--- id: CP-228 slug: segmentazione-rete-vlan-microsegmentazione lang: it title: Segmentazione di rete e VLAN contro i ransomware description: Dividere la rete in zone (VLAN, firewall interni, microsegmentazione) limita un ransomware. Cosa fa il dipendente perché la divisione regga. canonical_url: https://startbrain.io/cyberpedia/it/articles/segmentazione-rete-vlan-microsegmentazione/ markdown_url: https://startbrain.io/cyberpedia/it/articles/segmentazione-rete-vlan-microsegmentazione.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Segmentazione di rete e VLAN contro i ransomware», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/segmentazione-rete-vlan-microsegmentazione/ (CC BY 4.0) wing: 3 theme: browse_safely reflex: cr-079 schema: G3 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/segmentazione-rete-vlan-microsegmentazione/ fr: https://startbrain.io/cyberpedia/fr/articles/segmentation-reseau-vlan-micro-segmentation/ en: https://startbrain.io/cyberpedia/en/articles/network-segmentation-vlan-micro-segmentation/ de: https://startbrain.io/cyberpedia/de/articles/netzwerksegmentierung-vlan-mikrosegmentierung/ es: https://startbrain.io/cyberpedia/es/articles/segmentacion-red-vlan-microsegmentacion/ nl: https://startbrain.io/cyberpedia/nl/articles/netwerksegmentatie-vlan-microsegmentatie/ sources: - "n": 1 title: Data Encrypted for Impact, Technique T1486 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1486/ accessed: "2026-11-03" - "n": 2 title: "#StopRansomware Guide | CISA" publisher: CISA url: https://www.cisa.gov/stopransomware/ransomware-guide accessed: "2026-11-03" - "n": 3 title: Network Segmentation, Mitigation M1030 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1030/ accessed: "2026-11-03" - "n": 4 title: Zero trust architecture design principles publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles accessed: "2026-11-03" - "n": 5 title: SP 800-207, Zero Trust Architecture | CSRC publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/207/final accessed: "2026-11-03" - "n": 6 title: Remote Services, Technique T1021 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1021/ accessed: "2026-11-03" - "n": 7 title: "Remote Services: SMB/Windows Admin Shares, Sub-technique T1021.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1021/002/ accessed: "2026-11-03" - "n": 8 title: Exploitation of Remote Services, Technique T1210 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1210/ accessed: "2026-11-03" - "n": 9 title: Lateral Tool Transfer, Technique T1570 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1570/ accessed: "2026-11-03" --- # Segmentazione di rete e VLAN contro i ransomware Un ransomware raramente si ferma al primo computer colpito. Secondo MITRE ATT&CK, un software di cifratura può diffondersi in una rete, come un worm, per cifrare i dati di un gran numero di macchine e massimizzare i danni [1]. Dividere la rete in zone stagne è una delle risposte a questo rischio. Questa scheda spiega cosa indicano i termini VLAN, firewall interno e microsegmentazione, cosa può fare il dipendente perché la divisione regga e quali trappole la rendono inefficace. ## In 30 secondi - Dove succede: sulla rete interna dell'azienda, dopo che una postazione o un account è stato compromesso. - Cosa vuole l'attaccante: passare da una macchina ad altre per cifrare più dati possibile [1]. - Se è già successo: avvisi subito l'IT o la sicurezza, che isolerà la postazione; se richiesto, scolleghi il cavo o disattivi il Wi-Fi [2]. - Il riflesso: non colleghi dispositivi o supporti non autorizzati, resti sulla rete prevista per il suo uso e segnali in fretta una postazione che si comporta in modo strano, perché venga isolata. ## Domande dirette ### Che cos'è la segmentazione di rete? È la divisione di una rete in segmenti più piccoli e isolati, per controllare il traffico tra dispositivi, sistemi e applicazioni. MITRE ATT&CK indica che riduce la superficie di attacco, rallenta gli spostamenti dell'attaccante e protegge le risorse critiche [3]. ### Cosa sono una VLAN e un firewall interno? MITRE ATT&CK descrive una separazione fatta di confini fisici, di separazione logica tramite VLAN e di regole di accesso applicate da apparati come firewall e router [3]. Una VLAN è quindi una separazione logica, e il firewall interno controlla ciò che passa da un segmento all'altro. ### E la microsegmentazione? È lo stesso principio applicato a ogni singolo carico di lavoro. MITRE ATT&CK raccomanda strumenti di rete definita via software per segmentare a questo livello e impedire il movimento laterale [3]. ### Perché un dipendente è coinvolto? Perché la segmentazione può essere aggirata da un errore dell'utente. La CISA precisa che può diventare inefficace se le regole dell'organizzazione non vengono rispettate, per esempio collegando un supporto rimovibile o altri dispositivi a più segmenti [2]. ## Come funziona Il principio è raggruppare i sistemi in base a funzione, sensibilità e rischio. MITRE ATT&CK cita come esempi i sistemi di pagamento, i database delle risorse umane, i sistemi di produzione e i server esposti a Internet [3]. I server web, DNS e di posta raggiungibili dall'esterno sono collocati in una zona demilitarizzata (DMZ), con regole di filtraggio rigide verso la rete interna [3]. Le regole seguono una logica di rifiuto per impostazione predefinita: elenchi di controllo degli accessi sugli apparati di rete e firewall che limitano sia il traffico tra esterno e interno sia quello tra macchine interne [3]. MITRE ATT&CK raccomanda anche di separare le reti Wi-Fi e cablate, in particolare quando la rete cablata dà accesso a risorse sensibili [3]. La CISA raccomanda di separare i servizi o i reparti dell'organizzazione e di mantenere una separazione tra l'informatica tradizionale e i sistemi industriali. La sua guida presenta uno schema di rete «piatta» (non segmentata) e uno schema di rete segmentata [2]. L'NCSC britannico va oltre con lo «zero trust»: la fiducia intrinseca nella rete viene tolta, la rete è considerata ostile e ogni richiesta è verificata in base a una politica di accesso [4]. Per il NIST, questo approccio sposta la difesa dai perimetri statici verso utenti, asset e risorse [5]. Il NIST afferma che lo zero trust protegge risorse, non segmenti di rete [5]. ## Cosa fa Lei - Non colleghi dispositivi non autorizzati, né a una presa di rete né a una postazione. La CISA cita il collegamento di supporti rimovibili o dispositivi a più segmenti come causa di fallimento della segmentazione [2]. - Usi la rete prevista per il suo uso. MITRE ATT&CK raccomanda di separare gli ambienti Wi-Fi e cablato quando il secondo dà accesso a risorse sensibili [3]. - Segnali in fretta una postazione sospetta all'IT o alla sicurezza, che isola i sistemi colpiti in modo coordinato. Se richiesto, scolleghi il cavo di rete o disattivi il Wi-Fi: la CISA presenta lo scollegamento dei dispositivi come ripiego quando non è possibile metterli subito offline [2]. - Non spenga la macchina di sua iniziativa, senza istruzioni. La CISA indica che togliere l'alimentazione fa perdere tracce in memoria e si fa solo se non è possibile disconnettere in altro modo [2]. ## Le trappole La rete piatta. Quando tutto comunica con tutto, una sola postazione compromessa apre l'accesso al resto. MITRE ATT&CK osserva che, con credenziali di dominio valide, un attaccante può collegarsi a molte macchine tramite protocolli di accesso remoto come SSH o RDP [6]. Una VLAN senza filtraggio. Separare non basta se nulla controlla il passaggio. MITRE ATT&CK richiede regole firewall che blocchino il traffico RDP tra zone di sicurezza e il rifiuto per impostazione predefinita negli elenchi di controllo degli accessi [3]. Raccomanda anche di rivedere regolarmente le regole, di monitorare i flussi e di testare la segmentazione con penetration test periodici [3]. Regole troppo ampie. MITRE ATT&CK raccomanda di consentire solo le porte e il traffico necessari [3]. Una regola che lascia passare tutto toglie ogni utilità alla zona. Un'amministrazione non isolata. Le condivisioni amministrative nascoste di Windows (C$, ADMIN$, IPC$) permettono la copia di file da remoto e altre funzioni di amministrazione, e un attaccante può usarle con un account amministratore valido [7]. Per WinRM, MITRE ATT&CK consiglia di isolare le enclave critiche con un'infrastruttura separata e di limitare l'accesso a dispositivi specifici [3]. Server vulnerabili raggiungibili da ovunque. Esistono falle note in servizi comuni come SMB e RDP, e in applicazioni interne come MySQL [8]. MITRE ATT&CK raccomanda di segmentare per ridurre l'accesso ai sistemi critici a metodi controllati [3]. Copie di strumenti da una macchina all'altra. Un attaccante può copiare file tra sistemi interni con protocolli di condivisione come SMB o con una connessione RDP autenticata [9]. ## Casi reali ### 2016: attacco alla rete elettrica ucraina Secondo MITRE ATT&CK, durante l'attacco del 2016 alla rete elettrica ucraina, il gruppo Sandworm Team ha usato il comando net use per collegarsi a condivisioni di rete [7]. Le fonti citate qui non danno ulteriori dettagli su questo episodio. ### Campagna APT28 «Nearest Neighbor» MITRE ATT&CK indica che, durante la campagna «Nearest Neighbor», APT28 ha usato SMB per trasferire file e spostarsi lateralmente [7]. Le fonti citate qui non indicano una data per questa campagna. ## Fonti 1. MITRE ATT&CK, «Data Encrypted for Impact, Technique T1486 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1486/ (consultato il 3 novembre 2026) 2. CISA, «#StopRansomware Guide | CISA». https://www.cisa.gov/stopransomware/ransomware-guide (consultato il 3 novembre 2026) 3. MITRE ATT&CK, «Network Segmentation, Mitigation M1030 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/mitigations/M1030/ (consultato il 3 novembre 2026) 4. NCSC (Royaume-Uni), «Zero trust architecture design principles». https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles (consultato il 3 novembre 2026) 5. NIST, «SP 800-207, Zero Trust Architecture | CSRC». https://csrc.nist.gov/pubs/sp/800/207/final (consultato il 3 novembre 2026) 6. MITRE ATT&CK, «Remote Services, Technique T1021 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1021/ (consultato il 3 novembre 2026) 7. MITRE ATT&CK, «Remote Services: SMB/Windows Admin Shares, Sub-technique T1021.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1021/002/ (consultato il 3 novembre 2026) 8. MITRE ATT&CK, «Exploitation of Remote Services, Technique T1210 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1210/ (consultato il 3 novembre 2026) 9. MITRE ATT&CK, «Lateral Tool Transfer, Technique T1570 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1570/ (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/segmentazione-rete-vlan-microsegmentazione/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.