Scansione e IDS
Scansione è uno dei sei tipi d’attacco del duello a carte, e IDS è la difesa che lo contrasta. Qui trovi cosa rappresentano nella sicurezza vera, come si fronteggiano nel gioco e tutte le loro 18 carte.
L'attacco: Scansione
La scansione è la ricognizione: scoprire quali macchine sono accese in una rete, quali porte sono aperte, quali servizi e versioni rispondono. Strumenti come nmap rendono questo lavoro rapido. Una scansione da sola non rompe nulla, ma è quasi sempre il primo passo di un attacco: dice all'attaccante dove guardare e quali vulnerabilità cercare.
La difesa: IDS
Un IDS (Intrusion Detection System) analizza il traffico di rete o gli eventi dei sistemi e segnala ciò che somiglia a un attacco: scansioni di porte, firme di exploit noti, comportamenti anomali. Da solo avvisa e basta (un IPS può anche bloccare); il suo valore sta nel far accorgere presto chi difende, spesso già nella fase di ricognizione, quando l'attaccante sta ancora guardando.
Chi ferma chi
- IDS contro Scansione: danno dimezzato. Le scansioni lasciano nel traffico tracce riconoscibili, ed è proprio il lavoro per cui un IDS è fatto.
- Scansione contro MFA: danno doppio. Una scansione non prova ad accedere a nessun account, guarda solo cosa risponde: il secondo fattore non c'entra.
- Scansione contro EDR: danno doppio. L'EDR sorveglia i programmi sui computer, mentre la scansione arriva da fuori e interroga i servizi di rete.
- Brute force contro IDS: danno doppio. Ogni tentativo è un login regolare sulla pagina giusta: un attacco lento e distribuito somiglia al traffico normale.
- DDoS contro IDS: danno doppio. L'IDS vede l'attacco e dà l'allarme, ma rilevarlo non basta: la connessione resta comunque intasata.
Contro tutte le altre combinazioni il danno è normale.
Le combo con Scansione
- Kill chain (Scansione → Exploit o Brute force, +2 danni): prima si scopre cosa è esposto, poi si attacca il punto debole trovato.
- Ricognizione (Scansione → Phishing, +2 danni): sapere chi lavora dove e con quali sistemi rende il phishing credibile.
Carte d'attacco Scansione (7)
Ping sweep
Trova quali macchine sono accese in una rete. Poco danno, ma informazioni: peschi una carta.
Port scan
Costa zero: utile per aprire una combo.
Scanner di vulnerabilità
Prendi dal mazzo il primo attacco.
Nmap aggressivo
Scansione completa di porte, servizi e versioni. Peschi una carta.
Banner grabbing
Legge la versione dei servizi esposti. Per 2 turni le difese avversarie subiscono +1 danno.
Shodan
Peschi 2 carte e le difese avversarie sono esposte per 2 turni.
Bucket pubblico
Un archivio nel cloud lasciato aperto a tutti: bastano un indirizzo e un browser. Si evita con accesso privato di default e controlli sulle configurazioni. In più, 1 danno diretto al core.
Carte di difesa IDS (11)
IDS a firme
Intrusion Detection System: riconosce scansioni e attacchi noti nel traffico.
Revisione dei log
Qualcuno legge davvero i log ogni mattina. Si notano le cose strane.
Honeypot
Contrattacco: chi la colpisce perde 2 integrità.
SOC 24/7
Un team che sorveglia allarmi e log giorno e notte.
Telemetria degli endpoint
Ogni processo avviato su un computer viene registrato e inviato agli analisti: niente resta nascosto a lungo. Contrattacco: chi la colpisce perde 1 integrità.
Correlazione degli eventi
Mille righe di log innocue, messe insieme, raccontano un attacco: è il lavoro del SIEM. Logorio: a inizio turno la difesa avversaria più forte perde 1.
Sensore esca
Un sensore che finge di essere un server vero: chi lo tocca si tradisce e viene registrato. Contrattacco: chi la colpisce perde 1 integrità. Rigenera: +1 resistenza a inizio turno.
SOC automatizzato
Analisti e automazione (SOAR) rilevano e rispondono in pochi secondi. Rigenera: +1 resistenza a inizio turno. Logorio: a inizio turno la difesa avversaria più forte perde 1.
Deception grid
Contrattacco: chi la colpisce perde 3 integrità.
Guardrail per modelli linguistici
Filtri su ingressi e uscite, permessi minimi e registro di ciò che il modello fa. Rigenera: +1 resistenza a inizio turno. Armatura: −1 a ogni colpo subito.
AI difensiva autonoma
Un sistema che impara il comportamento normale e reagisce da solo, sempre con una persona che può fermarlo. Contrattacco: chi la colpisce perde 2 integrità. Rigenera: +1 resistenza a inizio turno. Logorio: a inizio turno la difesa avversaria più forte perde 1.
Guide collegate
Per imparare la parte tecnica ci sono i laboratori simulati: