L'intrusione è iniziata in modo impercettibile e il movimento laterale era facile da trascurare.
Quando all’interno della MITRE Corp., un’organizzazione federale di ricerca senza scopo di lucro, si sono registrati movimenti sospetti, gli investigatori si sono allarmati. Approfondendo le indagini, hanno scoperto che un hacker legato a uno Stato nazionale era riuscito a superare il perimetro della rete e si stava muovendo “da est a ovest” — ovvero, lateralmente all’interno dell’infrastruttura — con estrema facilità. Le credenziali amministrative compromesse hanno consentito all’intruso di muoversi liberamente, senza alcun controllo e in modo quasi invisibile.
MITRE ha contenuto l’intrusione e ha reso noto ciò di cui era a conoscenza. Tuttavia, quell’incidente del 2024 ha messo in evidenza come la lotta contro la criminalità informatica spesso non inizi ai confini di una rete informatica, dove i firewall e altri strumenti di sicurezza tradizionali faticano da tempo a respingere gli attacchi, bensì dopo che gli hacker sono già penetrati all’interno.
Poche settimane dopo, l’attacco informatico ai danni di Change Healthcare ha ribadito con forza tale concetto. Gli hacker hanno ottenuto l'accesso remoto a un server privo di autenticazione multifattoriale (MFA) di tipo " ". Una volta entrati, si sono mossi lateralmente all’interno della rete per nove giorni, causando mesi di interruzioni nei pagamenti e nell’assistenza ai pazienti. Almeno 192,7 milioni di persone sono state coinvolte nella violazione.
È proprio questa la preoccupazione legata al cosiddetto traffico “est-ovest” o laterale, che oggi è coinvolto nella maggior parte delle violazioni andate a buon fine e che lo ha reso un tema chiave dell’edizione di quest’anno della conferenza RSA “ ”. Se un’organizzazione ha dedicato la maggior parte del proprio tempo a rafforzare il traffico “nord-sud”, ovvero i dati in entrata e in uscita dalle reti, ma non ha applicato lo stesso rigore a livello interno, si sta esponendo a gravi rischi.
Gli autori degli attacchi possono causare gravi danni in breve tempo. E, una volta penetrate nelle reti, diventano sempre più veloci, riuscendo a compiere movimenti laterali in appena 27 minuti, o in media in 48 minuti, secondo il 2025 ° Rapporto annuale sulle minacce di ReliaQuest.
«Il tempo è il nemico nella sicurezza informatica», ha affermato Michael McPherson, vicepresidente senior delle operazioni tecniche di ReliaQuest, in una dichiarazione pubblicata su . «Gli autori degli attacchi agiscono più rapidamente che mai, il che significa che anche le nostre difese devono accelerare il passo.»
Perché il movimento laterale continua a rappresentare una grave minaccia
Il movimento laterale è un processo articolato in più fasi che comprende la ricognizione, il furto di credenziali e lo sfruttamento delle vulnerabilità.
«Gliautori degli attacchi agiscono più rapidamente che mai, il che significa che anche le nostre difese devono accelerare il passo.»”Michael McPherson, vicepresidente senior delle operazioni tecniche presso ReliaQuest
I criminali informatici violano una rete utilizzando tecniche quali l’ , il phishing, lo sfruttamento di vulnerabilità note o l’utilizzo di credenziali rubate. Successivamente, esaminano la struttura della rete, individuano i dispositivi e identificano gli obiettivi di interesse, quali i controller di dominio — che autenticano gli utenti e Enforce gestiscono le autorizzazioni — o i server di database. Infine, agiscono tramite , appropriandosi di o , corrompendo i dati, sottraendo credenziali per future attività illecite oppure installando keylogger e altri programmi di monitoraggio per intercettare comunicazioni private.
Ciò che rende questa situazione così dannosa è il modo in cui trasforma una singola violazione in una compromissione a livello di rete, consentendo agli aggressori di accedere a sistemi e dati di maggior valore, nascondendosi in piena vista grazie alle credenziali rubate. Più a lungo rimangono inosservati, più tempo hanno a disposizione per accedere alle risorse strategiche, installare backdoor e lanciare campagne su più ampia scala di ransomware, spionaggio e altro.
3 modi fondamentali per prevenire il movimento laterale
Ciò che rende particolarmente insidiosa questa forma di attacco è la sua natura sottile e quasi impercettibile. Sfruttando il movimento laterale, gli aggressori possono mimetizzarsi perfettamente con il resto del traffico di rete legittimo, proprio come un malvivente che si nasconde tra i pedoni in una strada affollata. Qualsiasi contromisura, per essere efficace, deve individuare i segnali rivelatori di tali movimenti e bloccare le potenziali vie di accesso che rendono una rete vulnerabile.
Per contrastare questo tipo di attività furtive, molte aziende stanno adottando il tradizionale concetto di “difesa a più livelli”, combinando approcci di sicurezza moderni, quali l’ e il modello zero trust, con controlli a livello di infrastruttura, microsegmentazione e funzionalità di rilevamento e risposta di rete (NDR).
1. Zero trust, nessuna supposizione
Poiché il nocciolo della questione risiede nel fatto che gli hacker si spostano da un luogo all’altro senza essere stati bloccati digitalmente lungo il percorso, l’approccio “zero trust” offre una soluzione pratica. Il termine “zero trust”, coniato dall’ex analista principale di Forrester John Kindervag, attualmente chief evangelist presso Illumio, si propone di sfatare un pregiudizio radicato da decenni secondo cui in una rete esisterebbero due parti distinte: una “affidabile” e una “non affidabile”.
«. Tradizionalmente, una volta effettuata l’autenticazione per accedere a una rete, era possibile navigare dove si desiderava…» È una sciocchezza. Il modello "zero trust" elimina tale problema.”John Kindervag, responsabile della diffusione del prodotto, Illumio
«Tradizionalmente, una volta effettuata l’autenticazione per accedere a una rete, era possibile navigare dove si desiderava», spiega a Focal Point. «Tuttavia, ogni pacchetto deve essere associato a una politica. Dovrebbe specificare esplicitamente dove è consentito l’accesso, anziché affermare: «Beh, una volta raggiunto il lato affidabile, si può andare ovunque». È una sciocchezza. "L'approccio 'zero trust' elimina tale presupposto di fiducia."
L’approccio “zero trust” adotta una strategia basata sulle politiche, che affonda le sue radici nel tradizionale concetto di “necessità di sapere”. Ogni richiesta di accesso a un dominio, di utilizzo di un’applicazione o di apertura di un file viene esaminata e, qualora non sussista una motivazione legittima basata sui ruoli, viene respinta. Questo modello senza fiducia sta riscuotendo sempre maggiore successo tra i responsabili aziendali e della sicurezza, poiché aumentano le minacce di tipo “ ” poste dalla disinformazione , mentre i deepfake e altri strumenti basati sull’intelligenza artificiale rendono più facile che mai spacciarsi per un dipendente. Secondo un sondaggio condotto da Zscaler , oltre il 80% delle organizzazioni prevede di adottare l’approccio “zero trust” entro il 2026.
2. La microsegmentazione sotto i riflettori
La microsegmentazione rappresenta un’altra soluzione comunemente adottata dalle organizzazioni per affrontare il problema del traffico est-ovest. Basandosi sul modello “zero trust”, suddivide le reti in zone più piccole, in modo che gli intrusi non possano muoversi liberamente una volta penetrati all’interno. Al contrario, la segmentazione tradizionale suddivide le reti in zone più ampie, avvalendosi di dispositivi quali firewall e VLAN. Pertanto, non raggiunge il livello di granularità necessario per Enforce le politiche zero trust.
«La microsegmentazione, se attuata correttamente, può costituire la base di un sistema di sicurezza davvero efficace», afferma Chase Cunningham, Ph.D., responsabile della strategia presso Demo Force e noto al grande pubblico come Dr. ZeroTrust. «Anche qualora si verificasse una violazione, si impedisce che questa si estenda ulteriormente e che le conseguenze diventino ancora più catastrofiche.» «La microsegmentazione contribuisce sostanzialmente a eliminare le violazioni su larga scala.»
Cunningham afferma che la microsegmentazione è particolarmente utile nel campo della tecnologia operativa (OT) e dell’Internet delle cose (IoT) — settori industriali pesanti, quali il settore sanitario o quello petrolifero e del gas, in cui i sistemi supportano casi d’uso chiari e specifici. Ciò consente di separare logicamente i dispositivi, in modo che, ad esempio, un controller possa comunicare esclusivamente con la macchina per la quale è stato progettato.
Inoltre, sta prendendo piede proprio in questo momento perché gli strumenti che lo rendono possibile hanno finalmente raggiunto la maturità, afferma.
«La microsegmentazione, intesa come settore tecnologico sul mercato, non era realmente disponibile fino a circa tre anni fa», afferma Cunningham. «Ora, se fossi il responsabile della sicurezza di un’azienda, procederei a una microsegmentazione estremamente accurata di ogni aspetto e poi mi occuperei degli altri problemi.»
Tuttavia, il lavoro non è facile. Cunningham sostiene che le organizzazioni spesso incontrano difficoltà quando si assumono troppi impegni contemporaneamente.
«La complessità sorge quando le persone dicono: “Ottimo, faremo la microsegmentazione”», afferma. «A quel punto mi chiedono: “E allora, cosa si intende per microsegmentazione?”» Deve trattarsi di un progetto e di un piano. Non basta premere un pulsante e dire: “microsegmentazione”. «Qualcosa andrà storto.»
3. NDR — Il Suo sguardo dall’interno
Anche quando la segmentazione viene eseguita correttamente, gli intrusi potrebbero comunque trovare il modo di muoversi lateralmente. Ecco perché molte organizzazioni stanno adottando strumenti NDR. Mentre l’approccio “zero trust” e la microsegmentazione definiscono le regole di intervento, queste soluzioni fungono da torre di guardia. Non Enforce la segmentazione. Tuttavia, monitorano il traffico tra le zone e all’interno delle stesse, avvalendosi di strumenti di analisi e di intelligenza artificiale per segnalare movimenti sospetti in direzione est-ovest che altrimenti sfuggirebbero ai firewall e agli strumenti di “ endpoint ”.
«: gli intrusi non stanno sfondando la porta d’ingresso.» Stanno utilizzando i vostri corridoi, le vostre porte, le vostre scale… e… sembrano proprio a loro agio lì.”Chase Cunningham, Ph.D., responsabile della strategia presso Demo Force
Tale visibilità è fondamentale, spiega Cunningham, poiché gli intrusi spesso assumono le sembianze di utenti legittimi una volta entrati nella rete.
«Gli intrusi non sfondano la porta d’ingresso», afferma. «Stanno utilizzando i vostri corridoi, le vostre porte, le vostre scale… e, a meno che non abbiate installato i sensori adeguati, sembrano proprio essere al posto giusto.»
Per rafforzare la visibilità, le organizzazioni utilizzano inoltre sistemi di gestione delle identità e degli accessi (IAM) per verificare utenti e dispositivi. L'IAM riduce la superficie di attacco applicando il principio del privilegio minimo, eliminando gli accessi superflui o obsoleti e limitando i movimenti laterali tra i sistemi. IAM contribuisce all’attuazione del modello Zero Trust autenticando e autorizzando utenti ed endpoint, applicando politiche di accesso granulari e monitorando l’attività.
I più recenti strumenti di rilevamento delle minacce all’identità aggiungono un ulteriore livello di protezione, individuando i casi in cui le credenziali rubate vengono utilizzate in modo improprio all’interno della rete. Le piattaforme di orchestrazione delle politiche contribuiscono a fornire le mappe e i controlli necessari per applicare in modo coerente i principi dello zero trust e della microsegmentazione. Nel loro insieme, queste tecnologie offrono ai responsabili della sicurezza la possibilità di individuare gli autori di attacchi che si muovono in direzione est-ovest e di neutralizzarli prima che la situazione degeneri in una vera e propria violazione della sicurezza.
Intelligenza artificiale e automazione: portare la mobilità laterale a un livello superiore
Sebbene efficaci, queste misure di difesa non rappresentano una soluzione miracolosa. Gli autori degli attacchi stanno già sperimentando modalità per automatizzare il movimento laterale tramite l’intelligenza artificiale, il che potrebbe accelerare le attività di ricognizione e l’uso improprio delle credenziali una volta che saranno penetrati nel sistema. Cunningham ritiene che i difensori possano tenere il passo, ma solo se smettono di considerare la visibilità in direzione est-ovest come un elemento facoltativo.
«Gli avversari non aspettano che lei metta ordine nel proprio bilancio», afferma. «Loro continuano a innovare, che lo vogliate o no.»
I team di sicurezza proattivi stanno già sperimentando le modalità con cui l'intelligenza artificiale ( ) e l'automazione possono essere utilizzate per difendere da tali attacchi. L’apprendimento automatico può rivelarsi efficace nell’individuare anomalie nel comportamento degli utenti e nell’attività complessiva della rete, isolando automaticamente le minacce e mettendo a punto risposte rapide e precise in grado di contrastare gli autori degli attacchi sul nascere.
Kindervag raccomanda ai dirigenti aziendali che qualsiasi cambiamento o aggiornamento delle soluzioni o dei protocolli di sicurezza debba essere strategico, non frammentario. L’approccio “zero trust”, la microsegmentazione e gli strumenti di rilevamento sono efficaci solo se si basano su una chiara comprensione di ciò che deve essere protetto e del motivo per cui deve esserlo.
«Tutti gli incidenti significativi in materia di sicurezza informatica sono il risultato di una regola del tipo “ , allow ”», afferma. «Tutto dipende dalla politica. Cosa sto permettendo? Cosa sto negando? “È così che si impedisce agli aggressori di muoversi all’interno una volta che sono entrati.”
La realtà è che le violazioni si verificheranno. Ciò che conta è se tali incidenti rimangano circoscritti o si trasformino in incidenti del tipo di quelli verificatisi presso MITRE o Change Healthcare. Le imprese che adottano un modello di difesa a più livelli, verificano ogni connessione e monitorano attentamente le proprie reti sono quelle che hanno maggiori probabilità di impedire che i movimenti east-west finiscano in prima pagina.
