← Tutti gli articoli

Categoria — Defensive Security

Blue Team

Difesa, incident response, SIEM, threat hunting, hardening e vulnerability management. Come si riconosce un attacco, come ci si difende, come si costruisce un'organizzazione resiliente.

44 articoli ultimo aggiornamento 03/09/2026
Blue Team · Ultimo

Acquisizione forense: imaging del disco e catena di custodia

Prima ancora di analizzare qualsiasi prova digitale bisogna acquisirla senza alterarla, e poter dimostrare che non è stata alterata. Ecco come si fa un'acquisizione forense difendibile, dal write blocker al primo hash.

DFIRacquisizione forensedisk imagingcatena di custodia
Blue Team

Scrivere un report forense che regga in tribunale

L'analisi più rigorosa del mondo non serve a niente se il report che la racconta è ambiguo, pieno di gergo o costruisce conclusioni che i dati non sostengono davvero. Il report è il prodotto finale: è quello su cui verrai giudicato.

DFIRreport forenseexpert witnesscatena di custodia
Blue Team

Network Forensics: ricostruire un attacco da un file pcap

Un IDS ha generato un alert tre settimane fa e nessuno l'ha guardato. Ora bisogna capire cosa è successo esaminando il traffico catturato allora. La network forensics è l'analisi del traffico quando l'attacco è già finito.

DFIRnetwork forensicspcapWireshark
Blue Team

Timeline Analysis: ricostruire cosa è successo su un sistema Windows

Windows registra molto più di quanto sembri: quando un file è stato eseguito, quali cartelle sono state aperte, quali dispositivi USB sono stati collegati. La timeline analysis mette tutti questi frammenti in ordine cronologico.

DFIRtimeline analysisWindows artifactsregistro
Blue Team

Memory Forensics con Volatility: cosa vive nella RAM

Un malware fileless non tocca quasi mai il disco. Le sue tracce vivono solo in RAM, e spariscono al primo riavvio. La memory forensics, e Volatility in particolare, è come si cattura quella prova prima che svanisca.

DFIRmemory forensicsVolatilityRAM
Blue Team

Microsoft Patch Tuesday Agosto 2026: 421 CVE, 1 zero-day exploited in the wild

Microsoft ha rilasciato patch per 421 vulnerabilità a agosto 2026, incluso un zero-day su afd.sys (CVE-2026-68820) già sotto attacco attivo. La falla consente escalazione ai privilegi SYSTEM e affligge Windows in modo critico.

MicrosoftPatch TuesdayCVE-2026-68820zero-day
Blue Team

Dagli IOC alla Threat Intelligence: condividere quello che si è scoperto

Ogni indagine chiusa produce indicatori di compromissione: hash, IP, domini, chiavi del Registro. Lasciarli in un report PDF dimenticato in un archivio significa sprecare l'unica cosa che potrebbe aiutare un altro team a bloccare lo stesso attaccante prima che colpisca ancora.

DFIRIOCthreat intelligenceMISP
Blue Team

Cloud Forensics: indagare quando il disco non esiste più

Non si può collegare un write blocker a un bucket S3. In cloud, l'unica prova disponibile è spesso il log delle API, e quel log ha una scadenza: se non viene esportato e conservato in tempo, sparisce per sempre insieme a ogni possibilità di ricostruire l'accaduto.

DFIRcloud forensicsCloudTraillog investigativi
Blue Team

Mobile Forensics: acquisire uno smartphone senza comprometterlo

Uno smartphone contiene spesso più prove digitali di un intero laptop: posizione, messaggi, app installate, cronologia di navigazione. Acquisirlo correttamente è più delicato che acquisire un disco, perché il dispositivo continua a comunicare con la rete finché non lo si isola.

DFIRmobile forensicsAndroidiOS
Blue Team

Malware Analysis Dinamica: osservare un campione in una sandbox

Quando l'analisi statica non basta perché il codice è packed o offuscato, resta un'unica strada: eseguire il campione davvero, ma dentro un ambiente isolato e strumentato che registra ogni sua mossa senza lasciargli via di fuga verso la rete reale.

DFIRmalware analysissandboxanalisi dinamica
Blue Team

Malware Analysis Statica: capire un binario senza eseguirlo

Prima di eseguire un file sospetto anche in un ambiente isolato, si può imparare moltissimo senza mai lanciarlo: hash, stringhe leggibili, struttura dell'eseguibile e regole YARA bastano spesso a capire con cosa si ha a che fare.

DFIRmalware analysisanalisi staticaPE header
Blue Team

Anti-Forensics: come un attaccante prova a sparire, e come lo si scopre

Ogni tecnica per cancellare le tracce lascia a sua volta una traccia: il tentativo stesso. Timestomping, wiping dei log e cifratura non rendono un attaccante invisibile, lo rendono soltanto un po' più lento da scoprire, e spesso più facile da individuare come tale.

DFIRanti-forensicstimestompinglog wiping
Blue Team

USB Forensics: ricostruire una timeline di esfiltrazione completa

Sapere che una chiavetta USB è stata collegata non basta a dimostrare cosa è successo dopo. Incrociando il log di installazione del dispositivo con i file LNK e le Jump List di Windows si ricostruisce l'intera timeline: quando, quale dispositivo e quali file sono stati aperti da lì.

DFIRUSB forensicssetupapiLNK files
Blue Team

Email Forensics: leggere un header per scoprire una falsificazione

Il corpo di un'email si può falsificare con un editor di testo in due minuti. L'header no, o almeno non facilmente: ogni server che ha gestito il messaggio lascia una riga Received che è difficile falsificare senza lasciare incongruenze rilevabili.

DFIRemail forensicsheader analysisReceived
Blue Team

Linux Forensics: gli artefatti che restano su un server compromesso

Un attaccante che ottiene una shell su un server Linux lascia tracce in decine di posti diversi: log di autenticazione, cronologia della shell, cron job, unit systemd. Sapere dove guardare, in ordine, fa la differenza tra ricostruire l'attacco e restare bloccati.

DFIRLinux forensicsbash historyauth.log
Blue Team

Browser Forensics: cronologia, cache e download come prova digitale

Ogni sito visitato, ogni file scaricato e quasi ogni ricerca digitata lascia una traccia nei database SQLite del browser. Anche cancellare la cronologia manualmente non basta a farla sparire davvero: ecco dove guardare e cosa sopravvive.

DFIRbrowser forensicscronologiaSQLite
Blue Team

Registry Forensics: cosa nasconde il Registro di Windows

Il Registro di Windows non è solo un posto dove vivono le impostazioni di sistema. È un diario che registra quali programmi sono stati eseguiti, quali dispositivi USB sono stati collegati e quali cartelle sono state aperte, spesso anche dopo che l'utente ha provato a cancellare le tracce.

DFIRregistry forensicsWindowsNTUSER.DAT
Blue Team

Caso di studio: un incidente ransomware dall'allerta al report finale

Un caso di studio completo che mette insieme tutto il percorso DFIR: acquisizione, memoria, registro, rete, malware e report. Non una teoria isolata, ma la sequenza reale con cui un analista affronta un incidente dall'allerta iniziale fino alla testimonianza finale.

DFIRincident responsecaso di studioransomware
Blue Team

Android 17: ECH (Encrypted Client Hello) rende il tracking del browser molto più difficile

Android 17 introduces native support for ECH (Encrypted Client Hello), a TLS extension that encrypts the SNI (Server Name Indication) field. This makes it much harder for network observers, ISPs, and middleboxes to profile user browsing behavior.

Android 17privacyECHTLS
Blue Team

OSINT Difensivo: monitorare la propria esposizione online come fanno gli attaccanti

Prima di attaccarti, gli avversari raccolgono informazioni su di te da fonti pubbliche. L'OSINT difensivo consiste nell'eseguire questa ricognizione su se stessi per scoprire e correggere le esposizioni prima degli altri.

OSINTdifensivobrand monitoringGoogle Alerts
Blue Team

Backup e Recovery: la regola 3-2-1 e come costruire una strategia anti-ransomware

Il backup è l'ultima linea di difesa contro il ransomware. La regola 3-2-1, i backup immutabili, i test di restore e tutto ciò che devi sapere per costruire una strategia di backup che funzioni davvero.

backuprecoveryransomware3-2-1
Blue Team

Giornata tipo di un SOC Analyst: triage, alert fatigue e investigazione

Come si passa una giornata in un Security Operations Center? Dalla gestione degli alert mattutini all'investigazione di un incidente reale. Il ruolo del SOC analyst, gli strumenti e le sfide quotidiane.

SOCanalysttriagealert fatigue
Blue Team

Segmentazione di rete: VLAN, DMZ e microsegmentazione per ridurre il blast radius

Una rete piatta è un sogno per gli attaccanti: compromesso un host, si muovono liberamente. La segmentazione limita il blast radius contenendo le compromissioni ai singoli segmenti.

VLANDMZsegmentazionemicrosegmentazione
Blue Team

Honeypot e Deception Technology: intrappolare gli attaccanti con trappole digitali

Un honeypot è un sistema intenzionalmente vulnerabile progettato per attirare gli attaccanti. Le moderne deception technology vanno oltre: distribuiscono trappole ovunque nella rete per rilevare le intrusioni con quasi zero falsi positivi.

honeypotdeceptioncanary tokenhoneytokens
Blue Team

Cloud Security: le misconfigurazioni AWS più comuni e come evitarle

Il 99% delle violazioni cloud è causato da errori di configurazione, non da vulnerabilità del provider. Bucket S3 pubblici, IAM permissivo, istanze EC2 esposte: le misconfigurazioni AWS più comuni e come correggerle.

AWScloud securityS3IAM
Blue Team

Email Security: SPF, DKIM e DMARC — come funzionano e come configurarli

Il 91% degli attacchi informatici inizia con una email. SPF, DKIM e DMARC sono i tre standard che proteggono il tuo dominio dall'essere usato per phishing e spoofing. Come funzionano e come si configurano.

SPFDKIMDMARCemail security
Blue Team

Forensica Digitale: principi, metodologia e strumenti per il DFIR

La forensica digitale è la scienza di raccogliere e analizzare prove digitali mantenendo la loro integrità. Principi fondamentali, catena di custodia, analisi della memoria e del disco.

forensica digitaleDFIRVolatilityAutopsy
Blue Team

EDR: cos'è, come funziona e come sceglierlo per la tua organizzazione

L'EDR è la risposta moderna all'antivirus tradizionale. Monitora il comportamento degli endpoint in tempo reale, correla eventi con MITRE ATT&CK e permette la risposta agli incidenti remota.

EDRendpoint securityCrowdStrikeMicrosoft Defender
Blue Team

Zero Trust: l'architettura di sicurezza che non si fida di nessuno

Il modello Zero Trust ribalta il paradigma tradizionale: non esiste più una rete 'interna' sicura. Ogni accesso va verificato, ogni identità autenticata, ogni segmento isolato.

Zero Trustarchitettura sicurezzaidentitymicrosegmentazione
Blue Team

Cos'è il Blue Team: ruoli, strumenti e differenza con il Red Team

Il Blue Team difende, rileva e risponde. Cosa fanno concretamente un analista SOC, un threat hunter e un incident responder, e quali strumenti usano ogni giorno.

blue teamSOCincident responsedifesa
Blue Team

Analisi dei log Windows: gli Event ID che ogni Blue Team deve conoscere

Gli Event ID di Windows raccontano tutto: login, escalation, lateral movement, persistence. Guida agli ID fondamentali e come usarli per rilevare attività sospette.

Windowsevent logEvent IDSIEM
Blue Team

Wireshark: analisi del traffico di rete per il Blue Team

Wireshark è lo strumento di riferimento per l'analisi del traffico di rete. Filtri essenziali, follow TCP stream, analisi di attacchi reali e cosa cercare in un pcap sospetto.

Wiresharkpacket analysisnetworkpcap
Blue Team

Incident Response: il processo per rispondere a un attacco informatico

Cosa fare nelle prime ore dopo un incidente di sicurezza. Il processo IR in 6 fasi secondo NIST: preparazione, identificazione, contenimento, eradicazione, recovery, lessons learned.

incident responseIRDFIRcontainment
Blue Team

IDS/IPS con Suricata: rilevare e bloccare gli attacchi in tempo reale

Suricata è uno degli IDS/IPS open source più potenti. Come installarlo, scrivere regole, interpretare gli alert e integrarlo in un SOC.

IDSIPSSuricataregole
Blue Team

Threat Intelligence per principianti: capire chi attacca e come

La threat intelligence trasforma dati grezzi in conoscenza utile per la difesa. Tipi di intelligence, fonti OSINT, MISP e come integrare gli IOC nei sistemi di difesa.

threat intelligenceCTIIOCTTPs
Blue Team

Hardening Windows: configurazioni essenziali per ridurre la superficie d'attacco

Hardening di un sistema Windows: Group Policy, Defender configurato, BitLocker, logging degli eventi, disabilitazione di LLMNR/NetBIOS e protocolli legacy.

hardeningWindowsGPODefender
Blue Team

Hardening Linux: rendere un sistema più sicuro passo dopo passo

Checklist pratica per hardening di sistemi Linux: configurazione SSH sicura, firewall, permessi, logging, rimozione servizi inutili e CIS benchmark.

hardeningLinuxCIS benchmarkSSH
Blue Team

Vulnerability Management: come prioritizzare e correggere le vulnerabilità

Avere un elenco di CVE non basta. Il vulnerability management è un processo continuo: scoperta, valutazione, prioritizzazione e remediation nel ciclo corretto.

vulnerability managementCVSSpatchNessus
Blue Team

Phishing: come riconoscerlo, analizzarlo e rispondere all'incidente

Il phishing è ancora il vettore d'attacco numero 1. Come analizzare un'email sospetta, estrarre gli indicatori di compromissione e gestire l'incidente.

phishingemailsocial engineeringblue team
Blue Team

Analisi malware per principianti: statica, dinamica e sandbox

Come analizzare un campione malware senza eseguirlo (analisi statica) e cosa osservare durante l'esecuzione in ambiente isolato (analisi dinamica).

malware analysissandboxreverse engineeringstrings
Blue Team

Threat Hunting: cercare l'attaccante nella rete prima che faccia danni

Il threat hunting non aspetta gli alert: va a cercare attivamente le minacce nascoste nella rete. Metodologia, ipotesi, fonti dati e integrazione con MITRE ATT&CK.

threat huntingblue teamIOCTTPs
Blue Team

2,2 milioni di alert: le credenziali italiane sul dark web nel 2025

L'Osservatorio Cyber CRIF 2025 ha registrato oltre 2,2 milioni di alert su dati italiani esposti nel dark web, con una crescita del 22% nella gravità media. Cosa significano questi dati per te.

dark-webcredential-leakCRIFdata-breach
Blue Team

NIS2 in Italia: cosa cambia con il D.Lgs. 138/2024 — guida pratica

La direttiva NIS2 è stata recepita in Italia con il D.Lgs. 138/2024. Cosa devono fare aziende e PA per adeguarsi, le scadenze chiave e le sanzioni previste.

NIS2ACNcomplianceGDPR
Blue Team

SIEM e Blue Team: come funziona il centro nevralgico della difesa informatica

Il SIEM raccoglie, normalizza e correla log da tutta l'infrastruttura in tempo reale. Guida pratica a come funziona e perché è il cuore di ogni Blue Team.

SIEMblue teamSOClog

Nessun articolo trovato con questi filtri.