquisizione è la fase in cui le immagini forensi vengono effettivamente ottenute, tipicamente come copie bit-per-bit dei supporti di memorizzazione utilizzando strumenti come dd, FTK Imager o EnCase, insieme ad acquisizioni della memoria tramite strumenti come WinPmem o LiME. Ogni acquisizione deve essere accompagnata da un hash crittografico (SHA-256) calcolato immediatamente dopo la creazione dell’immagine:

# Create forensic image and compute hash simultaneously
dd if=/dev/sda bs=4M | tee disk.img | sha256sum > disk.img.sha256

# Verify integrity after transfer
sha256sum -c disk.img.sha256

La documentazione della catena di custodia registra ogni persona che ha maneggiato la prova, quando e perché. Le lacune nella catena di custodia possono rendere le prove inammissibili in un procedimento legale e compromettere una causa civile. L’ordine di volatilità determina la sequenza di acquisizione: prima i registri della CPU e la cache, poi la RAM, quindi lo swap e infine il disco, poiché i dati più volatili vengono persi per primi quando viene tolta l’alimentazione.

L’analisi esamina gli artefatti: cronologia del browser, file di prefetch, hive del registro (in particolare NTUSER.DAT, SYSTEM e SOFTWARE), log degli eventi, voci $MFT e catture di rete. L’analisi della timeline correla gli eventi tra le varie fonti per ricostruire l’attività dell’attaccante. Strumenti come Autopsy, Volatility (per la memoria) e Wireshark (per le catture di rete) sono standard nel toolkit forense.

Scenario Pratico: Indagine Forense su una Minaccia Interna

Il sistema DLP di un’azienda farmaceutica ha segnalato un volume anomalo di trasferimenti di file verso un account di storage cloud personale dalla workstation di un ricercatore senior, il giorno prima delle sue dimissioni. Il team di sicurezza ha conservato l’immagine della workstation prima che venisse ripristinata, acquisendo sia il disco che la memoria. L’analisi forense del $MFT ha rivelato che era stato effettuato l’accesso a 14.200 file in un arco di tempo di 90 minuti, un comportamento non coerente con la normale attività lavorativa. La cronologia del browser mostrava l’autenticazione a un account Dropbox personale. L’analisi del registro della chiave USBSTOR ha rivelato che tre giorni prima era stata collegata un’unità USB, con un numero di serie non registrato nell’inventario degli asset aziendali. L’immagine della memoria conteneva frammenti di un elenco di file coerente con la directory esfiltrata. Questo pacchetto di prove — immagine del disco con hash verificato, documentazione della catena di custodia e artefatti di memoria a supporto — è stato sufficiente per sostenere una causa civile e una segnalazione alle forze dell’ordine.

← Operazioni di Sicurezza · Tutti i domini · Sicurezza delle Applicazioni e del Web →

Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →