Defensio Sensor — Monitoraggio Continuo della Rete Interna
Defensio Sensor è il componente on-premise dell’ecosistema Defensio deployato nell’infrastruttura del cliente. Esegue threat detection in tempo reale sul traffico di rete, vulnerability assessment interno ed esterno, attack surface management, mappatura porte e servizi, rilevamento delle cartelle di rete condivise e verifica degli accessi SMB non autorizzati, analisi dei flussi di traffico e monitoraggio dei leak di credenziali. Non richiede agenti sui singoli endpoint — opera passivamente a lato della rete, compatibile con infrastrutture miste IT/OT e con gli obblighi di monitoraggio continuo del D.Lgs. 138/2024.
I Sedici Motori di Analisi
Dentro un’unica appliance lavorano in parallelo motori specializzati, aggiornati automaticamente. Nessuno di essi richiede software installato sugli endpoint.
Threat Detection
Ispezione profonda del traffico in tempo reale, con regole proprietarie allineate a MITRE ATT&CK.
Vulnerability Assessment
Priorità sugli exploit che circolano davvero, non sul punteggio teorico della falla.
Deception
Servizi-esca che imitano quelli veri: ogni singolo tocco è un allarme quasi certo.
Inventario di rete
Ogni dispositivo che compare in rete viene censito, anche quello mai inventariato.
Dispositivi e applicazioni
Tipo, marca e modello dei dispositivi; le applicazioni riconosciute per nome.
Share e password
Condivisioni raggiungibili e credenziali deboli: le vie che il ransomware usa davvero.
Verifica post-accesso
Controllo approfondito su condivisioni e dominio, dopo l’autenticazione.
Web application test
Categorie OWASP Top 10 sulle applicazioni web interne ed esposte.
Identità digitale
Credenziali aziendali finite nei database di violazione, con allerta precoce.
Attack surface
Sottodomini, configurazioni DNS e certificati: il perimetro visto da fuori.
Trasferimenti dati
Monitoraggio dei trasferimenti verso l’esterno e degli accessi remoti non autorizzati.
CVE su immagini e container
Il livello applicativo che le scansioni di rete classiche non vedono affatto.
Distinta base del software
Cosa contiene davvero ogni componente installato, componente per componente.
Segreti esposti
Credenziali e chiavi dimenticate dentro repository e filesystem.
Postura cloud
Audit di configurazione sui benchmark riconosciuti per gli ambienti cloud.
Reportistica
Report Executive, Tecnici e Compliance, generati sui dati reali e inclusi.
La Copertura, in Numeri
Le capacità si raccontano, la copertura si conta. Sono numeri misurati sul sensore, non stime, e crescono da soli con gli aggiornamenti automatici.
oltre 224.000
controlli attivi
il totale di ciò che il Sensor verifica
oltre 115.000
regole di detection
applicate al traffico in tempo reale
oltre 95.000
test di vulnerabilità
su sistemi e servizi
oltre 12.900
template mirati
la risposta rapida quando esce una nuova falla
oltre 640
controlli di postura cloud
sui benchmark riconosciuti
oltre 900.000
vulnerabilità note
il database di riscontro per la supply chain
Nel conteggio rientrano anche gli script di scansione di rete, le regole per le applicazioni web e i moduli di verifica post-accesso. Delle vulnerabilità note nel database, oltre 1.600 risultano attivamente sfruttate: sono quelle che pesano di più nella prioritizzazione.
L'Intelligenza a Bordo del Sensore
L’analisi non è un blocco unico: sono sei livelli, e la distinzione conta. I primi quattro sono deterministici e girano interamente sull’appliance, senza AI e senza GPU: da soli sono il prodotto standalone completo. Gli ultimi due sono opzionali e si aggiungono sopra, non sostituiscono nulla.
Deterministico · a bordo
Normalizzazione e arricchimento
Ogni sorgente viene ricondotta a uno schema comune e le entità risolte: dispositivo, flusso, dominio, utente. A ciascuna si agganciano la criticità dell’asset e il contesto già raccolto dagli altri motori.
Deterministico · a bordo
Regole di correlazione
Regole scritte, versionate e testate come codice, ognuna mappata su MITRE ATT&CK. Non guardano il singolo evento ma le combinazioni e le soglie che contano.
Deterministico · a bordo
Rilevamento anomalie
Machine learning classico sulle linee di base del comportamento: periodicità sospette, rarità, deviazioni statistiche. Nessun modello linguistico, nessuna GPU.
Deterministico · a bordo
Punteggio di rischio e costruzione del caso
I livelli precedenti e il contesto confluiscono in un punteggio per entità; gli eventi vengono deduplicati e raggruppati in un caso con evidenze, tecniche associate e livello di confidenza.
Opzionale · a bordo
Sintesi in linguaggio naturale
Un modello piccolo, in esecuzione sull’appliance, spiega il caso in parole comprensibili e propone il passo successivo. È ancorato alle evidenze del livello precedente e non decide mai al posto loro.
Opzionale · solo se collegato
Collegamento al SOC
Il caso già costruito sale alla centrale, dove entra nella correlazione tra sensori diversi e nel ragionamento più profondo.
Cosa Vede Davvero in Rete
Traffico cifrato
Le applicazioni per nome
Sapere che un dispositivo «parla HTTPS sulla 443» non serve a nessuno. Il Sensor risolve il traffico cifrato in nomi di applicazioni reali — video, social, cloud storage, aggiornamenti, strumenti di accesso remoto — a partire dai dati che già cattura, senza aggiungere alcuna sonda. In una giornata circa il 90% delle connessioni cifrate viene attribuito a un’applicazione con nome, su un catalogo di oltre 6.000 firme per più di 200 applicazioni. Il resto resta onestamente marcato come sconosciuto: il traffico moderno è progettato per nascondere la destinazione, e chi promette il 100% non sta misurando.
Inventario passivo
Chi c'è nella rete
Ogni dispositivo che compare viene censito senza agenti e senza interrogarlo: indirizzi, produttore, servizi esposti, comportamento abituale. Il riconoscimento arriva a tipo, marca e modello — stampante, telecamera, PLC, telefono, portatile aziendale — ricavati esclusivamente da segnali già presenti nel traffico. Nessun pacchetto inviato al dispositivo significa nessun rischio per un PLC di linea. Ogni client ha la sua scheda e la sua linea del tempo: quando è apparso, cosa ha contattato, come si comporta di solito. È l’inventario che la NIS2 pretende e che nella maggior parte delle reti non esiste o è fermo a due anni fa.
Dalle Vulnerabilità alla Lista su cui si Agisce
Una scansione che restituisce tremila «criticità» non è un risultato: è un altro modo di non sapere da dove cominciare. Ogni riscontro viene arricchito con il catalogo istituzionale delle vulnerabilità attivamente sfruttate e con la probabilità osservata di sfruttamento, poi incrociato con ciò che quel dispositivo è davvero e quanto è esposto. «Critica sulla carta» è una cosa; una falla con un exploit che circola oggi, su un servizio raggiungibile, è un’altra. Le applicazioni web vengono testate da due motori indipendenti e i risultati deduplicati, così la stessa cosa non viene contata due volte. Per ogni nuova vulnerabilità pubblicata sviluppiamo internamente il test che la rileva.
I vettori che portano davvero al riscatto
Il riscatto non arriva da un exploit esotico: arriva da una condivisione aperta a tutti, da una password debole riusata, da uno strumento di accesso remoto installato da qualcuno e mai rimosso. Il Sensor cerca esattamente questo. Trova le condivisioni esposte e verifica davvero la solidità delle credenziali, con un test controllato e sicuro rispetto ai blocchi account: prova una password alla volta su tutti gli utenti, non tutte le password su un utente, così nessun account viene bloccato. Riconosce gli strumenti di accesso remoto non autorizzati e monitora i trasferimenti di dati verso l’esterno — il momento in cui una compromissione diventa una violazione da notificare.
La Supply Chain del Software
Le vulnerabilità non stanno solo nei sistemi operativi: stanno dentro le immagini e i container che compongono le applicazioni moderne, un livello che le scansioni di rete classiche non vedono affatto. Il Sensor esegue una scansione pianificata quotidiana su immagini e container, produce la distinta base del software — cosa contiene davvero ogni componente — e cerca credenziali e segreti esposti in repository e filesystem, che è il modo più rapido con cui un attaccante passa da fuori a dentro. Per gli ambienti cloud si aggiunge l’audit di postura sui benchmark riconosciuti. Lo applichiamo prima di tutto a noi stessi: la piattaforma analizza le proprie immagini con lo stesso metro con cui analizza le vostre.
Un'Appliance che si Gestisce da Sola
Un sensore che richiede qualcuno seduto davanti alla macchina non è un prodotto: è un impegno. Il Sensor gira come un vero software da server, senza interfaccia grafica: i motori sono servizi di sistema supervisionati, si riavviano da soli e nessuno può spegnerli chiudendo per sbaglio una finestra. I dischi sono cifrati a riposo, e se la macchina riparte di notte resta ferma e sicura finché i volumi non vengono sbloccati. L’operatore vede stato e log di ogni motore dal browser, da ovunque, senza accesso alla console. I contenuti di detection si aggiornano da soli, con cadenze diverse a seconda di quanto in fretta invecchiano, senza finestre di manutenzione e senza interrompere la cattura del traffico.
Come si Integra nella Rete
Il Defensio Sensor viene deployato come appliance dedicata — fisica o virtuale — nella rete del cliente, connessa in modalità SPAN port, TAP passivo o mirror port sul core switch. Non introduce latenza. Il traffico viene analizzato in copia — niente inline, nessun impatto sul traffico produttivo.
Accesso cliente sempre garantito: Fidem gestisce la configurazione e la parte amministrativa della piattaforma, ma il cliente ha accesso diretto e autonomo alla propria istanza — la stessa piattaforma completa, non una vista ridotta: dashboard, alert in tempo reale, inventario degli asset, risultati di scansioni e assessment, flussi di traffico, report e stato dei moduli. Nessuna «scatola nera».
Connessione al SOC Fidem (opzionale): quando il Sensor è collegato al CSOC Fidem, gli alert vengono trasmessi in tempo reale agli analisti tramite tunnel VPN cifrato, attivando il monitoraggio e la risposta gestita.
Modalità di Utilizzo
Standalone — gestito dal team interno
Il cliente utilizza il Sensor autonomamente. Fidem fornisce la piattaforma, gli aggiornamenti delle firme e il supporto tecnico. Triage e risposta agli alert sono gestiti internamente. Ideale per organizzazioni con un team IT strutturato che vuole visibilità completa senza esternalizzare la gestione degli alert.
CSOC Managed — collegato al SOC Fidem
Il Sensor diventa parte del servizio di monitoraggio gestito di Fidem. Il team del CSOC gestisce triage, escalation e incident response. Il cliente mantiene sempre accesso e visibilità completa sulla propria istanza.
Defensio Sensor e Conformità NIS2 (D.Lgs. 138/2024)
Per le organizzazioni soggette alla NIS2, il Sensor copre direttamente gli obblighi dell’Art. 21:
- Monitoraggio continuo della rete — Art. 21 §2 lett. b: rilevamento continuo di anomalie e incidenti
- Gestione delle vulnerabilità — VA automatizzato con scoring e piano di rimedio documentato per l’evidence pack ACN
- Asset inventory aggiornato — mappatura automatica dell’infrastruttura come baseline obbligatoria NIS2
- Sicurezza della supply chain — Art. 21 §2 lett. d: visibilità sul traffico verso fornitori connessi alla rete
- OT Security — modalità completamente passiva: nessuna interferenza con protocolli industriali OT/SCADA
- Allerta precoce con deception — le esche integrate rivelano movimenti laterali e ricognizioni interne prima che tocchino gli asset reali, a supporto della gestione degli incidenti (Art. 21 §2 lett. b)
- Rilevamento esfiltrazioni e accessi remoti non autorizzati — Data Transfer Analytics e RMM Detection individuano canali di uscita anomali e strumenti di controllo remoto non censiti
Per il percorso di adeguamento completo: Adeguamento NIS2 con Fidem
Reportistica NG Inclusa
Come ogni componente dell’ecosistema, anche il Sensor include il motore di reportistica NG (Next Generation): i dati di monitoraggio e assessment diventano documenti professionali compliance-ready — Executive, Tecnico e Compliance — generati e distribuiti secondo pianificazione.
Richiedi una Valutazione dell'Infrastruttura
Ogni deployment inizia con un’analisi della topologia di rete per identificare il punto di connessione ottimale (SPAN, TAP, mirror port) e configurare il Sensor correttamente sulla tua infrastruttura.