Vai al contenuto

Glossario di sicurezza

Traduzione automatica dell'originale francese.

Ogni termine è fornito due volte: la sua definizione generale, e poi ciò che indica all'interno di questo ambiente. La seconda colonna ha lo stesso numero di righe della prima: a volte, una stessa parola può riferirsi a due cose non correlate (il "SCA" nell'analisi delle dipendenze non è lo stesso "SCA" del SIEM), e proprio in questi casi nascono incomprensioni.

I termini sono ordinati per funzione principale, nell'ordine in cui un attacco li incontra: prevenire, conoscere le proprie debolezze, rilevare, rispondere, sopravvivere, dimostrare.

Prevenire – impedire l'accesso

Termine Definizione All'interno di questo ambiente
Perimetro, confine Il primo componente che riceve il traffico proveniente da Internet. Un proxy di confine ospitato sul NAS di storage, dietro il NAT del router. Non è l'host dei container.
Proxy inverso Server che riceve le richieste, gestisce il TLS e le inoltra al servizio interno appropriato. Due livelli: il confine, e poi un proxy interno (Caddy) che inoltra ai container.
TLS, certificato Crittografia del trasporto; il certificato dimostra l'identità del sito. Emesso da ACME; un sondaggio verifica i certificati effettivamente in uso, non quelli presenti sul disco.
DNS-01 Sfida ACME in cui si dimostra il controllo di un dominio pubblicando un record DNS temporaneo. Permette di emettere un certificato per un servizio che non è esposto a Internet.
Bouncer Componente che applica una decisione di blocco presa altrove. CrowdSec decide, un modulo integrato nel proxy interno applica (risposta 403).
Livello 3 / Livello 7 Livello di rete (indirizzi, pacchetti) / livello applicativo (HTTP). Un blocco a livello 3 interrompe la connessione, mentre un blocco a livello 7 rifiuta la richiesta. Il blocco degli attacchi web avviene a livello 7: è l'unico livello in cui è nota l'indirizzo reale del cliente.
Fail-open / fail-closed Comportamento di una protezione quando si verifica un errore: lasciare passare tutto (open) o rifiutare tutto (closed). Ogni livello ha un modo di gestione degli errori. Questo viene selezionato e configurato – una modalità di errore predefinita è una decisione che nessuno ha preso.
SSO Un'unica autenticazione per tutti i servizi. Authentik, un fornitore di identità unico.
OIDC Protocollo standard di delega dell'identità: l'applicazione riceve un token firmato e sa chi è connesso. L'impostazione predefinita per qualsiasi nuovo servizio.
forward_auth Il proxy chiede al fornitore di identità "ha il permesso?". L'applicazione, invece, non sa chi è. Ultima risorsa, per un servizio senza concetto di account. Mai combinato con OIDC.
MFA Secondo fattore (codice a tempo limitato, chiave hardware) oltre alla password. Richiesto per gli account con privilegi, e monitorato tramite sonda piuttosto che assunto.
Minimo privilegio Ogni account ha solo i diritti necessari. Token di servizio limitati al loro utilizzo; un'applicazione senza politica di accesso esplicita è considerata vulnerabile a qualsiasi account autenticato, quindi da correggere.
Cassetto dei segreti Archiviazione centralizzata e crittografata di password, token e chiavi. Auto-ospitato; un valore viene letto in uscita tramite un tubo, mai tramite la riga di comando.
SOPS + età SOPS calcola i valori di un file di configurazione; "età" fornisce l'algoritmo e la coppia di chiavi. Le variabili d'ambiente dei stack sono versionate, crittografate e decrittografate in memoria all'avvio.
Catena di approvvigionamento Tutto ciò che non è stato scritto, ma che viene eseguito: immagini, pacchetti, dipendenze. Coperto da circa 40 versioni, la scansione delle immagini e gli SBOM.
40 versioni Rifiutare qualsiasi versione di pacchetto pubblicata da meno di N giorni. 7 giorni, per i tre gestori di pacchetti JavaScript — ognuno con la propria unità (giorni, minuti, secondi).
SBOM Software Bill of Materials: l'inventario di tutti i componenti di un software. Un SBOM per ogni immagine in esecuzione, rigenerato settimanalmente.
CycloneDX Formato standard (OWASP) per gli SBOM. Prodotto da Trivy.
Rafforzamento Ridurre la superficie di attacco di un sistema: servizi inutili, permessi, opzioni. Valutato continuamente dal SIEM rispetto agli standard CIS.
Standard CIS Repository pubblico di configurazioni sicure, per sistema operativo. Politiche di valutazione della configurazione del SIEM.

Conoscere i propri punti deboli — vulnerabilità

Terme Definizione In questo parco
CVE Identificatore pubblico di una vulnerabilità nota. Ricercato nelle immagini (Trivy), sugli host (SIEM) e nell'inventario delle versioni implementate (OpenCVE).
CVSS, gravità Valutazione teorica di gravità di una CVE. Punto di partenza per la classificazione, ma non il punto finale.
EPSS Probabilità che una CVE venga sfruttata entro 30 giorni (pubblicato da FIRST). Entra nel calcolo del rischio.
KEV Catalogo delle CVE sfruttate effettivamente dalla CISA. Elimina una CVE dalla lista. Una CVE del KEV può avere un EPSS basso: non si sostituiscono a vicenda.
Esposizione Accessibilità di un servizio: pubblico con solo l'autenticazione applicativa, pubblico tramite un fornitore di identità, o interno. Terza dimensione del punteggio, insieme alla gravità e allo sfruttamento.
SAST Analisi statica del codice sorgente alla ricerca di errori. Semgrep, per i repository.
SCA (dipendenze) Software Composition Analysis: le CVE delle librerie utilizzate da un progetto. Trivy in modalità sistema di file. Non ha nulla a che fare con l'SCA del SIEM qui sotto.
Configurazione errata di IaC Errore in un file di infrastruttura (file di configurazione, YAML). Trivy, anche per le dipendenze.
Triaggio Decidere il destino di una vulnerabilità trovata: aperta, ignorata, rimandata, falso positivo. Ogni decisione viene registrata, con l'autore, in un registro di audit.

Rilevare – cosa sta succedendo

Terme Definizione In questo parco
SIEM Piattaforma che raccoglie, correla e avvisa sui log di tutto il parco. Wazuh: un manager e un agente su ogni macchina.
EDR / XDR Rilevamento e risposta sui dispositivi (endpoint), esteso a diverse fonti. Gli agenti Wazuh e la loro risposta automatica.
FIM Monitoraggio dell'integrità dei file: avviso quando un file monitorato viene modificato. Modulo di integrità di Wazuh.
SCA (SIEM) Valutazione della configurazione di sicurezza: valutazione della configurazione rispetto a un riferimento. Benchmark CIS applicati da Wazuh.
Rootcheck Ricerca di rootkit, file e porte nascoste. Modulo di Wazuh: ciò rende superflui gli strumenti dedicati dello stesso tipo.
osquery Interrogare lo stato di una macchina tramite SQL: processi, servizi, attività pianificate. Integrato nel SIEM, non a parte: un unico inventario da conciliare.
Persistenza Meccanismo che un attaccante utilizza per sopravvivere a un riavvio: attività pianificate, servizio, chiave SSH autorizzata. Elencato da osquery su Linux, da KnockKnock sul desktop macOS.
IDS / NDR Rilevamento di intrusioni di rete: firme applicate al traffico in transito. Suricata, posizionato nel punto di convergenza del traffico.
Firma Modello noto di attacco, presente nel flusso o nel file. Regole aperte, aggiornate senza intervento.
Chiamata di sistema Richiesta che un programma invia al kernel: aprire un file, avviare un processo, stabilire una connessione. Ciò che viene osservato dalla rilevazione in esecuzione.
eBPF Meccanismo del kernel Linux che permette di osservare le chiamate di sistema senza caricare un modulo. La sonda "modern eBPF" di Falco: niente da compilare, niente da ricompilare dopo un aggiornamento del kernel.
Sicurezza in fase di esecuzione Rilevare un comportamento anomalo mentre un programma è in esecuzione. Falco: una shell aperta all'interno di un container, la lettura di un file sensibile, la scrittura in un task pianificato.
YARA Linguaggio di regole per riconoscere file dannosi in base al loro contenuto. Migliaia di regole pubbliche, più una regola di controllo interna.
Antivirus basato su firme Riconosce un file dannoso già noto. Un motore ClamAV centralizzato, interrogato dalla rete.
Analisi statica approfondita Analizzare un file (archivio all'interno di un archivio, documento, oggetto incorporato) decomponendolo in parti, senza mai eseguirlo. Strelka.
Sandbox Eseguire un file sospetto in un ambiente isolato per osservare il suo comportamento. Abbandonato per decisione: il volume di file non lo giustifica. Tornerà quando un campione reale supererà entrambi i motori.
IOC Indicator of Compromise: indirizzi, domini o impronte note per essere dannosi. Tre liste (indirizzi, domini, impronte) consultate in tempo reale dal SIEM.
Informazioni sulle minacce Flusso di IOC e contesto sugli attaccanti. Consumato, non prodotto: liste pubbliche e blocco della comunità di CrowdSec.
Lista CDB Chiave → valore che le regole di Wazuh consultano nel momento in cui si verifica l'evento. Aggiornata da un task pianificato, monitorata per la sua freschezza.
Falso positivo Allarme per un comportamento legittimo. Gestito tramite una eccezione denominata, mai tramite la disattivazione di un'intera regola.
Rumore Il numero di allarmi che un rilevatore produce su un sistema sano. Misurato prima di attivare una notifica.
Test funzionale, canary Elemento noto, introdotto esplicitamente per verificare che un rilevatore funzioni ancora. Regola YARA per canary, file EICAR, shell in un contenitore usa e getta, richiesta di indagine su tutta la flotta.
EICAR File di test innocuo, standardizzato, che ogni antivirus deve riconoscere. Test funzionale del motore antivirus.

Rispondere – Agire

Terme Definizione Nel parco
Centralina di allarme Punto unico in cui tutti gli emettitori inviano gli allarmi, e che li duplica verso le destinazioni. Un servizio dedicato; due canali di comunicazione in uscita, con un meccanismo di fallback diretto se la centralina non risponde.
Histeresi Soglie distinte per attivare e disattivare un allarme, in modo da evitare falsi allarmi. Obbligatorio per qualsiasi notifica ricorrente.
Risposta automatica Azione innescata da una regola di rilevamento: bloccare una fonte, riavviare un servizio, isolare. Risposta attiva di Wazuh, legata a regole specifiche.
Timeout (per il blocco) Durata dopo la quale un blocco automatico si risolve da solo. Sistematico: un blocco permanente in caso di falso positivo è un errore che ci infliggiamo.
SOAR Orchestrazione e automazione della risposta. La centralina e il motore di workflow esistenti; non è necessario un terzo orchestratore.
DFIR Digital Forensics and Incident Response: indagine durante e dopo un incidente. Velociraptor.
Indagine in tempo reale Interrogare le macchine durante l'incidente, per rispondere a una domanda inaspettata. Velociraptor, client su ogni macchina.
VQL Linguaggio di interrogazione di Velociraptor. Interrogazioni registrate in un runbook.
Hunt Una stessa interrogazione lanciata su un'intera flotta contemporaneamente. Serve anche come testimonianza: tante risposte quanti sono i post, altrimenti qualcosa non risponde.
Incidente critico (NIS2) Incidente che causa un grave disturbo o un danno considerevole (art. 23 §3). Tenuto in un registro dedicato, con le scadenze calcolate.

Sopravvivere — continuità

Terme Definizione In questo parco
RPO Recovery Point Objective: la perdita di dati massima accettabile, ovvero l'età dell'ultima copia utilizzabile. Misurata durante un esercizio, non dedotta dal piano.
RTO Recovery Time Objective: la durata del ripristino. Misurata fino a quando l'applicazione risponde.
Immutabilità, append-only Una copia che non può essere modificata o eliminata dal sistema su cui è stata creata. Verificata tentando effettivamente di eliminarla con l'accesso del sistema, e attendendo un rifiuto.
Blocco dell'oggetto Immutabilità imposta dallo stesso sistema di storage, per un determinato periodo di tempo. Una delle possibili forme di immutabilità fuori sede.
Software di crittografia Software che cifra i dati, e crea copie se riesce ad accedervi. Produce copie recenti – contenenti dati crittografati.
Esercizio di ripristino Ripristino reale, cronometrato, su una macchina nuova. Registrato in un registro; un test fallisce se ha più di 90 giorni.
Chiave principale La chiave di cui dipendono tutte le altre. La chiave di decrittazione di tutti i segreti delle stack.
Copia offline Copia che non utilizza la rete: carta, supporto scollegato. Per la chiave principale, verificabile senza mai visualizzarla.

Dimostrare la conformità

Terme Definizione In questo parco
NIS2 Direttiva (UE) 2022/2555: misure di sicurezza informatica obbligatorie per le entità essenziali e importanti. Applicata volontariamente, come quadro di riferimento: un parco personale non è un'entità NIS2.
Articolo 21 §2 Le dieci misure minime di NIS2, indicate da a) a j). Ogni controllo del catalogo è associato a una di esse.
Articolo 23 Notifica degli incidenti importanti: allerta precoce entro 24 ore, notifica entro 72 ore, rapporto finale entro un mese. I termini sono calcolati dal registro degli incidenti.
SOC 2 Rapporto di un revisore autorizzato (CPA) sui controlli di un'organizzazione. Tipo I: in una data; Tipo II: su un periodo. Non esiste uno strumento "certificato SOC 2": uno strumento può produrre la documentazione di prove che un revisore richiederebbe.
TSC Criteri di Servizi di Fiducia: i criteri di SOC 2 – sicurezza, disponibilità, riservatezza… Ogni controllo è associato a uno di essi, come in NIS2.
Controllo Misura di sicurezza di cui si può dimostrare che funziona. Circa trenta, identificate e versionate in un catalogo.
Riferimento di controlli comuni Un controllo definito una volta, associato a più riferimenti contemporaneamente. Un unico catalogo serve sia a NIS2 che a SOC 2.
Prova Misura datata che dimostra che un controllo funziona. Il risultato di un sondaggio, o una dichiarazione.
Sondaggio Script che misura un fatto e produce pass, fail o indeterminate. Uno per ogni fatto misurato, lancato ogni sei ore.
Indeterminato Risultato di un sondaggio che non è stato in grado di misurare. Un obiettivo inaccessibile produce indeterminate, mai pass.
Attestazione Dichiarazione umana datata, per ciò che nessun sondaggio può misurare: governance, formazione, fornitori. Riservata a una sessione autenticata, e scade.
Stato derivato Uno stato calcolato a partire dalle prove, mai acquisito. "Attivo", "in fallimento" o "non verificato", ricalcolato ad ogni lettura.
Registro a catena Registro in cui ogni voce contiene l'impronta della precedente: qualsiasi modifica interrompe la catena. Tutte le prove vengono inserite, aggiungendo solo nuove voci.
Ancora L'intestazione del registro, pubblicata al di fuori della macchina che lo gestisce. Ogni giorno viene versionata tramite Git, su due repository remoti: rivela una troncatura che la catena da sola non vede.
Verifica inversa Far fallire intenzionalmente un controllo per dimostrare che può fallire. Richiesta per ogni sonda prima del suo utilizzo.
Documento di audit Esportazione completa: catalogo, statuti, prove, incidenti, metodo. Prodotto su richiesta, in un unico file.

Da leggere successivamente

Dernière vérification de cette page : 2026-09-11