Funzionalità
Cosa rileva RoamSwitch, come ferma le minacce e cosa controlla, raggruppato per ciò che protegge.
Ransomware 4
Individua e ferma i comportamenti di cifratura e offre un modo per tornare allo stato precedente al danno.
| Funzionalità | Cosa fa | Azione | Predefinito | Prodotti |
|---|---|---|---|---|
| Rilevamento della cifratura di massa T1486 | Monitora le scritture e, se in poco tempo compaiono molti file con contenuto cifrato, interrompe le comunicazioni per fermare l'estensione del danno. | AzioneRilevare Isolare | PredefinitoAttivo con Pro Risposta automatica | ProdottiMac Linux |
| Rilevamento con file esca T1486 | Colloca file esca nelle cartelle importanti e avvisa se vengono modificati, eliminati o cifrati. Su Mac interrompe automaticamente anche le comunicazioni. | AzioneRilevare Isolare | PredefinitoAttivo con Pro Solo notifica | ProdottiMac Linux Linux Server |
| Ripristino dei file precedenti al danno | Permette di recuperare uno per uno i file precedenti al danno dagli snapshot periodici. | AzioneControllare Registrare | PredefinitoAttivo Risposta manuale | ProdottiMac Linux |
| Diagnosi dell'aggiornamento del backup | Verifica se l'ultimo backup è recente e avvisa quando è vecchio. | AzioneVerificare | PredefinitoAttivo Solo notifica | ProdottiMac Linux Linux Server |
Furto di credenziali 5
Individua al momento della lettura i tentativi di rubare password, chiavi e token.
| Funzionalità | Cosa fa | Azione | Predefinito | Prodotti |
|---|---|---|---|---|
| Credenziali esca T1552.001 | Colloca nella home credenziali esca (AWS, chiavi SSH, Docker e altre) e avvisa nell'istante in cui vengono lette. La notifica riporta il programma che le ha lette, il comando e il processo padre. Non sovrascrive i file reali. | AzioneRilevare | PredefinitoAttivo con Pro Solo notifica | ProdottiMac Linux Linux Server |
| Monitoraggio della lettura dei file di credenziali T1552.001 | Avvisa quando un programma imprevisto apre chiavi private SSH, credenziali AWS e gcloud, password salvate nel browser o dati di accesso degli agenti IA. | AzioneRilevare | PredefinitoAttivo Solo notifica | ProdottiLinux |
| Monitoraggio dei dati salvati nel browser T1555.003 | Avvisa quando qualcosa di diverso dal browser apre i file delle password e dei cookie salvati di Chrome, Firefox e altri. | AzioneRilevare | PredefinitoOpzionale Solo notifica | ProdottiMac |
| Rilevamento di chiavi API e chiavi private T1204.004 | Trova chiavi API e chiavi private in testi, file, cartelle e negli appunti. I risultati sono mostrati oscurati. | AzioneVerificare | PredefinitoAttivo Risposta manuale | ProdottiMac Linux Linux Server |
| Diagnosi delle credenziali degli agenti IA T1552.001 | Controlla permessi e proprietario dei file in cui Claude Code, Codex e altri salvano l'accesso, e se si trovano in cartelle sincronizzate o sotto git. Non legge il contenuto. | AzioneVerificare | PredefinitoAttivo Solo notifica | ProdottiMac |
Esecuzione sospetta e malware 10
Individua la sequenza di programmi e comandi eseguita da un attaccante e analizza i file scaricati.
| Funzionalità | Cosa fa | Azione | Predefinito | Prodotti |
|---|---|---|---|---|
| Registro di esecuzione dei processi e rilevamento delle tecniche di attacco T1059.004 T1027 T1105 T1553.001 | Registra programmi, argomenti e relazioni padre-figlio con protezione dalla manomissione. Segnala catene come l'avvio di una shell dal browser, scarica ed esegui, esecuzione offuscata o esecuzione subito dopo la rimozione dell'attributo di quarantena. Oscura le informazioni segrete. | AzioneRilevare Registrare | PredefinitoOpzionale Solo notifica | ProdottiMac Linux Linux Server |
| Importazione di regole Sigma | Se si inseriscono le proprie regole Sigma (creazione di processi), vengono applicate al registro di esecuzione e si aggiungono al rilevamento. Le regole che non si riescono a caricare compaiono in un elenco con il motivo. | AzioneRilevare | PredefinitoOpzionale Solo notifica | ProdottiMac Linux Linux Server |
| Rilevamento di reverse shell T1059.004 | Individua e segnala quando l'ingresso e l'uscita di una shell o di un interprete sono collegati a una connessione esterna. Rileva anche la forma del comando. | AzioneRilevare | PredefinitoAttivo con Pro Solo notifica | ProdottiMac Linux Linux Server |
| Scansione antimalware dopo il download T1204.002 T1027 | Analizza automaticamente i file scaricati e mette in quarantena quelli trovati. I file in quarantena si possono ripristinare o eliminare definitivamente. | AzioneRilevare Bloccare | PredefinitoAttivo Risposta automatica | ProdottiMac Linux |
| Corrispondenza di pattern nel contenuto dei file | Confronta il contenuto dei file scaricati con pattern noti. Su Linux lo fa anche nel momento in cui il file viene scritto. | AzioneRilevare | PredefinitoAttivo Solo notifica | ProdottiMac Linux Linux Server |
| Integrazione con il rilevamento malware di Apple | Interrompe le comunicazioni nell'istante in cui XProtect rileva effettivamente un malware. | AzioneIsolare | PredefinitoAttivo con Pro Risposta automatica | ProdottiMac |
| Rilevamento di ClickFix T1204.004 | Individua, nella cronologia della shell e negli appunti, gli attacchi che fanno incollare un comando all'utente stesso tramite una falsa schermata di verifica. | AzioneRilevare Bloccare | PredefinitoOpzionale Risposta automatica | ProdottiMac Linux |
| Blocco preventivo delle esecuzioni pericolose | Valuta la minaccia al momento dell'esecuzione e rifiuta di eseguire le minacce reali. | AzioneBloccare | PredefinitoAttivo Risposta automatica | ProdottiLinux |
| Rilevamento delle intrusioni nel kernel e isolamento autonomo T1562.006 | Rileva reverse shell, escalation dei privilegi ed esecuzione di binari non autorizzati dagli eventi del kernel. Congela o termina i processi e isola l'host in pochi millisecondi. | AzioneRilevare Isolare | PredefinitoAttivo Risposta automatica | ProdottiLinux Server |
| Rilevamento delle terminazioni anomale dei worker del server web | Rileva dall'error.log e segnala quando i worker di nginx e Apache terminano in modo anomalo ripetutamente in poco tempo. | AzioneRilevare | PredefinitoAttivo con Pro Solo notifica | ProdottiMac Linux Server |
Persistenza e manomissione 7
Individua le tecniche per restare dopo il riavvio e la modifica di file critici.
| Funzionalità | Cosa fa | Azione | Predefinito | Prodotti |
|---|---|---|---|---|
| Monitoraggio delle registrazioni di avvio automatico T1543.001 T1543.002 T1053.003 T1546.004 | Segnala nuove registrazioni o modifiche di avvio automatico e righe sospette nei file di avvio della shell. Rileva reverse shell e la forma scarica ed esegui direttamente. | AzioneRilevare | PredefinitoAttivo Solo notifica | ProdottiMac Linux |
| Monitoraggio dell'integrità dei file critici di sistema T1098.004 T1548.003 | Registra l'hash dei file modificabili solo da root (sudoers, PAM, configurazione di sshd, authorized_keys di root e così via) e segnala modifiche, aggiunte ed eliminazioni. Su Server aggiunge il processo che ha effettuato la modifica e le informazioni sul suo accesso. | AzioneRilevare Registrare | PredefinitoAttivo con Pro Solo notifica | ProdottiMac Linux Server |
| Monitoraggio della manomissione dei lockfile T1195.001 | Registra package-lock.json e simili dei progetti registrati e continua a segnalare le modifiche finché una persona non le conferma. | AzioneRilevare | PredefinitoAttivo con Pro Solo notifica | ProdottiMac |
| Monitoraggio delle modifiche SUID e SGID T1548.001 | Segnala aggiunte e modifiche ai file setuid e setgid. | AzioneRilevare | PredefinitoAttivo Solo notifica | ProdottiLinux Server |
| Monitoraggio della cancellazione dei log T1070.002 | Segnala quando i log di autenticazione e altri vengono svuotati o troncati. | AzioneRilevare | PredefinitoAttivo Solo notifica | ProdottiLinux Server |
| Hardening del kernel T1055 | Riduce gli appigli per l'escalation dei privilegi e l'esecuzione con restrizioni di ptrace, noexec su /tmp e /dev/shm e limitazione dei namespace utente non privilegiati. | AzioneBloccare | PredefinitoAttivo | ProdottiLinux Linux Server |
| Verifica dei moduli del kernel usati per l'escalation dei privilegi | Controlla se si possono caricare moduli che sono serviti per l'escalation locale dei privilegi, come Copy Fail e Dirty Frag. I moduli non usati si possono vietare. | AzioneVerificare Controllare | PredefinitoAvvio manuale Risposta manuale | ProdottiLinux Linux Server |
Difesa della rete 18
Adatta la protezione alla rete a cui ci si collega e ferma connessioni ed esposizioni sospette.
| Funzionalità | Cosa fa | Azione | Predefinito | Prodotti |
|---|---|---|---|---|
| Cambio del livello di protezione in base alla rete | Riconosce automaticamente Wi-Fi domestico, di lavoro o pubblico e cambia firewall e servizi condivisi. Si può anche forzare manualmente. | AzioneControllare Bloccare | PredefinitoAttivo Risposta automatica | ProdottiMac Linux |
| Arresto e ripristino automatico dei servizi condivisi | Nelle reti non attendibili ferma SSH, condivisione dello schermo, condivisione dei file e simili, e li ripristina al ritorno in una rete sicura. | AzioneControllare Bloccare | PredefinitoAttivo Risposta automatica | ProdottiMac Linux |
| Audit delle porte esposte | Trova le porte aperte verso l'esterno e valuta i servizi pericolosi e i server di inferenza IA locali. | AzioneVerificare | PredefinitoAttivo Solo notifica | ProdottiMac Linux Linux Server |
| Blocco automatico delle porte sconosciute esposte T1562.004 | Blocca nell'istante in cui un programma mai visto apre una porta verso l'esterno. Funziona contro le nuove backdoor anche senza firma. | AzioneRilevare Bloccare | PredefinitoAttivo con Pro Risposta automatica | ProdottiMac Linux |
| Blocco dell'esposizione esterna dei server di sviluppo | Isola dalla LAN esterna i server di sviluppo e i server IA locali in ascolto su tutte le interfacce. Restano utilizzabili da localhost. | AzioneBloccare | PredefinitoAttivo con Pro Risposta automatica | ProdottiMac Linux |
| Rilevamento e blocco delle scansioni di porte esterne T1046 | Individua le sorgenti che si collegano a molte porte in poco tempo e le blocca per un certo periodo. Non blocca gateway, DNS e il proprio indirizzo. | AzioneRilevare Bloccare | PredefinitoAttivo con Pro Risposta automatica | ProdottiMac Linux Linux Server |
| Rilevamento e blocco automatico dell'ARP spoofing T1557.002 | Individua cambiamenti sospetti dell'indirizzo MAC del gateway e interrompe d'emergenza le comunicazioni. Su Wi-Fi non attendibile fissa l'ARP del gateway. | AzioneRilevare Isolare | PredefinitoAttivo con Pro Risposta automatica | ProdottiMac Linux |
| Diagnosi della sicurezza del Wi-Fi | Avvisa delle connessioni a Wi-Fi senza cifratura o con cifratura debole. Un nome nuovo molto simile a quello di una rete già vista viene segnalato come access point falso. | AzioneRilevare Verificare | PredefinitoAttivo Solo notifica | ProdottiMac Linux |
| Monitoraggio delle modifiche alla configurazione di rete T1557.003 | Confronta con la volta precedente i server DNS, il router e la configurazione automatica del proxy (PAC e WPAD) distribuiti dalla rete e avvisa se compare un valore mai visto. È un indizio di un server DHCP falso. | AzioneRilevare | PredefinitoAttivo con Pro Solo notifica | ProdottiMac Linux |
| Protezione dalle minacce DNS | Blocca nella fase DNS la risoluzione dei nomi dei server C2 e dei siti di phishing. Si ripristina al ritorno in una rete attendibile. | AzioneBloccare | PredefinitoAttivo Risposta automatica | ProdottiMac Linux |
| Protezione dei link T1566.002 T1071.004 | Individua dalla destinazione della connessione i collegamenti a siti di phishing e truffa e li blocca o avvisa. Funziona anche con i browser che usano DoH. | AzioneRilevare Bloccare | PredefinitoAttivo Risposta automatica | ProdottiMac Linux |
| Diagnosi della sicurezza degli URL | Espande gli URL abbreviati, segue i reindirizzamenti e valuta caratteri che imitano altri, domini di marchi falsi e domini pericolosi, tutto all'interno del dispositivo. | AzioneVerificare | PredefinitoAvvio manuale Risposta manuale | ProdottiMac Linux |
| VPN e kill switch nelle reti non attendibili | Collega automaticamente la VPN nelle reti non attendibili e blocca le fughe fuori dal tunnel. Si può scegliere WireGuard o Tailscale. | AzioneControllare Bloccare | PredefinitoOpzionale Risposta automatica | ProdottiMac Linux |
| Air-Gap (isolamento totale di emergenza) | Interrompe subito tutte le comunicazioni esterne e porta in primo piano la procedura di ripristino. È usato anche dall'isolamento automatico in caso di rilevamento. | AzioneIsolare | PredefinitoAvvio manuale Risposta manuale | ProdottiMac Linux |
| Spegnimento del Wi-Fi durante l'Air-Gap | Quando isola con l'Air-Gap, spegne anche il segnale Wi-Fi. | AzioneIsolare | PredefinitoAttivo Risposta automatica | ProdottiMac |
| Rifiuto predefinito del traffico in ingresso e protezione dal blocco SSH | Rifiuta il traffico in ingresso per impostazione predefinita e non interrompe l'SSH di amministrazione attualmente collegato. | AzioneBloccare | PredefinitoAttivo Risposta automatica | ProdottiLinux Server |
| Blocco delle comunicazioni in uscita verso IP malevoli | Blocca le comunicazioni in uscita verso IP malevoli e C2 noti. C'è anche un'impostazione per indirizzare il DNS a un fornitore con filtro. | AzioneBloccare | PredefinitoAttivo Risposta automatica | ProdottiLinux Server |
| Rilevamento del tunneling DNS T1071.004 | Rileva e segnala indizi di esfiltrazione o C2 tramite DNS. | AzioneRilevare | PredefinitoAttivo Solo notifica | ProdottiLinux Server |
Web e posta 4
Individua il codice malevolo presente nei siti web e gli attacchi ai server web.
| Funzionalità | Cosa fa | Azione | Predefinito | Prodotti |
|---|---|---|---|---|
| Rilevamento di web shell e codice malevolo T1505.003 | Trova web shell e codice iniettato offuscato nei file scritti nelle cartelle pubbliche. Mette in quarantena per impostazione predefinita i casi gravi. Le cartelle pubbliche vengono individuate automaticamente dalla configurazione di Apache, nginx e Caddy e dai mount di Docker. | AzioneRilevare Bloccare | PredefinitoAttivo con Pro Risposta automatica | ProdottiMac Linux Server |
| Rilevamento dell'enumerazione di identificatori (Web Access Guard) | Individua nei log di accesso le richieste che sostituiscono in sequenza numeri di richiesta o d'ordine. Copre anche gli attacchi distribuiti su molti IP. Con l'impostazione adatta può bloccare le sorgenti rilevate. | AzioneRilevare Bloccare | PredefinitoOpzionale Solo notifica | ProdottiLinux Server |
| Web Gate | Si integra con nginx e protegge solo i punti che ricevono numeri, con un budget di richieste per punto. Frena gli attacchi che cambiano continuamente IP. | AzioneBloccare | PredefinitoOpzionale Risposta automatica | ProdottiLinux Server |
| File Scan Guard | Analizza con YARA e ClamAV i file collocati in relay di posta o cartelle condivise e li mette in quarantena. | AzioneRilevare Bloccare | PredefinitoOpzionale Risposta automatica | ProdottiLinux Server |
SSH e accesso remoto 2
Individua e ferma gli attacchi a forza bruta sugli accessi e diagnostica i punti deboli della configurazione.
| Funzionalità | Cosa fa | Azione | Predefinito | Prodotti |
|---|---|---|---|---|
| Rilevamento e blocco della forza bruta SSH T1110.001 | Individua e segnala le sorgenti che sbagliano l'accesso molte volte in poco tempo e blocca le nuove connessioni verso la porta SSH. Non interrompe le sessioni in corso e non blocca il gateway né il proprio indirizzo. | AzioneRilevare Bloccare | PredefinitoAttivo con Pro Risposta automatica | ProdottiMac Linux Linux Server |
| Diagnosi della configurazione di SSH e sudo T1548.003 | Diagnostica la configurazione di accesso remoto SSH e sudo senza password, e indica come correggere. | AzioneVerificare | PredefinitoAttivo Solo notifica | ProdottiMac Linux Linux Server |
Container e server 6
Individua gli avvii pericolosi dei container e i segnali tipici dei server.
| Funzionalità | Cosa fa | Azione | Predefinito | Prodotti |
|---|---|---|---|---|
| Rilevamento degli avvii pericolosi dei container T1610 | Segnala l'avvio di container privilegiati o con docker.sock montato. Monitora anche l'esecuzione all'interno dei container. | AzioneRilevare | PredefinitoOpzionale Solo notifica | ProdottiMac Linux Server |
| Prevenzione dell'elusione del firewall da parte di Docker | Impedisce a Docker di eludere le regole di rifiuto predefinito e di aprire porte che non si intendeva pubblicare. | AzioneBloccare | PredefinitoAttivo Risposta automatica | ProdottiLinux Server |
| Rilevamento dell'esaurimento delle risorse e dei crash | Rileva e segnala la crescita continua della memoria (leak o DoS) dei servizi esposti alla rete e i crash ripetuti. | AzioneRilevare | PredefinitoAttivo Solo notifica | ProdottiLinux Server |
| Monitoraggio delle connessioni ai metadati del cloud T1552.005 | Segnala quando un programma o un container non root si collega a un'API di metadati come 169.254.169.254. Controlla l'ultimo passaggio di un SSRF. | AzioneRilevare | PredefinitoAttivo Solo notifica | ProdottiLinux Server |
| Protezione degli account dedicati agli agenti IA | Quando l'agente gira con un account dedicato, limita le comunicazioni in uscita a una lista di consentiti, colloca credenziali esca e confronta le modifiche ai file di istruzioni con una baseline di proprietà di root. | AzioneControllare Rilevare | PredefinitoOpzionale Solo notifica | ProdottiLinux Server |
| Processi che il contenimento non ferma | Si possono aggiungere processi che il contenimento automatico non ferma, oltre all'elenco integrato. Valgono solo gli eseguibili che si trovano in percorsi di sistema. | AzioneControllare | Predefinito— | ProdottiLinux Server |
Supply chain 7
Individua, prima e dopo l'importazione, le intrusioni attraverso librerie e ambienti di sviluppo.
| Funzionalità | Cosa fa | Azione | Predefinito | Prodotti |
|---|---|---|---|---|
| Confronto con le vulnerabilità note dei pacchetti | Confronta i pacchetti installati e i lockfile dei progetti con i dati sulle vulnerabilità presenti nel dispositivo. Non comunica. Le CVE con probabilità di sfruttamento (EPSS) sono ordinate dalla più alta. | AzioneVerificare | PredefinitoAvvio manuale Risposta manuale | ProdottiMac Linux Linux Server |
| Accettazione delle vulnerabilità | Le CVE che non hanno impatto si possono accettare con un motivo e una scadenza. Alla scadenza tornano al rilevamento normale. | AzioneControllare Registrare | PredefinitoAvvio manuale Risposta manuale | ProdottiMac Linux |
| Verifica del codice eseguito durante l'installazione T1195.001 | Elenca gli script eseguiti all'installazione. Avvisa se, rispetto allo stato confermato, vengono aggiunti o modificati script o aggiunto codice compilato. | AzioneVerificare | PredefinitoAvvio manuale Risposta manuale | ProdottiMac Linux |
| Ispezione dell'origine delle dipendenze | Segnala configurazioni che favoriscono attacchi di dependency confusion, come extra-index-url di pip o scope npm senza registro fissato. | AzioneVerificare | PredefinitoAvvio manuale Risposta manuale | ProdottiMac |
| Rilevamento di pacchetti con nome simile | Valuta con la distanza di modifica se il nome di una dipendenza assomiglia troppo a quello di un pacchetto noto. | AzioneVerificare | PredefinitoAvvio manuale Risposta manuale | ProdottiMac Linux |
| Verifica delle firme dei pacchetti npm | Verifica nel registro npm la firma e la provenienza dei pacchetti installati. | AzioneVerificare | PredefinitoOpzionale Risposta manuale | ProdottiMac Linux Server |
| Confronto con le vulnerabilità del kernel | Confronta la versione del kernel in esecuzione con le vulnerabilità note e la mostra nella diagnosi. | AzioneVerificare | PredefinitoAttivo Solo notifica | ProdottiLinux Linux Server |
Agenti IA e MCP 6
Protegge la configurazione degli agenti IA e la sicurezza delle informazioni consegnate all'IA.
| Funzionalità | Cosa fa | Azione | Predefinito | Prodotti |
|---|---|---|---|---|
| Audit della configurazione degli agenti IA | Controlla file di istruzioni, skill e file di configurazione. Segnala caratteri invisibili, sovrascrittura delle istruzioni, descrizioni di scarica ed esegui e invio esterno di file segreti. Avvisa se cambiano rispetto allo stato approvato e il risultato si può ottenere anche in SARIF. | AzioneVerificare Rilevare | PredefinitoAvvio manuale Solo notifica | ProdottiMac Linux Linux Server |
| Verifica della configurazione MCP | Segnala pratiche pericolose nelle configurazioni MCP di Claude Desktop, Claude Code, Cursor e altri, come approvazione automatica, http in chiaro, avvio con una sola riga e container privilegiati. | AzioneVerificare | PredefinitoAvvio manuale Risposta manuale | ProdottiMac Linux |
| Avviso di istruzioni mescolate per l'IA | Se nelle stringhe provenienti dall'esterno, come script di pacchetti, log, nomi Wi-Fi o righe di comando, sono presenti istruzioni rivolte all'IA, lo segnala in fondo al risultato. Mostra solo il tipo e il numero delle corrispondenze. | AzioneRilevare | PredefinitoAttivo Solo notifica | ProdottiMac Linux Linux Server |
| Server MCP per interrogare lo stato dagli assistenti IA | Permette a Claude e altri di leggere lo stato di diagnosi e rilevamenti. Non esistono strumenti che modificano la configurazione. Non comunica nemmeno. | AzioneSegnalare | PredefinitoAttivo | ProdottiMac Linux Linux Server |
| Autoverifica dell'ambito di rilevamento | Per ogni tecnica ATT&CK elenca se viene rilevata, cosa resta fuori dalla vista e se la funzione responsabile è attiva. Si può ottenere anche come livello ATT&CK Navigator. | AzioneSegnalare Verificare | PredefinitoAttivo | ProdottiMac Linux Linux Server |
| Identificazione degli ambienti di esecuzione IA locali | Stabilisce, con un grado di certezza, se una porta esposta è un ambiente di esecuzione IA locale come Ollama, vLLM o LiteLLM. | AzioneVerificare | PredefinitoAttivo Solo notifica | ProdottiMac Linux |
Periferiche 3
Ferma al momento del collegamento le intrusioni tramite USB e Bluetooth.
| Funzionalità | Cosa fa | Azione | Predefinito | Prodotti |
|---|---|---|---|---|
| Controllo dei dispositivi di archiviazione USB T1091 | Gli archivi USB non consentiti vengono collegati in sola lettura oppure la connessione viene sospesa fino alla conferma. Anche quelli consentiti vengono montati in sola lettura subito dopo il collegamento e riottengono i permessi dopo la scansione. | AzioneBloccare Controllare | PredefinitoOpzionale Risposta manuale | ProdottiMac Linux |
| Prevenzione BadUSB T1200 | Blocca fino all'approvazione l'input di tastiere non approvate o di cavi USB modificati. Le anomalie nell'intervallo tra i tasti sono un indizio ausiliario. | AzioneBloccare | PredefinitoOpzionale Risposta manuale | ProdottiMac Linux |
| Controllo e verifica del Bluetooth | Nelle reti non attendibili rende il Bluetooth non rilevabile. Verifica anche le impostazioni che ammettono dispositivi prima dell'associazione. | AzioneControllare Verificare | PredefinitoOpzionale Risposta automatica | ProdottiMac Linux |
Diagnosi e vulnerabilità 5
Individua i punti deboli di configurazione e le vulnerabilità realmente raggiungibili.
| Funzionalità | Cosa fa | Azione | Predefinito | Prodotti |
|---|---|---|---|---|
| Diagnosi generale della sicurezza | Diagnostica numerose voci, come cifratura del disco, firewall, aggiornamenti del sistema, SSH, porte esposte e protezione del browser, e mostra un punteggio e come correggere. Permette di ricontrollare se le voci diagnosticate sono ancora presenti. | AzioneVerificare Segnalare | PredefinitoAttivo Solo notifica | ProdottiMac Linux Linux Server |
| Diagnosi delle vulnerabilità con verifica reale | Solo su 127.0.0.1 di questo dispositivo, verifica senza causare danni esposizione senza autenticazione, errori di configurazione CORS, path traversal e simili. Per ogni verifica indica cosa lascia traccia e la solidità della prova. | AzioneVerificare | PredefinitoOpzionale Risposta manuale | ProdottiMac Linux |
| Diagnosi delle risposte LLMNR e NBNS T1557.001 | Verifica se questo dispositivo partecipa a una risoluzione dei nomi a cui può rispondere chiunque nella stessa rete. | AzioneVerificare | PredefinitoAttivo Solo notifica | ProdottiLinux Linux Server |
| Analisi dei percorsi di escalation dei privilegi | Mostra in un grafo e in un elenco i percorsi che arrivano a root o a dati sensibili a partire dal gruppo docker, SUID, eseguibili di servizio modificabili, sudo senza password, cron e permessi di privacy di macOS. Permette anche di analizzare in ipotesi i percorsi dopo la correzione. | AzioneVerificare | PredefinitoAvvio manuale Risposta manuale | ProdottiPathScope |
| Audit delle vulnerabilità dall'esterno della LAN | Da un nodo dedicato nella LAN, verifica senza causare danni le porte esposte e i servizi vulnerabili dei dispositivi associati. Mostra come appaiono da un altro dispositivo della stessa LAN, cosa che la diagnosi dell'host stesso non vede. | AzioneVerificare | PredefinitoAvvio manuale Risposta manuale | ProdottiSensor |
Analisi dei log e indagine 22
Individua tentativi di attacco, con le prove, dai log e dalle informazioni della LAN.
| Funzionalità | Cosa fa | Azione | Predefinito | Prodotti |
|---|---|---|---|---|
| Audit dei log di sicurezza | Aggrega dai log i fallimenti di sudo, SSH, i blocchi di Gatekeeper, l'autenticazione e altro. Rileva come anomalie i tipi di log mai comparsi prima e gli aumenti improvvisi di frequenza. Oscura le informazioni segrete. | AzioneRilevare Verificare | PredefinitoAttivo con Pro Solo notifica | ProdottiMac Linux Linux Server |
| Diagnosi dei log di accesso (AccessScope) | Individua tentativi di attacco nei log del server web e di SSH, con le righe di prova. Trova automaticamente i log e mostra le catene che attraversano più log e le differenze rispetto al solito. Il rapporto indica gli intervalli che non è stato possibile leggere. | AzioneRilevare Segnalare | PredefinitoAvvio manuale | ProdottiAccessScope |
| Verifica dello stato con un solo pulsante (PersonalSOC) | Controlla, in sola lettura, autenticazione SSH, auditd, web, DNS, log unificato di macOS, configurazione MCP e cronologia dei rilevamenti di RoamSwitch. Li riassume in una dashboard e in un rapporto con IOC. | AzioneSegnalare Verificare | PredefinitoAvvio manuale | ProdottiPersonalSOC |
| Indagine autonoma con LLM (PersonalSOC, facoltativa) | Se attivata, l'LLM indaga solo con gli strumenti di sola lettura consentiti e scrive il rapporto. Non gli vengono consegnati shell né file. I valori scritti dall'LLM che non compaiono nel materiale raccolto sono indicati come possibile invenzione. | AzioneSegnalare | PredefinitoOpzionale | ProdottiPersonalSOC |
| Esecuzione periodica (PersonalSOC, facoltativa) | Registra un'esecuzione periodica con i permessi dell'utente e notifica il numero di voci solo quando ci sono rilevamenti non presenti la volta precedente. | AzioneSegnalare | PredefinitoOpzionale Solo notifica | ProdottiPersonalSOC |
| Punti di correzione e proposte (PathScope) | Mostra con priorità i punti la cui correzione è più efficace e aggiunge esempi di comandi di correzione e la corrispondenza con ATT&CK. Non esegue i comandi automaticamente. | AzioneSegnalare | PredefinitoAvvio manuale | ProdottiPathScope |
| Confronto con le vulnerabilità note del software installato (PathScope) | Confronta le versioni del software installato con i dati sulle vulnerabilità note inclusi (CISA KEV e altri). Indica quelle per cui esiste un modulo di attacco pubblico. | AzioneVerificare | PredefinitoAvvio manuale | ProdottiPathScope |
| Confronto con la cronologia e verifica continua (PathScope) | Conserva i risultati dell'analisi come cronologia nel dispositivo e li confronta con la volta precedente. Se i percorsi aumentano, avvisa con il codice di uscita 1, quindi si presta anche all'esecuzione periodica. | AzioneRegistrare Segnalare | PredefinitoAvvio manuale | ProdottiPathScope |
| Spiegazione e lettura delle configurazioni con LLM (PathScope, facoltativa) | Si può affidare all'LLM la spiegazione dei risultati e l'interpretazione di configurazioni difficili da leggere, come sudoers e cron. Non vengono inviati valori di chiavi private e chiavi API. I valori nella spiegazione che non compaiono nel materiale sono indicati come possibile invenzione. | AzioneSegnalare | PredefinitoOpzionale | ProdottiPathScope |
| Riduzione delle voci da esaminare (AccessScope) | Permette di escludere con un motivo gli IP propri e simili e, confrontando con la diagnosi precedente, avvisa solo dei nuovi rilevamenti. | AzioneControllare | PredefinitoAvvio manuale | ProdottiAccessScope |
| Esportazione dei risultati (AccessScope) | Il rapporto si può esportare in Markdown, JSON, SARIF e CSV. Si può esportare anche l'elenco di blocco degli IP rilevati. Si esporta soltanto: non blocca nulla. | AzioneSegnalare | PredefinitoAvvio manuale | ProdottiAccessScope |
| Analisi con LLM (AccessScope, facoltativa) | Se attivata, consegna all'LLM il riepilogo e le righe di prova perché scriva il rapporto. I segreti sono oscurati. I valori scritti dall'LLM che non compaiono nel materiale consegnato sono indicati come possibile invenzione. | AzioneSegnalare | PredefinitoOpzionale | ProdottiAccessScope |
| Rilevamento del traffico sospetto nella LAN (Sensor, cattura passiva) | Con la cattura passiva, ad esempio su una porta mirror, mostra come informazione di riferimento le connessioni a IP malevoli noti o a porte di amministrazione, gli indizi di botnet e il tunneling DNS. Non blocca il traffico. | AzioneRilevare | PredefinitoOpzionale Solo notifica | ProdottiSensor |
| Audit periodico e differenze rispetto al precedente (Sensor) | Controlla periodicamente i dispositivi associati e mostra nuovi rilevamenti, risolti e porte appena aperte. | AzioneVerificare Segnalare | PredefinitoOpzionale Solo notifica | ProdottiSensor |
| Rapporti di audit e notifiche (Sensor) | I risultati dell'audit, l'inventario dei dispositivi e il registro delle operazioni si possono esportare in CSV, JSON e HTML. Si possono notificare via Webhook e syslog nuovi dispositivi, ARP spoofing e simili. Il registro delle operazioni ha protezione dalla manomissione. | AzioneSegnalare Registrare | PredefinitoOpzionale Solo notifica | ProdottiSensor |
| Inventario dei dispositivi della LAN e monitoraggio ARP | Individua i dispositivi della LAN e li registra in un inventario. Avvisa dei nuovi dispositivi e dei cambi di MAC per un IP noto (ARP spoofing). | AzioneRilevare Registrare | PredefinitoAttivo Solo notifica | ProdottiSensor |
| Rilevamento di server DHCP e router IPv6 non autorizzati | Invia un solo pacchetto di discovery da un MAC casuale e conta i server DHCP e i router IPv6 che rispondono. Avvisa dei server comparsi in seguito e di quelli che distribuiscono un gateway diverso da quello legittimo. | AzioneRilevare | PredefinitoAttivo Solo notifica | ProdottiSensor |
| Apprendimento del comportamento abituale di ogni dispositivo | Apprende le abitudini di comunicazione di ogni dispositivo e avvisa dei comportamenti diversi dal solito. | AzioneRilevare | PredefinitoAttivo Solo notifica | ProdottiSensor |
| Audit leggero dei dispositivi non installati | Verifica stampanti, telecamere e altri dispositivi non associati, solo entro l'intervallo consentito e soltanto con un test di connessione e la lettura del banner del servizio. | AzioneVerificare | PredefinitoOpzionale Risposta manuale | ProdottiSensor |
| Cronologia degli incidenti | Riunisce in un'unica linea temporale i registri di contenimento e di rilevamento. Include la genealogia dei processi e i tag ATT&CK. | AzioneSegnalare Registrare | PredefinitoAttivo | ProdottiMac Linux |
| Elenco dei dispositivi USB collegati | Mostra i dispositivi USB esterni collegati in questo momento. | AzioneVerificare | PredefinitoAttivo | ProdottiMac |
| Protezione all'avvio (sperimentale) | Fin dalle prime fasi dell'avvio e fino a quando tutto è pronto, blocca tutte le comunicazioni tranne ARP e il client DHCP. | AzioneBloccare | PredefinitoOpzionale Risposta automatica | ProdottiLinux Linux Server |
Prove, notifiche e operatività 14
Conserva le prove delle rilevazioni, avvisa chi serve e si integra nelle operazioni.
| Funzionalità | Cosa fa | Azione | Predefinito | Prodotti |
|---|---|---|---|---|
| Automonitoraggio e riavvio automatico T1562.001 | Se RoamSwitch stesso termina in modo anomalo, si riavvia e lo segnala. | AzioneControllare Rilevare | PredefinitoAttivo Risposta automatica | ProdottiMac Linux |
| Aggiornamento automatico dei dati sulle minacce firmati | Riceve feed di minacce, dati sulle vulnerabilità e regole verificando la firma. Non invia informazioni del dispositivo. | AzioneControllare | PredefinitoAttivo | ProdottiMac Linux Linux Server |
| Disinstallazione reversibile | Prima della rimozione, ripristina la configurazione di rete ed elimina i file esca e le impostazioni aggiunte. | AzioneControllare | PredefinitoAvvio manuale Risposta manuale | ProdottiMac Linux Linux Server |
| Gestione centralizzata da parte dell'organizzazione (Fleet) | Registra i dispositivi nell'organizzazione e riceve e applica policy firmate. Sul dispositivo si può controllare lo stato della registrazione e delle policy. | AzioneControllare Segnalare | PredefinitoOpzionale | ProdottiLinux Linux Server |
| Ronda autonoma periodica | Esegue periodicamente in background la diagnosi generale. | AzioneVerificare | PredefinitoAttivo Solo notifica | ProdottiMac |
| Raccolta automatica delle prove al contenimento | Quando inizia il contenimento, raccoglie automaticamente le prove di quel momento. L'integrità si può verificare con lo SHA-256 di ogni file. | AzioneRegistrare | PredefinitoAttivo Risposta automatica | ProdottiMac Linux |
| Cronologia delle notifiche | Permette di consultare le notifiche recenti con il programma di origine, il comando e il percorso. Se l'origine non è identificabile, lo indica. | AzioneRegistrare Segnalare | PredefinitoAttivo | ProdottiMac Linux Linux Server |
| Notifiche urgenti (Telegram, LINE, Webhook) | Invia i rilevamenti gravi a Telegram, LINE e Webhook. Slack, Discord e Teams si possono usare tramite l'URL di un Webhook in ingresso. | AzioneSegnalare | PredefinitoOpzionale Solo notifica | ProdottiLinux Server |
| Inoltro degli eventi (SIEM, syslog, Webhook) | Inoltra rilevamenti e notifiche a syslog, a file JSON Lines o a un Webhook firmato indicati. Ciò che non è stato possibile inviare viene reinviato. | AzioneSegnalare | PredefinitoOpzionale | ProdottiMac Linux Server |
| Registro con protezione dalla manomissione | Concatena con hash il registro di esecuzione per poterlo verificare in seguito. Anche il tratto in scrittura riceve punti di controllo a intervalli regolari. | AzioneRegistrare | PredefinitoAttivo | ProdottiMac Linux Linux Server |
| Tutte le funzioni dal terminale | Tutte le funzioni di Server Edition si usano solo con la tastiera su una schermata 80x24 via SSH. La configurazione mostra le differenze prima del salvataggio ed esegue un backup. | AzioneControllare | PredefinitoAttivo | ProdottiLinux Server |
| Ricevere audit da Sensor | Associa Server Edition a Sensor per ricevere audit dall'esterno della LAN. | AzioneControllare Verificare | PredefinitoOpzionale Risposta manuale | ProdottiLinux Server |
| Associazione e revoca | Con un codice monouso, il dispositivo e Sensor si fidano reciprocamente. In caso di smarrimento o furto, si revoca dal collector e quel Sensor si ferma da solo. | AzioneControllare | Predefinito— Risposta manuale | ProdottiSensor |
| Aggregazione di più sedi (collector) | Raccoglie con firma i riepiloghi di più Sensor. Permette di vedere lo stato per sede in una dashboard ed esportarlo in CSV. | AzioneSegnalare | PredefinitoOpzionale | ProdottiSensor |
Nessuna funzionalità corrispondente
Cosa si ferma da solo e cosa solo avvisa
Quali funzionalità agiscono da sole dopo un rilevamento e quali si limitano a notificare.
Blocco o isolamento automatico 27
| Funzionalità | Azione | Predefinito | Prodotti |
|---|---|---|---|
| Rilevamento della cifratura di massa | AzioneRilevare Isolare | PredefinitoAttivo con Pro | ProdottiMac Linux |
| Scansione antimalware dopo il download | AzioneRilevare Bloccare | PredefinitoAttivo | ProdottiMac Linux |
| Integrazione con il rilevamento malware di Apple | AzioneIsolare | PredefinitoAttivo con Pro | ProdottiMac |
| Rilevamento di ClickFix | AzioneRilevare Bloccare | PredefinitoOpzionale | ProdottiMac Linux |
| Blocco preventivo delle esecuzioni pericolose | AzioneBloccare | PredefinitoAttivo | ProdottiLinux |
| Rilevamento delle intrusioni nel kernel e isolamento autonomo | AzioneRilevare Isolare | PredefinitoAttivo | ProdottiLinux Server |
| Cambio del livello di protezione in base alla rete | AzioneControllare Bloccare | PredefinitoAttivo | ProdottiMac Linux |
| Arresto e ripristino automatico dei servizi condivisi | AzioneControllare Bloccare | PredefinitoAttivo | ProdottiMac Linux |
| Blocco automatico delle porte sconosciute esposte | AzioneRilevare Bloccare | PredefinitoAttivo con Pro | ProdottiMac Linux |
| Blocco dell'esposizione esterna dei server di sviluppo | AzioneBloccare | PredefinitoAttivo con Pro | ProdottiMac Linux |
| Rilevamento e blocco delle scansioni di porte esterne | AzioneRilevare Bloccare | PredefinitoAttivo con Pro | ProdottiMac Linux Linux Server |
| Rilevamento e blocco automatico dell'ARP spoofing | AzioneRilevare Isolare | PredefinitoAttivo con Pro | ProdottiMac Linux |
| Protezione dalle minacce DNS | AzioneBloccare | PredefinitoAttivo | ProdottiMac Linux |
| Protezione dei link | AzioneRilevare Bloccare | PredefinitoAttivo | ProdottiMac Linux |
| VPN e kill switch nelle reti non attendibili | AzioneControllare Bloccare | PredefinitoOpzionale | ProdottiMac Linux |
| Spegnimento del Wi-Fi durante l'Air-Gap | AzioneIsolare | PredefinitoAttivo | ProdottiMac |
| Rifiuto predefinito del traffico in ingresso e protezione dal blocco SSH | AzioneBloccare | PredefinitoAttivo | ProdottiLinux Server |
| Blocco delle comunicazioni in uscita verso IP malevoli | AzioneBloccare | PredefinitoAttivo | ProdottiLinux Server |
| Rilevamento di web shell e codice malevolo | AzioneRilevare Bloccare | PredefinitoAttivo con Pro | ProdottiMac Linux Server |
| Web Gate | AzioneBloccare | PredefinitoOpzionale | ProdottiLinux Server |
| File Scan Guard | AzioneRilevare Bloccare | PredefinitoOpzionale | ProdottiLinux Server |
| Rilevamento e blocco della forza bruta SSH | AzioneRilevare Bloccare | PredefinitoAttivo con Pro | ProdottiMac Linux Linux Server |
| Prevenzione dell'elusione del firewall da parte di Docker | AzioneBloccare | PredefinitoAttivo | ProdottiLinux Server |
| Controllo e verifica del Bluetooth | AzioneControllare Verificare | PredefinitoOpzionale | ProdottiMac Linux |
| Protezione all'avvio (sperimentale) | AzioneBloccare | PredefinitoOpzionale | ProdottiLinux Linux Server |
| Automonitoraggio e riavvio automatico | AzioneControllare Rilevare | PredefinitoAttivo | ProdottiMac Linux |
| Raccolta automatica delle prove al contenimento | AzioneRegistrare | PredefinitoAttivo | ProdottiMac Linux |
Solo notifica 42
| Funzionalità | Azione | Predefinito | Prodotti |
|---|---|---|---|
| Rilevamento con file esca | AzioneRilevare Isolare | PredefinitoAttivo con Pro | ProdottiMac Linux Linux Server |
| Diagnosi dell'aggiornamento del backup | AzioneVerificare | PredefinitoAttivo | ProdottiMac Linux Linux Server |
| Credenziali esca | AzioneRilevare | PredefinitoAttivo con Pro | ProdottiMac Linux Linux Server |
| Monitoraggio della lettura dei file di credenziali | AzioneRilevare | PredefinitoAttivo | ProdottiLinux |
| Monitoraggio dei dati salvati nel browser | AzioneRilevare | PredefinitoOpzionale | ProdottiMac |
| Diagnosi delle credenziali degli agenti IA | AzioneVerificare | PredefinitoAttivo | ProdottiMac |
| Registro di esecuzione dei processi e rilevamento delle tecniche di attacco | AzioneRilevare Registrare | PredefinitoOpzionale | ProdottiMac Linux Linux Server |
| Importazione di regole Sigma | AzioneRilevare | PredefinitoOpzionale | ProdottiMac Linux Linux Server |
| Rilevamento di reverse shell | AzioneRilevare | PredefinitoAttivo con Pro | ProdottiMac Linux Linux Server |
| Corrispondenza di pattern nel contenuto dei file | AzioneRilevare | PredefinitoAttivo | ProdottiMac Linux Linux Server |
| Rilevamento delle terminazioni anomale dei worker del server web | AzioneRilevare | PredefinitoAttivo con Pro | ProdottiMac Linux Server |
| Monitoraggio delle registrazioni di avvio automatico | AzioneRilevare | PredefinitoAttivo | ProdottiMac Linux |
| Monitoraggio dell'integrità dei file critici di sistema | AzioneRilevare Registrare | PredefinitoAttivo con Pro | ProdottiMac Linux Server |
| Monitoraggio della manomissione dei lockfile | AzioneRilevare | PredefinitoAttivo con Pro | ProdottiMac |
| Monitoraggio delle modifiche SUID e SGID | AzioneRilevare | PredefinitoAttivo | ProdottiLinux Server |
| Monitoraggio della cancellazione dei log | AzioneRilevare | PredefinitoAttivo | ProdottiLinux Server |
| Audit delle porte esposte | AzioneVerificare | PredefinitoAttivo | ProdottiMac Linux Linux Server |
| Diagnosi della sicurezza del Wi-Fi | AzioneRilevare Verificare | PredefinitoAttivo | ProdottiMac Linux |
| Monitoraggio delle modifiche alla configurazione di rete | AzioneRilevare | PredefinitoAttivo con Pro | ProdottiMac Linux |
| Rilevamento del tunneling DNS | AzioneRilevare | PredefinitoAttivo | ProdottiLinux Server |
| Rilevamento dell'enumerazione di identificatori (Web Access Guard) | AzioneRilevare Bloccare | PredefinitoOpzionale | ProdottiLinux Server |
| Diagnosi della configurazione di SSH e sudo | AzioneVerificare | PredefinitoAttivo | ProdottiMac Linux Linux Server |
| Rilevamento degli avvii pericolosi dei container | AzioneRilevare | PredefinitoOpzionale | ProdottiMac Linux Server |
| Rilevamento dell'esaurimento delle risorse e dei crash | AzioneRilevare | PredefinitoAttivo | ProdottiLinux Server |
| Monitoraggio delle connessioni ai metadati del cloud | AzioneRilevare | PredefinitoAttivo | ProdottiLinux Server |
| Protezione degli account dedicati agli agenti IA | AzioneControllare Rilevare | PredefinitoOpzionale | ProdottiLinux Server |
| Confronto con le vulnerabilità del kernel | AzioneVerificare | PredefinitoAttivo | ProdottiLinux Linux Server |
| Audit della configurazione degli agenti IA | AzioneVerificare Rilevare | PredefinitoAvvio manuale | ProdottiMac Linux Linux Server |
| Avviso di istruzioni mescolate per l'IA | AzioneRilevare | PredefinitoAttivo | ProdottiMac Linux Linux Server |
| Identificazione degli ambienti di esecuzione IA locali | AzioneVerificare | PredefinitoAttivo | ProdottiMac Linux |
| Diagnosi generale della sicurezza | AzioneVerificare Segnalare | PredefinitoAttivo | ProdottiMac Linux Linux Server |
| Diagnosi delle risposte LLMNR e NBNS | AzioneVerificare | PredefinitoAttivo | ProdottiLinux Linux Server |
| Audit dei log di sicurezza | AzioneRilevare Verificare | PredefinitoAttivo con Pro | ProdottiMac Linux Linux Server |
| Esecuzione periodica (PersonalSOC, facoltativa) | AzioneSegnalare | PredefinitoOpzionale | ProdottiPersonalSOC |
| Rilevamento del traffico sospetto nella LAN (Sensor, cattura passiva) | AzioneRilevare | PredefinitoOpzionale | ProdottiSensor |
| Audit periodico e differenze rispetto al precedente (Sensor) | AzioneVerificare Segnalare | PredefinitoOpzionale | ProdottiSensor |
| Rapporti di audit e notifiche (Sensor) | AzioneSegnalare Registrare | PredefinitoOpzionale | ProdottiSensor |
| Inventario dei dispositivi della LAN e monitoraggio ARP | AzioneRilevare Registrare | PredefinitoAttivo | ProdottiSensor |
| Rilevamento di server DHCP e router IPv6 non autorizzati | AzioneRilevare | PredefinitoAttivo | ProdottiSensor |
| Apprendimento del comportamento abituale di ogni dispositivo | AzioneRilevare | PredefinitoAttivo | ProdottiSensor |
| Ronda autonoma periodica | AzioneVerificare | PredefinitoAttivo | ProdottiMac |
| Notifiche urgenti (Telegram, LINE, Webhook) | AzioneSegnalare | PredefinitoOpzionale | ProdottiLinux Server |
Risposta manuale 21
| Funzionalità | Azione | Predefinito | Prodotti |
|---|---|---|---|
| Ripristino dei file precedenti al danno | AzioneControllare Registrare | PredefinitoAttivo | ProdottiMac Linux |
| Rilevamento di chiavi API e chiavi private | AzioneVerificare | PredefinitoAttivo | ProdottiMac Linux Linux Server |
| Verifica dei moduli del kernel usati per l'escalation dei privilegi | AzioneVerificare Controllare | PredefinitoAvvio manuale | ProdottiLinux Linux Server |
| Diagnosi della sicurezza degli URL | AzioneVerificare | PredefinitoAvvio manuale | ProdottiMac Linux |
| Air-Gap (isolamento totale di emergenza) | AzioneIsolare | PredefinitoAvvio manuale | ProdottiMac Linux |
| Confronto con le vulnerabilità note dei pacchetti | AzioneVerificare | PredefinitoAvvio manuale | ProdottiMac Linux Linux Server |
| Accettazione delle vulnerabilità | AzioneControllare Registrare | PredefinitoAvvio manuale | ProdottiMac Linux |
| Verifica del codice eseguito durante l'installazione | AzioneVerificare | PredefinitoAvvio manuale | ProdottiMac Linux |
| Ispezione dell'origine delle dipendenze | AzioneVerificare | PredefinitoAvvio manuale | ProdottiMac |
| Rilevamento di pacchetti con nome simile | AzioneVerificare | PredefinitoAvvio manuale | ProdottiMac Linux |
| Verifica delle firme dei pacchetti npm | AzioneVerificare | PredefinitoOpzionale | ProdottiMac Linux Server |
| Verifica della configurazione MCP | AzioneVerificare | PredefinitoAvvio manuale | ProdottiMac Linux |
| Controllo dei dispositivi di archiviazione USB | AzioneBloccare Controllare | PredefinitoOpzionale | ProdottiMac Linux |
| Prevenzione BadUSB | AzioneBloccare | PredefinitoOpzionale | ProdottiMac Linux |
| Diagnosi delle vulnerabilità con verifica reale | AzioneVerificare | PredefinitoOpzionale | ProdottiMac Linux |
| Analisi dei percorsi di escalation dei privilegi | AzioneVerificare | PredefinitoAvvio manuale | ProdottiPathScope |
| Audit delle vulnerabilità dall'esterno della LAN | AzioneVerificare | PredefinitoAvvio manuale | ProdottiSensor |
| Audit leggero dei dispositivi non installati | AzioneVerificare | PredefinitoOpzionale | ProdottiSensor |
| Disinstallazione reversibile | AzioneControllare | PredefinitoAvvio manuale | ProdottiMac Linux Linux Server |
| Ricevere audit da Sensor | AzioneControllare Verificare | PredefinitoOpzionale | ProdottiLinux Server |
| Associazione e revoca | AzioneControllare | Predefinito— | ProdottiSensor |
Cosa copre e cosa no 52
Per ogni tecnica di attacco (MITRE ATT&CK): rilevata, rilevata in parte o non coperta.
| Tecnica | Mac | Linux | Linux Server |
|---|---|---|---|
| T1027 Obfuscated Files or Information | Mac— | LinuxParziale | Linux ServerParziale |
| T1027.010 Obfuscated Files or Information: Command Obfuscation | MacParziale | Linux— | Linux Server— |
| T1036 Masquerading | MacNon coperta | LinuxNon coperta | Linux ServerNon coperta |
| T1037.004 Boot or Logon Initialization Scripts: RC Scripts | Mac— | LinuxParziale | Linux ServerNon coperta |
| T1046 Network Service Discovery | MacParziale | Linux— | Linux Server— |
| T1053.003 Scheduled Task/Job: Cron | Mac— | LinuxParziale | Linux ServerParziale |
| T1055 Process Injection | MacNon coperta | LinuxParziale | Linux ServerParziale |
| T1055.008 Process Injection: Ptrace System Calls | Mac— | LinuxParziale | Linux ServerParziale |
| T1059.002 Command and Scripting Interpreter: AppleScript | MacParziale | Linux— | Linux Server— |
| T1059.004 Command and Scripting Interpreter: Unix Shell | MacParziale | LinuxParziale | Linux ServerParziale |
| T1068 Exploitation for Privilege Escalation | Mac— | LinuxParziale | Linux ServerParziale |
| T1070.002 Indicator Removal: Clear Linux or Mac System Logs | MacNon coperta | LinuxNon coperta | Linux ServerParziale |
| T1070.003 Indicator Removal: Clear Command History | MacNon coperta | LinuxNon coperta | Linux ServerNon coperta |
| T1070.004 Indicator Removal: File Deletion | Mac— | LinuxParziale | Linux ServerParziale |
| T1071.004 Application Layer Protocol: DNS | Mac— | LinuxParziale | Linux ServerParziale |
| T1091 Replication Through Removable Media | MacParziale | Linux— | Linux Server— |
| T1098.004 Account Manipulation: SSH Authorized Keys | MacParziale | LinuxParziale | Linux ServerParziale |
| T1105 Ingress Tool Transfer | Mac— | LinuxParziale | Linux ServerParziale |
| T1110.001 Brute Force: Password Guessing | MacRilevata | LinuxParziale | Linux ServerParziale |
| T1195.001 Supply Chain Compromise: Compromise Software Dependencies and Development Tools | MacParziale | Linux— | Linux Server— |
| T1200 Hardware Additions | MacParziale | Linux— | Linux Server— |
| T1204.002 User Execution: Malicious File | MacParziale | Linux— | Linux Server— |
| T1204.004 User Execution: Malicious Copy and Paste | MacParziale | Linux— | Linux Server— |
| T1486 Data Encrypted for Impact | MacParziale | LinuxParziale | Linux ServerParziale |
| T1490 Inhibit System Recovery | MacParziale | LinuxParziale | Linux ServerParziale |
| T1505.003 Server Software Component: Web Shell | MacParziale | LinuxParziale | Linux ServerParziale |
| T1543.001 Create or Modify System Process: Launch Agent | MacRilevata | Linux— | Linux Server— |
| T1543.002 Create or Modify System Process: Systemd Service | Mac— | LinuxParziale | Linux ServerParziale |
| T1543.004 Create or Modify System Process: Launch Daemon | MacRilevata | Linux— | Linux Server— |
| T1546.004 Event Triggered Execution: Unix Shell Configuration Modification | MacParziale | LinuxParziale | Linux ServerParziale |
| T1546.016 Event Triggered Execution: Installer Packages | Mac— | LinuxParziale | Linux ServerNon coperta |
| T1546.017 Event Triggered Execution: Udev Rules | Mac— | LinuxParziale | Linux ServerNon coperta |
| T1547.015 Boot or Logon Autostart Execution: Login Items | MacNon coperta | Linux— | Linux Server— |
| T1548.001 Abuse Elevation Control Mechanism: Setuid and Setgid | Mac— | LinuxNon coperta | Linux ServerParziale |
| T1548.003 Abuse Elevation Control Mechanism: Sudo and Sudo Caching | MacParziale | Linux— | Linux Server— |
| T1552.001 Unsecured Credentials: Credentials In Files | MacParziale | LinuxParziale | Linux ServerParziale |
| T1552.005 Unsecured Credentials: Cloud Instance Metadata API | Mac— | LinuxNon coperta | Linux ServerParziale |
| T1553.001 Subvert Trust Controls: Gatekeeper Bypass | MacParziale | Linux— | Linux Server— |
| T1555.001 Credentials from Password Stores: Keychain | MacParziale | Linux— | Linux Server— |
| T1555.003 Credentials from Password Stores: Credentials from Web Browsers | MacParziale | Linux— | Linux Server— |
| T1557.001 Adversary-in-the-Middle: LLMNR/NBT-NS Poisoning and SMB Relay | MacNon coperta | LinuxParziale | Linux ServerNon coperta |
| T1557.002 Adversary-in-the-Middle: ARP Cache Poisoning | MacParziale | LinuxParziale | Linux ServerNon coperta |
| T1557.003 Adversary-in-the-Middle: DHCP Spoofing | MacParziale | LinuxParziale | Linux ServerNon coperta |
| T1562.001 Impair Defenses: Disable or Modify Tools | MacParziale | LinuxParziale | Linux ServerParziale |
| T1562.004 Impair Defenses: Disable or Modify System Firewall | MacNon coperta | LinuxParziale | Linux ServerNon coperta |
| T1562.006 Impair Defenses: Indicator Blocking | MacNon coperta | LinuxNon coperta | Linux ServerParziale |
| T1562.012 Impair Defenses: Disable or Modify Linux Audit System | Mac— | LinuxNon coperta | Linux ServerNon coperta |
| T1566.002 Phishing: Spearphishing Link | MacParziale | Linux— | Linux Server— |
| T1574.004 Hijack Execution Flow: Dylib Hijacking | MacNon coperta | Linux— | Linux Server— |
| T1574.006 Hijack Execution Flow: Dynamic Linker Hijacking | MacParziale | LinuxParziale | Linux ServerParziale |
| T1610 Deploy Container | MacParziale | Linux— | Linux Server— |
| T1620 Reflective Code Loading | Mac— | LinuxParziale | Linux ServerParziale |
«Non coperta» indica che nessun meccanismo rileva quella tecnica.