Difendersi e laboratorio

Capito l'attacco, passiamo alla parte più importante: la difesa. È qui che lavora il blue team, e sono competenze che userai davvero, anche solo per proteggere i tuoi dispositivi.

Le difese che contano

• Non eseguire file di origine sconosciuta. La maggior parte dei keylogger software entra così: allegati, programmi «craccati», finti aggiornamenti. È la difesa numero uno.
• Antivirus / EDR aggiornato. Riconosce i keylogger software già noti. Da solo non basta, ma è una barriera importante.
• Autenticazione a due fattori (2FA). È la difesa più efficace contro il furto di password: anche se un keylogger cattura la tua password, senza il secondo codice (app o SMS) l'attaccante non entra.
• Password manager. Compila le password senza che tu le digiti: un keylogger «da tastiera» non ha nulla da registrare. In più genera password diverse per ogni sito.
• Tastiera virtuale, per le operazioni più delicate su PC di cui non ti fidi: si clicca col mouse invece di digitare (difesa parziale, ma utile).
• Aggiornamenti di sistema. Chiudono le falle che i programmi spia usano per installarsi.
• Attenzione fisica, soprattutto sui computer pubblici: controlla che non ci sia un dispositivo estraneo tra tastiera e PC.

🧩 Nota: una password lunghissima non protegge da un keylogger, perché viene letta mentre la scrivi. La 2FA sì. Per questo oggi la 2FA conta più della lunghezza della password.

Riconoscere i segnali sospetti

Un keylogger software deve restare attivo e comunicare: proprio lì si tradisce. I tre punti dove guardare sono gli stessi tre della fase di attacco.

1. Cosa parte all'avvio. Su Windows: Gestione attività → scheda Avvio, oppure shell:startup per la cartella Esecuzione automatica. Un programma sconosciuto che parte da solo a ogni accensione è sospetto.

2. Quali processi girano. Sempre in Gestione attività, scheda Processi: nomi strani, o nomi quasi-uguali a quelli di sistema (per esempio svch0st con lo zero al posto della o) sono un classico trucco per nascondersi.

3. Quali connessioni ci sono. Dal prompt dei comandi, netstat -b (Windows) mostra quali programmi hanno connessioni di rete aperte e verso dove. Un processo sconosciuto che manda dati verso un indirizzo esterno è un forte indizio di esfiltrazione.

Laboratorio: la connessione remota SSH, usata bene

La fase di esfiltrazione sfrutta una connessione verso un altro computer. Lo strumento «buono» equivalente è SSH (Secure Shell): serve agli amministratori per gestire un computer da remoto, in modo cifrato. È esattamente quello che si usa, per esempio, per amministrare un server di laboratorio.

Faremo l'esercitazione tra due PC del laboratorio, collegati in rete, per imparare l'amministrazione remota lecita — non per spiare nessuno.

Esercitazione A – Collegarsi e amministrare da remoto

Sul PC che fa da «server» si attiva il servizio SSH; dal PC «client» ci si collega:

# dal PC client, collegarsi all'altro PC (al suo indirizzo IP)
ssh studente@192.168.1.50

Una volta dentro, si eseguono comandi innocui sul computer remoto, per capire cosa permette una connessione remota:

hostname          # il nome del computer remoto
whoami            # con quale utente sono collegato
uname -a          # informazioni sul sistema remoto

Obiettivo: capire che chi ha un accesso remoto a una macchina può, di fatto, comandarla. Da qui l'importanza di proteggere quell'accesso.

Esercitazione B – Mettere in sicurezza SSH (hardening)

Questa è la parte da blue team: lo stesso canale, reso sicuro. Sul PC server, nel file /etc/ssh/sshd_config:

PermitRootLogin no          # vietare l'accesso diretto come root
PasswordAuthentication no   # usare le chiavi, non le password
Port 2222                   # non la 22 di default (riduce i tentativi automatici)

E come ulteriore difesa, uno strumento che blocca chi prova tante password sbagliate di fila:

sudo apt install fail2ban   # blocca gli IP dopo troppi tentativi falliti

⚠️ Queste modifiche si fanno solo sui computer del laboratorio o su macchine proprie. Collegarsi via SSH a un computer di altri senza permesso è accesso abusivo (art. 615-ter).

Riepilogo del modulo

• Un ethical hacker studia l'attacco con autorizzazione, per difendere. Senza permesso è un reato.
• Un keylogger registra quello che digiti; esiste in versione hardware e software e agisce in tre fasi: installazione, persistenza, esfiltrazione.
• Si difende con 2FA, password manager, antivirus, aggiornamenti e controllando avvio, processi e connessioni.
• SSH è uno strumento di amministrazione remota legittimo: va usato solo su macchine autorizzate e va messo in sicurezza.

La verifica a risposta multipla ti aspetta su Athena, nell'applicazione Verifiche.

Attività finale