---
title: "Cyber kill chain: capire mindset e strategia di chi attacca"
description: Studiare la cyber kill chain di un attacco significa ricostruire la sequenza di azioni dei cyber criminali così da attivare strumenti di difesa mirati
image: https://magazine.wiit.cloud/hubfs/Cyber%20Kill%20Chain.jpeg
---
- [en](https://www.wiit.cloud/en/investors/)
- [de](https://www.wiit.cloud/de/investoren/)
- it
[  ](https://www.wiit.cloud/)
Menu
- [Services](https://www.wiit.cloud/services/)
- - - [](https://www.wiit.cloud/services/cloud/)
- [Cloud](https://www.wiit.cloud/services/cloud/)
- - [WIIT European Cloud](https://www.wiit.cloud/services/cloud/wiit-european-cloud/)
- [Premium Cloud](https://www.wiit.cloud/services/cloud/premium-cloud/)
- [Premium Private](https://www.wiit.cloud/services/cloud/premium-cloud/premium-private/)
- [Premium MultiCloud](https://www.wiit.cloud/services/cloud/premium-cloud/multicloud/)
- [Public Cloud](https://www.wiit.cloud/services/cloud/premium-cloud/public-cloud/)
- [Multi Tier IV Data Center](https://www.wiit.cloud/services/cloud/premium-cloud/multi-tier-iv-data-center/)
- [Smart Cloud](https://www.wiit.cloud/services/cloud/smart-cloud/)
- [Cloud Migration](https://www.wiit.cloud/services/cloud/cloud-migration/)
- [Virtual Workplace](https://www.wiit.cloud/services/cloud/virtual-workplace/)
- - [](https://www.wiit.cloud/services/business-continuity/)
- [Business Continuity](https://www.wiit.cloud/services/business-continuity/)
- - [Continuous Data Protection](https://www.wiit.cloud/services/business-continuity/continuous-data-protection/)
- [Continuous Process Resilience](https://www.wiit.cloud/services/business-continuity/continuous-process-resilience/)
- [Vault Backup](https://www.wiit.cloud/services/business-continuity/vault-backup/)
- - [](https://www.wiit.cloud/services/cyber-security/)
- [Cyber Security](https://www.wiit.cloud/services/cyber-security/)
- - [Assessment](https://www.wiit.cloud/services/cyber-security/assessment/)
- [SOCaaS](https://www.wiit.cloud/services/cyber-security/soc-aas/)
- [Premium](https://www.wiit.cloud/services/cyber-security/soc-aas/premium/)
- [Smart](https://www.wiit.cloud/services/cyber-security/soc-aas/smart/)
- [Cyber Security Defence](https://www.wiit.cloud/services/cyber-security/cyber-security-defence/)
- [Network Defence](https://www.wiit.cloud/services/cyber-security/cyber-security-defence/network-defence/)
- [Endpoint Protection](https://www.wiit.cloud/services/cyber-security/cyber-security-defence/endpoint-protection/)
- [Privileged Access Management](https://www.wiit.cloud/services/cyber-security/cyber-security-defence/privileged-access-management/)
- [Vulnerability Discovery & Defence](https://www.wiit.cloud/services/cyber-security/cyber-security-defence/vulnerability-discovery-defence/)
- [Message Hardening](https://www.wiit.cloud/services/cyber-security/cyber-security-defence/message-hardening/)
- [Plant & Industrial Security](https://www.wiit.cloud/services/cyber-security/plant-industrial-security/)
- [People Awareness](https://www.wiit.cloud/services/cyber-security/people-awareness/)
- - [](https://www.wiit.cloud/services/saas/)
- [SaaS](https://www.wiit.cloud/services/saas/)
- - [Digital Signing](https://www.wiit.cloud/services/saas/digital-signing/)
- [Collaboration](https://www.wiit.cloud/services/saas/collaboration/)
- [Process Automation](https://www.wiit.cloud/services/saas/process-automation/)
- [Business Process Management](https://www.wiit.cloud/services/saas/business-process-management-bpm/)
- [Enterprise Content Management](https://www.wiit.cloud/services/saas/enterprise-content-management-ecm/)
- [Content Compliance](https://www.wiit.cloud/services/saas/content-compliance/)
- [Customer Communication Management](https://www.wiit.cloud/services/saas/customer-communication-management-ccm/)
- [Software Development](https://www.wiit.cloud/services/saas/software-development/)
- - [](https://www.wiit.cloud/services/secure-cloud/)
- [Secure Cloud](https://www.wiit.cloud/services/secure-cloud/)
- - [Artificial Intelligence](https://www.wiit.cloud/services/secure-cloud/ai-artificial-intelligence/)
- [Enterprise iPaaS](https://www.wiit.cloud/services/secure-cloud/enterprise-ipaas/)
- [Metaverso](https://www.wiit.cloud/services/secure-cloud/metaverso/)
- [IoT](https://www.wiit.cloud/services/secure-cloud/iot/)
- [Industries](https://www.wiit.cloud/industries/)
- - - [](https://www.wiit.cloud/industries/fashion-luxury/)
- [Fashion & Luxury](https://www.wiit.cloud/industries/fashion-luxury/)
- - [](https://www.wiit.cloud/industries/manufacturing/)
- [Manufacturing](https://www.wiit.cloud/industries/manufacturing/)
- - [](https://www.wiit.cloud/industries/professional-services/)
- [Professional Services](https://www.wiit.cloud/industries/professional-services/)
- - [](https://www.wiit.cloud/industries/cpg-retail/)
- [CPG & Retail](https://www.wiit.cloud/industries/cpg-retail/)
- - [](https://www.wiit.cloud/industries/pharma-healthcare/)
- [Pharma & Healthcare](https://www.wiit.cloud/industries/pharma-healthcare/)
- - - [](https://www.wiit.cloud/industries/financial-services/)
- [Financial services](https://www.wiit.cloud/industries/financial-services/)
- - [](https://www.wiit.cloud/industries/energy-utility/)
- [Energy & Utility](https://www.wiit.cloud/industries/energy-utility/)
- - [](https://www.wiit.cloud/industries/telco-media/)
- [Telco & Media](https://www.wiit.cloud/industries/telco-media/)
- - [](https://www.wiit.cloud/industries/food-beverage/)
- [Food & Beverage](https://www.wiit.cloud/industries/food-beverage/)
- [Platform](https://www.wiit.cloud/platform/)
- - - [](https://www.wiit.cloud/platform/mission-critical-platform/)
- [Mission Critical Platform](https://www.wiit.cloud/platform/mission-critical-platform/)
- - [SAP](https://www.wiit.cloud/platform/mission-critical-platform/sap/)
- [Oracle](https://www.wiit.cloud/platform/mission-critical-platform/oracle/)
- [Microsoft Dynamics](https://www.wiit.cloud/platform/mission-critical-platform/microsoft-dynamics/)
- [E-commerce](https://www.wiit.cloud/platform/mission-critical-platform/e-commerce/)
- - [](https://www.wiit.cloud/platform/cloud-technology/)
- [Cloud Technology](https://www.wiit.cloud/platform/cloud-technology/)
- - [Bare Metal](https://www.wiit.cloud/platform/cloud-technology/bare-metal/)
- [IBMi/AIX](https://www.wiit.cloud/platform/cloud-technology/ibm-aix/)
- [Virtual Private Cloud](https://www.wiit.cloud/platform/cloud-technology/virtual-private-cloud/)
- [Virtual Private Cloud - VMware](https://www.wiit.cloud/platform/cloud-technology/virtual-private-cloud/vmware/)
- [Virtual Private Cloud - OpenStack](https://www.wiit.cloud/platform/wiit-cloud-native-platform-wcnp/wiit-openstack/)
- [Hyperconvergence](https://www.wiit.cloud/platform/cloud-technology/hyperconvergence/)
- [Kubernetes](https://www.wiit.cloud/platform/cloud-technology/kubernetes/)
- [AWS](https://www.wiit.cloud/platform/cloud-technology/aws/)
- [Azure](https://www.wiit.cloud/platform/cloud-technology/azure/)
- [Google Cloud](https://www.wiit.cloud/platform/cloud-technology/google-cloud/)
- - [](https://www.wiit.cloud/platform/collaboration/)
- [Collaboration](https://www.wiit.cloud/platform/collaboration/)
- - [Microsoft Sharepoint](https://www.wiit.cloud/platform/collaboration/microsoft-sharepoint/)
- [Microsoft 365](https://www.wiit.cloud/platform/collaboration/microsoft-365/)
- - [](https://www.wiit.cloud/platform/wiit-cloud-native-platform-wcnp/)
- [Piattaforma Cloud Native WIIT – WCNP](https://www.wiit.cloud/platform/wiit-cloud-native-platform-wcnp/)
- - [Openstack](https://www.wiit.cloud/platform/wiit-cloud-native-platform-wcnp/wiit-openstack/)
- [Kubernetes Platform](https://www.wiit.cloud/platform/wiit-cloud-native-platform-wcnp/wiit-kubernetes-platform/)
- [European Cloud Vault](https://www.wiit.cloud/platform/wiit-cloud-native-platform-wcnp/european-cloud-vault/)
- [Elastic Cloud](https://www.wiit.cloud/platform/wiit-cloud-native-platform-wcnp/elastic-cloud-enterprise/)
- [DB as a Service](https://www.wiit.cloud/platform/wiit-cloud-native-platform-wcnp/wiit-database-as-a-service/)
- [Magazine](https://magazine.wiit.cloud/)
- [Company](https://www.wiit.cloud/company/)
- - - - [About](https://www.wiit.cloud/company/about/)
- [Il Gruppo WIIT](https://www.wiit.cloud/company/about/il-gruppo-wiit/)
- [Mission e Valori](https://www.wiit.cloud/company/about/mission-e-valori/)
- [Strategia](https://www.wiit.cloud/company/about/strategia/)
- [Cloud4Europe](https://www.wiit.cloud/company/about/cloud4europe/)
- [Certificazioni](https://www.wiit.cloud/company/about/certificazioni/)
- [Premi e Riconoscimenti](https://www.wiit.cloud/company/about/premi-e-riconoscimenti/)
- - - [Sustainability](https://www.wiit.cloud/sustainability/)
- [The Premium Cloud](https://www.wiit.cloud/sustainability/the-premium-cloud/)
- [WIIT 4 Innovation](https://www.wiit.cloud/sustainability/wiit-4-innovation/)
- [WIIT 4 Climate](https://www.wiit.cloud/sustainability/wiit-4-climate/)
- [WIIT 4 People](https://www.wiit.cloud/sustainability/wiit-4-people/)
- [Obiettivi 2030](https://www.wiit.cloud/sustainability/obiettivi-2030/)
- [ESG Governance](https://www.wiit.cloud/sustainability/esg-governance/)
- [ESG Rating](https://www.wiit.cloud/sustainability/esg-rating/)
- [Documenti](https://www.wiit.cloud/sustainability/documenti/)
- - - [Governance](https://www.wiit.cloud/company/corporate-governance/)
- [Board of Directors](https://www.wiit.cloud/company/corporate-governance/board-of-directors/)
- [Collegio Sindacale](https://www.wiit.cloud/company/corporate-governance/collegio-sindacale/)
- [Società di Revisione](https://www.wiit.cloud/company/corporate-governance/societa-di-revisione/)
- [Comitati Endoconsiliari](https://www.wiit.cloud/company/corporate-governance/comitati-endoconsiliari/)
- [Organo di Vigilanza e Codice Etico](https://www.wiit.cloud/company/corporate-governance/organo-di-vigilanza-e-codice-etico/)
- [Assemblea degli Azionisti](https://www.wiit.cloud/company/corporate-governance/assemblea-degli-azionisti/)
- [Voto maggiorato](https://www.wiit.cloud/company/corporate-governance/voto-maggiorato/)
- [Documenti](https://www.wiit.cloud/company/corporate-governance/documenti/)
- [Whistleblowing](https://wiit.openblow.it/#/)
- - - [Media & Events](https://www.wiit.cloud/company/media-events/)
- [Campagne](https://www.wiit.cloud/company/media-events/campagne/)
- [Eventi](https://www.wiit.cloud/company/media-events/eventi/)
- [News](https://www.wiit.cloud/categorie/news/)
- [Rassegna Stampa](https://www.wiit.cloud/categorie/rassegna-stampa/)
- [Video](https://www.wiit.cloud/company/media-events/video/)
- [White Papers](https://www.wiit.cloud/company/media-events/white-papers/)
- [Investors](https://www.wiit.cloud/investors/)
- [People & Careers](https://www.wiit.cloud/people-careers/)
- - - [](https://www.wiit.cloud/people-careers/)
- [People & Careers](https://www.wiit.cloud/people-careers/)
- - [](https://www.wiit.cloud/people-careers/our-people-culture/)
- [Our People & Culture](https://www.wiit.cloud/people-careers/our-people-culture/)
- - [](https://www.wiit.cloud/people-careers/wiit-academy/)
- [WIIT Academy](https://www.wiit.cloud/people-careers/wiit-academy/)
- - [](https://www.wiit.cloud/people-careers/job-opportunities/)
- [Job opportunities](https://www.wiit.cloud/people-careers/job-opportunities/)
- [Partner Program WCS](https://www.wiit.cloud/wcs/partnerprogram/)
- - - [](https://www.wiit.cloud/wcs/)
- [WIIT Channel Services (WCS)](https://www.wiit.cloud/wcs/)
- [](https://www.wiit.cloud/wcs/partnerprogram/)
- [Partner Program WCS](https://www.wiit.cloud/wcs/partnerprogram/)
- - [](https://www.wiit.cloud/wcs/services/)
- [Servizi WCS](https://www.wiit.cloud/wcs/services/)
- - [WCS per Telco](https://www.wiit.cloud/wcs/telco/)
- [WCS per Software House](https://www.wiit.cloud/wcs/softwarehouse/)
- [WCS per System Integrator](https://www.wiit.cloud/wcs/systemintegrator/)
- [WCS per Società di consulenza](https://www.wiit.cloud/wcs/consulting/)
- [Contatta un consulente](https://magazine.wiit.cloud/sales/?hsLang=it)
- [Services](https://www.wiit.cloud/services/)
- [WIIT European Cloud](https://www.wiit.cloud/services/cloud/wiit-european-cloud/)
- [Cloud](https://www.wiit.cloud/services/cloud/)
- [Business Continuity](https://www.wiit.cloud/services/business-continuity/)
- [Cyber Security](https://www.wiit.cloud/services/cyber-security/)
- [SaaS](https://www.wiit.cloud/services/saas/)
- [Secure Cloud](https://www.wiit.cloud/services/secure-cloud/)
- [Partner Program WCS](https://www.wiit.cloud/wcs/partnerprogram/)
- [WIIT Channel Services](https://www.wiit.cloud/wcs/)
- [Partner Program WCS](https://www.wiit.cloud/wcs/partnerprogram/)
- [Servizi WCS](https://www.wiit.cloud/wcs/services/)
- [WCS per Telco](https://www.wiit.cloud/wcs/telco/)
- [WCS per Software House](https://www.wiit.cloud/wcs/softwarehouse/)
- [WCS per System Integrator](https://www.wiit.cloud/wcs/systemintegrator/)
- [WCS per Società di consulenza](https://www.wiit.cloud/wcs/consulting/)
- [Industries](https://www.wiit.cloud/industries/)
- [Fashion & Luxury](https://www.wiit.cloud/industries/fashion-luxury/)
- [Manufacturing](https://www.wiit.cloud/industries/manufacturing/)
- [Professional Services](https://www.wiit.cloud/industries/professional-services/)
- [CPG & Retail](https://www.wiit.cloud/industries/cpg-retail/)
- [Pharma & Healthcare](https://www.wiit.cloud/industries/pharma-healthcare/)
- [Financial services](https://www.wiit.cloud/industries/financial-services/)
- [Energy & Utility](https://www.wiit.cloud/industries/energy-utility/)
- [Telco & Media](https://www.wiit.cloud/industries/telco-media/)
- [Food & Beverage](https://www.wiit.cloud/industries/food-beverage/)
- [Platform](https://www.wiit.cloud/platform/)
- [Mission Critical Platform](https://www.wiit.cloud/platform/mission-critical-platform/)
- [Cloud Technology](https://www.wiit.cloud/platform/cloud-technology/)
- [Collaboration](https://www.wiit.cloud/platform/collaboration/)
- [Cloud Native Platform](https://www.wiit.cloud/platform/wiit-cloud-native-platform-wcnp/)
- [Magazine](https://magazine.wiit.cloud/)
- [Company](https://www.wiit.cloud/company/)
- [About](https://www.wiit.cloud/company/about/)
- [Corporate Governance](https://www.wiit.cloud/company/corporate-governance/)
- [Sustainability](https://www.wiit.cloud/sustainability/)
- [Media & Events](https://www.wiit.cloud/company/media-events/)
- [Investors](https://www.wiit.cloud/investors/)
- [People & Careers](https://www.wiit.cloud/people-careers/)
- [Our People & Culture](https://www.wiit.cloud/people-careers/our-people-culture/)
- [WIIT Academy](https://www.wiit.cloud/people-careers/wiit-academy/)
- [Job opportunities](https://www.wiit.cloud/people-careers/job-opportunities/)
- [Contatta un consulente](https://www.wiit.cloud/sales/)
">
# Cyber kill chain: capire mindset e strategia di chi attacca
WIIT | Oct 31, 2023
Categorie: [Cyber Security](https://magazine.wiit.cloud/tag/cyber-security)
“**Think like an attacker**”, dicono gli esperti. Mettersi nei panni dell’autore di un attacco informatico e analizzarne il comportamento è considerato ancora oggi il modo migliore per **individuare le tattiche, le tecniche e le procedure (TTP)** messe in atto dai cyber criminali per colpire un’organizzazione. Pensare come un attaccante significa infatti poterne **anticipare le strategie**. Conoscere le diverse fasi che caratterizzano i più comuni metodi di attacco permette di **riconoscere potenziali segnali di compromissione** e di individuare i punti in cui il team di sicurezza può prevenire, intercettare o bloccare l’attacco.
Si tratta di seguire la cosiddetta **cyber kill chain**, teorizzata nel 2011 in ambito militare da Lockheed Martin per identificare e prevenire le intrusioni informatiche. Il modello, che rappresenta un adattamento della kill chain militare, permette di **ricostruire la sequenza di azioni compiute dagli attaccanti**, adottando un approccio graduale che identifica e blocca le attività del nemico. A ogni fase nella progressione dell’attacco, corrisponde infatti anche **un’azione difensiva mirata**.
## Le 7 fasi che compongono la cyber kill chain
|  | La prima fase è la **reconnaissance**, o ricognizione. Gli attaccanti cercano di raccogliere tutte le informazioni possibili sull’organizzazione-obiettivo, per **individuare eventuali vulnerabilità** che possano essere sfruttate. Vanno a caccia di indirizzi e-mail, credenziali, indirizzi IP specifici e di ogni traccia (footprint) lasciata in rete: l’obiettivo è costruire una mappa dell’infrastruttura, per trovare la migliore via d’accesso ai sistemi. |
| --- | --- |
|  | Una volta effettuata la ricognizione, è tempo di armarsi. Nella fase di **weaponization**, gli attaccanti **scelgono le tecniche più adatte** per sfruttare le vulnerabilità che hanno individuato e **costruiscono un vettore di attacco**, disegnando il malware su misura per il sistema operativo che intendono prendere di mira. |
|  | Questo viene poi **diffuso nel sistema della vittima** attraverso la fase di **delivery**, con l’invio di mail o allegati infetti (phishing) o la creazione di siti web malevoli. |
|  | Stabilito un contatto con i sistemi dell’azienda, gli attaccanti cercheranno di infiltrarsi ulteriormente nella rete sfruttando le vulnerabilità della stessa. È la fase di **exploitation**: i **movimenti laterali** sono funzionali a **estendere il perimetro di attacco** e a cercare di passare inosservati ai dispositivi di rilevamento. |
|  | Con l’**installation**, poi, si procede all’**installazione di malware e altri software** che rendano la minaccia persistente, garantendo all’attaccante l’accesso costante al sistema. |
|  | La sesta fase è denominata **command and control** e coincide con il momento in cui **l’attaccante prende il controllo del sistema**: è in grado di ordinare l’esecuzione di comandi da remoto, anche sfruttando software legittimi, per proseguire l’intrusione. |
|  | Infine, c’è l’ultima fase, **actions on objectives**: l’attaccante ha raggiunto il suo obiettivo e può **esfiltrare i dati dell’organizzazione, modificarli, crittografarli o anche divulgarli** all’esterno. |
## Capire le metodologie di attacco per difendersi meglio
Per evitare che si arrivi a questo risultato, è utile entrare nella mente dell’attaccante.
Non a caso, gran parte del lavoro degli analisti della sicurezza è dedicato all’identificazione dei responsabili di un attacco informatico. **Capire chi si cela dietro alla minaccia** aiuta infatti a comprenderne e – se possibile – anticiparne le mosse. Al di là delle rivendicazioni o delle richieste di riscatto, esistono infatti dei **tratti comuni nelle metodologie di attacco** che permettono di individuarne l’autore.
Puntano soprattutto ad aziende e organizzazioni governative, con finalità di spionaggio o furto di dati, gli attaccanti **Nation State**. Tra i più pericolosi e distruttivi, sono anche difficili da individuare. Si tratta di gruppi che utilizzano le proprie competenze tecnologiche per facilitare **hacking, sabotaggi, disinformazione** e altre operazioni per conto di un Paese. Possono far parte di un apparato statale ufficiale o essere ingaggiati dal Governo per una specifica operazione. Di solito **hanno accesso arisorse significative** e sono in grado di progettare ed eseguire campagne molto sofisticate, ricorrendo ad **Advanced Persistent Threat** (APT) e attacchi alle infrastrutture nazionali critiche.
Se gli attaccanti Nation State sono allineati allo Stato di cui fanno gli interessi, gli **Hacktivist** sostengono di agire piuttosto per un ideale. Non si dedicano al cybercrime per trarne un profitto, ma per combattere **una battaglia politica o sociale** e per farlo non esitano a divulgare informazioni riservate o confidenziali, sostituire le pagine di un sito con altri contenuti e mettere fuori uso i sistemi informatici di organizzazioni private e pubbliche. Utilizzano, infatti, tattiche come il **doxxing**, il **defacement** e gli **attacchi DDoS**. Spesso prendono di mira interi settori, ma attaccano anche organizzazioni specifiche ritenute non “allineate” con le loro idee.
L’estorsione, soprattutto per mezzo di attacchi ransomware, è invece il tratto distintivo degli **eCrime actors**. Votati al profitto economico, operano come una vera e propria **organizzazione criminale a scopo di lucro**. Le aziende rappresentano l’obiettivo privilegiato: i cybercriminali si concentrano sul **furto di dati** aziendali sensibili o di informazioni personali dei clienti e utilizzano strumenti sofisticati per colpire i sistemi vulnerabili e ottenerne un ritorno economico.
[](https://hubspot-cta-redirect-eu1-prod.s3.amazonaws.com/cta/redirect/4265653/49520418-f2a1-4277-ad0e-dcc288a1a2cc)
Conoscere le mosse e il mindset dei diversi attaccanti permette di ricostruire la cyber kill chain nelle sue fasi. Analizzandole, **le organizzazioni possono:**
- **valutare la propria esposizione** alle diverse forme di compromissione,
- identificare le tipologie più probabili di minacce che potrebbero metterle nel mirino
- stimare l’impatto degli attacchi,
in modo da [**concentrare le risorse per una difesa più efficace**](https://magazine.wiit.cloud/security-budget-come-gestirlo-in-tempo-di-crisi?hsLang=it).
Per rendere più difficile il lavoro dei criminali informatici è importante, perciò, **lavorare su tutte e sette le fasi** della cyber kill chain. Impedire la ricognizione richiede un’attenzione elevata sull’[awareness](https://magazine.wiit.cloud/security-awareness-come-farla-davvero-efficace?hsLang=it) e la [formazione del personale](https://magazine.wiit.cloud/4-trend-di-security-awareness-dalla-gamification-alle-simulazioni?hsLang=it), per tutelarne identità e credenziali. **Monitorare la rete e il comportamento degli utenti** è fondamentale per rilevare attività sospette e impedire la raccolta di informazioni da parte dei cyber criminali, così come cicli di **Vulnerability Management** **e Risk assessment** possono aiutare a identificare i possibili punti di accesso alla rete e suggerire le contromisure più adeguate.
È fondamentale in questo senso il lavoro dei Cyber Defense Center (in precedenza noto come [Security Operation Center - SOC](https://magazine.wiit.cloud/security-operation-center-perch%C3%A9-non-tutti-i-provider-sono-uguali)), interni o esterni all’azienda. Gli esperti di sicurezza sono infatti chiamati ad analizzare gli **eventi rilevati dalle soluzioni SIEM** (Security Information and Event Management), che tracciano le attività di rete di utenti, dispositivi e applicazioni, in modo da **collocarli lungo la cyber kill chain** per individuare il livello di progressione dell’attacco. Correlare gli eventi rilevati con la cyber kill chain permette non solo di **individuare segnali precoci** di attacco, ma anche di **comprendere il livello di gravità** della minaccia in corso e agire di conseguenza per bloccarla.
Se gli attaccanti vanno a caccia di informazioni, le organizzazioni dovrebbero fare lo stesso con le minacce. Soluzioni di **threat hunting** e **cyber threat intelligence** permettono di avere accesso ad informazioni esterne al perimetro aziendale che possono far comprendere le intenzioni dei cyber criminali e calcolare il rischio di un attacco. Consentendo di **intercettare le minacce in una fase anticipata**, questi strumenti permettono anche di adottare soluzioni di difesa specifiche contro le diverse “armi” in dotazione ai cyber criminali.
Il **monitoraggio del perimetro aziendale** – rete, identità ed endpoint – tramite il Cyber Defense Center resta il principale strumento di difesa contro le fasi più avanzate della cyber kill chain. Adottare in modo combinato soluzioni di **network ed endpoint security**, insieme a una più attenta **gestione degli accessi e delle identità**, permette di rilevare in ogni momento eventuali movimenti laterali e comportamenti sospetti, anticipando le mosse dell’attaccante e bloccando ogni tentativo di penetrare nei sistemi aziendali.
Le tempistiche sono, infatti, diventate sempre più stringenti. Se fino a qualche anno fa occorrevano giorni per portare a termine un attacco informatico, **oggi è questione di minuti: sono circa 80 quelli necessari affinché un attacco vada a segno**, anche con un impatto notevole. Pochi minuti devono servire, dunque, anche per riconoscere l’attacco, bloccarlo in modo automatizzato e organizzare al meglio la risposta.
Ecco perché le competenze dei security analyst vanno affiancate da **soluzioni di sicurezza integrate tra loro**, che sfruttinol’**automazione** e l’**intelligenza artificiale**persemplificaree velocizzare le attività di rilevamento, analisi e risposta alle minacce. Tali soluzioni sono, infatti, in grado di **contestualizzare e unificare i segnali** lasciati sul campo dagli attaccanti mentre si muovono lateralmente all’interno del sistema, permettendo di ricostruire velocemente la cyber kill chain e di combattere gli aggressori con la stessa rapidità.
[](https://hubspot-cta-redirect-eu1-prod.s3.amazonaws.com/cta/redirect/4265653/975e4db4-e0e1-4899-8061-026062ad518e)
[Post precedente Zero Trust: le sfide da superare per una strategia di successo](https://magazine.wiit.cloud/zero-trust-le-sfide-da-superare-per-una-strategia-di-successo?hsLang=it) [Post successivo Infrastruttura cloud: 4 regole d'oro per proteggere i processi core](https://magazine.wiit.cloud/infrastruttura-cloud-4-regole-doro-per-proteggere-i-processi-core?hsLang=it)
### Iscriviti alla Newsletter
- Popolari
- Recenti
- [Guida ai Tier data center e ai livelli Rated: classificazione Uptime Institute e ANSI/TIA-942](https://magazine.wiit.cloud/guida-ai-tier-data-center-classificazione-tier-i-ii-iii-iv?hsLang=it)
- [Data Center per aziende: cos'è, classificazioni e costi](https://magazine.wiit.cloud/guida-ai-data-center-classificazioni-usi-e-costi?hsLang=it)
- [Sovranità digitale in Europa: a che punto siamo](https://magazine.wiit.cloud/sovranit%C3%A0-digitale-in-europa-a-che-punto-siamo?hsLang=it)
- [Security awareness: cos’è e come costruire una cultura cyber efficace](https://magazine.wiit.cloud/security-awareness-come-farla-davvero-efficace?hsLang=it)
- [Green data center: cos’è e perché è centrale per la sostenibilità aziendale](https://magazine.wiit.cloud/il-ruolo-del-green-data-center-nella-sostenibilit%C3%A0-aziendale?hsLang=it)
- [](https://magazine.wiit.cloud/security-assessment-come-capire-falle-e-rischi?hsLang=it)
[Security Assessment: come capire falle e rischi](https://magazine.wiit.cloud/security-assessment-come-capire-falle-e-rischi?hsLang=it) Sep 02, 2026
- [](https://magazine.wiit.cloud/security-awareness-come-farla-davvero-efficace?hsLang=it)
[Security awareness: cos’è e come costruire una cultura cyber efficace](https://magazine.wiit.cloud/security-awareness-come-farla-davvero-efficace?hsLang=it) Aug 05, 2026
- [](https://magazine.wiit.cloud/cloud-europeo-e-hyperscaler-complementari-o-contrapposti-i-6-elementi-da-valutare?hsLang=it)
[Cloud europeo e hyperscaler: complementari o contrapposti? I 6 elementi da valutare](https://magazine.wiit.cloud/cloud-europeo-e-hyperscaler-complementari-o-contrapposti-i-6-elementi-da-valutare?hsLang=it) Jul 07, 2026
- [](https://magazine.wiit.cloud/guida-ai-tier-data-center-classificazione-tier-i-ii-iii-iv?hsLang=it)
[Guida ai Tier data center e ai livelli Rated: classificazione Uptime Institute e ANSI/TIA-942](https://magazine.wiit.cloud/guida-ai-tier-data-center-classificazione-tier-i-ii-iii-iv?hsLang=it) Jul 01, 2026
- [](https://magazine.wiit.cloud/infrastructure-as-code-pi%C3%B9-agilit%C3%A0-e-sicurezza-nel-provisioning-dellinfrastruttura?hsLang=it)
[Infrastructure as Code: più agilità e sicurezza nel provisioning dell'infrastruttura](https://magazine.wiit.cloud/infrastructure-as-code-pi%C3%B9-agilit%C3%A0-e-sicurezza-nel-provisioning-dellinfrastruttura?hsLang=it) May 27, 2026
### Categorie
- [Awards (1)](https://magazine.wiit.cloud/tag/awards)
- [Blockchain (1)](https://magazine.wiit.cloud/tag/blockchain)
- [Business Continuity (13)](https://magazine.wiit.cloud/tag/business-continuity)
- [Cloud (30)](https://magazine.wiit.cloud/tag/cloud)
- [Data Center (4)](https://magazine.wiit.cloud/tag/data-center)
- [GDPR (1)](https://magazine.wiit.cloud/tag/gdpr)
- [Intelligenza Artificiale (1)](https://magazine.wiit.cloud/tag/intelligenza-artificiale)
- [SAP (7)](https://magazine.wiit.cloud/tag/sap)
- [Trasformazione Digitale (6)](https://magazine.wiit.cloud/tag/trasformazione-digitale)
Vedi tutte
[](https://www.wiit.cloud/)
WIIT Group
Via dei Mercanti 12 20121 Milano (MI) [+39 02 366 075 00](tel:+390236607500) [+39 02 366 075 05](tel:+390236607505) [info@wiit.cloud](mailto:info@wiit.cloud) P.IVA 01615150214 Capitale Sociale 2.802.066 i.v. REA Milano n. 1654427
-
-
-
-
- [Privacy policy](https://www.wiit.cloud/privacy-policy/)
- [Cookie Policy](https://www.wiit.cloud/cookie-policy/)
- [Whistleblowing](https://wiit.openblow.it/#/)
- [Informativa candidati](https://www.wiit.cloud/wp-content/uploads/2022/03/20220307_WIIT_Informativa-candidati.pdf)
- [Informativa categorie protette](https://www.wiit.cloud/wp-content/uploads/2023/02/20220307_WIIT_Informativa-candidati_categorie-protette.pdf)
```json
{
"@context" : "https://schema.org",
"@type" : "BlogPosting",
"author" : {
"@type" : "Person",
"name" : "WIIT",
"url" : "https://magazine.wiit.cloud/author/wiit"
},
"dateModified" : "2025-04-30T12:33:52.861Z",
"datePublished" : "2023-10-31T09:16:00.000Z",
"headline" : "Cyber kill chain: capire mindset e strategia di chi attacca",
"image" : [ "https://magazine.wiit.cloud/hubfs/Cyber%20Kill%20Chain.jpeg" ],
"mainEntityOfPage" : {
"@id" : "https://magazine.wiit.cloud/cyber-kill-chain-capire-mindset-e-strategia-di-chi-attacca",
"@type" : "WebPage"
},
"publisher" : {
"@type" : "Organization",
"logo" : {
"@type" : "ImageObject",
"url" : "https://magazine.wiit.cloud/hubfs/wiit-logo-2021-white.png"
},
"name" : "WIIT Spa"
}
}
```
```json
{
"@context" : "https://schema.org",
"@type" : "Article",
"about" : {
"@type" : "Thing",
"name" : "Cyber Security"
},
"articleBody" : "“Think like an attacker”, dicono gli esperti. Mettersi nei panni dell’autore di un attacco informatico e analizzarne il comportamento è considerato ancora oggi il modo migliore per individuare le tattiche, le tecniche e le procedure (TTP) messe in atto dai cyber criminali per colpire un’organizzazione. Pensare come un attaccante significa infatti poterne anticipare le strategie. Conoscere le diverse fasi che caratterizzano i più comuni metodi di attacco permette di riconoscere potenziali segnali di compromissione e di individuare i punti in cui il team di sicurezza può prevenire, intercettare o bloccare l’attacco. Si tratta di seguire la cosiddetta cyber kill chain, teorizzata nel 2011 in ambito militare da Lockheed Martin per identificare e prevenire le intrusioni informatiche. Il modello, che rappresenta un adattamento della kill chain militare, permette di ricostruire la sequenza di azioni compiute dagli attaccanti, adottando un approccio graduale che identifica e blocca le attività del nemico. A ogni fase nella progressione dell’attacco, corrisponde infatti anche un’azione difensiva mirata. Le 7 fasi che compongono la cyber kill chain La prima fase è la reconnaissance, o ricognizione. Gli attaccanti cercano di raccogliere tutte le informazioni possibili sull’organizzazione-obiettivo, per individuare eventuali vulnerabilità che possano essere sfruttate. Vanno a caccia di indirizzi e-mail, credenziali, indirizzi IP specifici e di ogni traccia (footprint) lasciata in rete: l’obiettivo è costruire una mappa dell’infrastruttura, per trovare la migliore via d’accesso ai sistemi. Una volta effettuata la ricognizione, è tempo di armarsi. Nella fase di weaponization, gli attaccanti scelgono le tecniche più adatte per sfruttare le vulnerabilità che hanno individuato e costruiscono un vettore di attacco, disegnando il malware su misura per il sistema operativo che intendono prendere di mira. Questo viene poi diffuso nel sistema della vittima attraverso la fase di delivery, con l’invio di mail o allegati infetti (phishing) o la creazione di siti web malevoli. Stabilito un contatto con i sistemi dell’azienda, gli attaccanti cercheranno di infiltrarsi ulteriormente nella rete sfruttando le vulnerabilità della stessa. È la fase di exploitation: i movimenti laterali sono funzionali a estendere il perimetro di attacco e a cercare di passare inosservati ai dispositivi di rilevamento. Con l’installation, poi, si procede all’installazione di malware e altri software che rendano la minaccia persistente, garantendo all’attaccante l’accesso costante al sistema. La sesta fase è denominata command and control e coincide con il momento in cui l’attaccante prende il controllo del sistema: è in grado di ordinare l’esecuzione di comandi da remoto, anche sfruttando software legittimi, per proseguire l’intrusione. Infine, c’è l’ultima fase, actions on objectives: l’attaccante ha raggiunto il suo obiettivo e può esfiltrare i dati dell’organizzazione, modificarli, crittografarli o anche divulgarli all’esterno. Capire le metodologie di attacco per difendersi meglio Per evitare che si arrivi a questo risultato, è utile entrare nella mente dell’attaccante. Non a caso, gran parte del lavoro degli analisti della sicurezza è dedicato all’identificazione dei responsabili di un attacco informatico. Capire chi si cela dietro alla minaccia aiuta infatti a comprenderne e – se possibile – anticiparne le mosse. Al di là delle rivendicazioni o delle richieste di riscatto, esistono infatti dei tratti comuni nelle metodologie di attacco che permettono di individuarne l’autore. Puntano soprattutto ad aziende e organizzazioni governative, con finalità di spionaggio o furto di dati, gli attaccanti Nation State. Tra i più pericolosi e distruttivi, sono anche difficili da individuare. Si tratta di gruppi che utilizzano le proprie competenze tecnologiche per facilitare hacking, sabotaggi, disinformazione e altre operazioni per conto di un Paese. Possono far parte di un apparato statale ufficiale o essere ingaggiati dal Governo per una specifica operazione. Di solito hanno accesso a risorse significative e sono in grado di progettare ed eseguire campagne molto sofisticate, ricorrendo ad Advanced Persistent Threat (APT) e attacchi alle infrastrutture nazionali critiche. Se gli attaccanti Nation State sono allineati allo Stato di cui fanno gli interessi, gli Hacktivist sostengono di agire piuttosto per un ideale. Non si dedicano al cybercrime per trarne un profitto, ma per combattere una battaglia politica o sociale e per farlo non esitano a divulgare informazioni riservate o confidenziali, sostituire le pagine di un sito con altri contenuti e mettere fuori uso i sistemi informatici di organizzazioni private e pubbliche. Utilizzano, infatti, tattiche come il doxxing, il defacement e gli attacchi DDoS. Spesso prendono di mira interi settori, ma attaccano anche organizzazioni specifiche ritenute non “allineate” con le loro idee. L’estorsione, soprattutto per mezzo di attacchi ransomware, è invece il tratto distintivo degli eCrime actors. Votati al profitto economico, operano come una vera e propria organizzazione criminale a scopo di lucro. Le aziende rappresentano l’obiettivo privilegiato: i cybercriminali si concentrano sul furto di dati aziendali sensibili o di informazioni personali dei clienti e utilizzano strumenti sofisticati per colpire i sistemi vulnerabili e ottenerne un ritorno economico. Conoscere le mosse e il mindset dei diversi attaccanti permette di ricostruire la cyber kill chain nelle sue fasi. Analizzandole, le organizzazioni possono: valutare la propria esposizione alle diverse forme di compromissione, identificare le tipologie più probabili di minacce che potrebbero metterle nel mirino stimare l’impatto degli attacchi, in modo da concentrare le risorse per una difesa più efficace. Per rendere più difficile il lavoro dei criminali informatici è importante, perciò, lavorare su tutte e sette le fasi della cyber kill chain. Impedire la ricognizione richiede un’attenzione elevata sull’awareness e la formazione del personale, per tutelarne identità e credenziali. Monitorare la rete e il comportamento degli utenti è fondamentale per rilevare attività sospette e impedire la raccolta di informazioni da parte dei cyber criminali, così come cicli di Vulnerability Management e Risk assessment possono aiutare a identificare i possibili punti di accesso alla rete e suggerire le contromisure più adeguate. È fondamentale in questo senso il lavoro dei Cyber Defense Center (in precedenza noto come Security Operation Center - SOC), interni o esterni all’azienda. Gli esperti di sicurezza sono infatti chiamati ad analizzare gli eventi rilevati dalle soluzioni SIEM (Security Information and Event Management), che tracciano le attività di rete di utenti, dispositivi e applicazioni, in modo da collocarli lungo la cyber kill chain per individuare il livello di progressione dell’attacco. Correlare gli eventi rilevati con la cyber kill chain permette non solo di individuare segnali precoci di attacco, ma anche di comprendere il livello di gravità della minaccia in corso e agire di conseguenza per bloccarla. Se gli attaccanti vanno a caccia di informazioni, le organizzazioni dovrebbero fare lo stesso con le minacce. Soluzioni di threat hunting e cyber threat intelligence permettono di avere accesso ad informazioni esterne al perimetro aziendale che possono far comprendere le intenzioni dei cyber criminali e calcolare il rischio di un attacco. Consentendo di intercettare le minacce in una fase anticipata, questi strumenti permettono anche di adottare soluzioni di difesa specifiche contro le diverse “armi” in dotazione ai cyber criminali. Il monitoraggio del perimetro aziendale – rete, identità ed endpoint – tramite il Cyber Defense Center resta il principale strumento di difesa contro le fasi più avanzate della cyber kill chain. Adottare in modo combinato soluzioni di network ed endpoint security, insieme a una più attenta gestione degli accessi e delle identità, permette di rilevare in ogni momento eventuali movimenti laterali e comportamenti sospetti, anticipando le mosse dell’attaccante e bloccando ogni tentativo di penetrare nei sistemi aziendali. Le tempistiche sono, infatti, diventate sempre più stringenti. Se fino a qualche anno fa occorrevano giorni per portare a termine un attacco informatico, oggi è questione di minuti: sono circa 80 quelli necessari affinché un attacco vada a segno, anche con un impatto notevole. Pochi minuti devono servire, dunque, anche per riconoscere l’attacco, bloccarlo in modo automatizzato e organizzare al meglio la risposta. Ecco perché le competenze dei security analyst vanno affiancate da soluzioni di sicurezza integrate tra loro, che sfruttino l’automazione e l’intelligenza artificiale per semplificare e velocizzare le attività di rilevamento, analisi e risposta alle minacce. Tali soluzioni sono, infatti, in grado di contestualizzare e unificare i segnali lasciati sul campo dagli attaccanti mentre si muovono lateralmente all’interno del sistema, permettendo di ricostruire velocemente la cyber kill chain e di combattere gli aggressori con la stessa rapidità.",
"author" : {
"@type" : "Person",
"name" : "WIIT",
"sameAs" : [ "https://www.linkedin.com/company/wiit/" ],
"url" : "https://magazine.wiit.cloud/author/wiit"
},
"dateModified" : "1746016432866",
"datePublished" : "2023-10-31 09:16:00",
"description" : "Studiare la cyber kill chain di un attacco significa ricostruire la sequenza di azioni dei cyber criminali così da attivare strumenti di difesa mirati",
"editor" : {
"@type" : "Person",
"name" : "WIIT"
},
"headline" : "Cyber kill chain: capire mindset e strategia di chi attacca",
"image" : {
"@type" : "ImageObject",
"height" : 675,
"url" : "https://magazine.wiit.cloud/hubfs/Cyber%20Kill%20Chain.jpeg",
"width" : 1200
},
"inLanguage" : "it-IT",
"isAccessibleForFree" : true,
"mainEntityOfPage" : {
"@id" : "https://magazine.wiit.cloud/cyber-kill-chain-capire-mindset-e-strategia-di-chi-attacca",
"@type" : "WebPage"
},
"publisher" : {
"@type" : "Organization",
"logo" : {
"@type" : "ImageObject",
"url" : "https://magazine.wiitgroup.com/hubfs/wiit-logo-2021-white.png"
},
"name" : "WIIT Magazine",
"sameAs" : [ "https://www.linkedin.com/company/wiit/" ]
},
"url" : "https://magazine.wiit.cloud/cyber-kill-chain-capire-mindset-e-strategia-di-chi-attacca",
"wordCount" : 1373
}
```