Cyberpediadi Brain
ITDEENESFR

Segmentazione di rete e VLAN contro i ransomware

Dividere la rete in zone (VLAN, firewall interni, microsegmentazione) limita un ransomware. Cosa fa il dipendente perché la divisione regga.

In 30 secondi

Dove succede
Sulla rete interna dell'azienda, dopo che una postazione o un account è stato compromesso.
Cosa vuole l'attaccante
Passare da una macchina ad altre per cifrare più dati possibile1.
Se è già successo
Avvisi subito l'IT o la sicurezza, che isolerà la postazione; se richiesto, scolleghi il cavo o disattivi il Wi-Fi2.
Il riflesso
Non colleghi dispositivi o supporti non autorizzati, resti sulla rete prevista per il suo uso e segnali in fretta una postazione che si comporta in modo strano, perché venga isolata.

Di cosa si tratta

Un ransomware raramente si ferma al primo computer colpito. Secondo MITRE ATT&CK, un software di cifratura può diffondersi in una rete, come un worm, per cifrare i dati di un gran numero di macchine e massimizzare i danni1. Dividere la rete in zone stagne è una delle risposte a questo rischio.

Questa scheda spiega cosa indicano i termini VLAN, firewall interno e microsegmentazione, cosa può fare il dipendente perché la divisione regga e quali trappole la rendono inefficace.

Domande dirette

Che cos'è la segmentazione di rete?

È la divisione di una rete in segmenti più piccoli e isolati, per controllare il traffico tra dispositivi, sistemi e applicazioni. MITRE ATT&CK indica che riduce la superficie di attacco, rallenta gli spostamenti dell'attaccante e protegge le risorse critiche3.

Cosa sono una VLAN e un firewall interno?

MITRE ATT&CK descrive una separazione fatta di confini fisici, di separazione logica tramite VLAN e di regole di accesso applicate da apparati come firewall e router3. Una VLAN è quindi una separazione logica, e il firewall interno controlla ciò che passa da un segmento all'altro.

E la microsegmentazione?

È lo stesso principio applicato a ogni singolo carico di lavoro. MITRE ATT&CK raccomanda strumenti di rete definita via software per segmentare a questo livello e impedire il movimento laterale3.

Perché un dipendente è coinvolto?

Perché la segmentazione può essere aggirata da un errore dell'utente. La CISA precisa che può diventare inefficace se le regole dell'organizzazione non vengono rispettate, per esempio collegando un supporto rimovibile o altri dispositivi a più segmenti2.

1Come funziona2 min

Il principio è raggruppare i sistemi in base a funzione, sensibilità e rischio. MITRE ATT&CK cita come esempi i sistemi di pagamento, i database delle risorse umane, i sistemi di produzione e i server esposti a Internet3. I server web, DNS e di posta raggiungibili dall'esterno sono collocati in una zona demilitarizzata (DMZ), con regole di filtraggio rigide verso la rete interna3.

Le regole seguono una logica di rifiuto per impostazione predefinita: elenchi di controllo degli accessi sugli apparati di rete e firewall che limitano sia il traffico tra esterno e interno sia quello tra macchine interne3. MITRE ATT&CK raccomanda anche di separare le reti Wi-Fi e cablate, in particolare quando la rete cablata dà accesso a risorse sensibili3.

La CISA raccomanda di separare i servizi o i reparti dell'organizzazione e di mantenere una separazione tra l'informatica tradizionale e i sistemi industriali. La sua guida presenta uno schema di rete «piatta» (non segmentata) e uno schema di rete segmentata2.

L'NCSC britannico va oltre con lo «zero trust»: la fiducia intrinseca nella rete viene tolta, la rete è considerata ostile e ogni richiesta è verificata in base a una politica di accesso4. Per il NIST, questo approccio sposta la difesa dai perimetri statici verso utenti, asset e risorse5. Il NIST afferma che lo zero trust protegge risorse, non segmenti di rete5.

2Cosa fa Lei1 min
  • Non colleghi dispositivi non autorizzati, né a una presa di rete né a una postazione. La CISA cita il collegamento di supporti rimovibili o dispositivi a più segmenti come causa di fallimento della segmentazione2.
  • Usi la rete prevista per il suo uso. MITRE ATT&CK raccomanda di separare gli ambienti Wi-Fi e cablato quando il secondo dà accesso a risorse sensibili3.
  • Segnali in fretta una postazione sospetta all'IT o alla sicurezza, che isola i sistemi colpiti in modo coordinato. Se richiesto, scolleghi il cavo di rete o disattivi il Wi-Fi: la CISA presenta lo scollegamento dei dispositivi come ripiego quando non è possibile metterli subito offline2.
  • Non spenga la macchina di sua iniziativa, senza istruzioni. La CISA indica che togliere l'alimentazione fa perdere tracce in memoria e si fa solo se non è possibile disconnettere in altro modo2.
3Le trappole2 min

La rete piatta. Quando tutto comunica con tutto, una sola postazione compromessa apre l'accesso al resto. MITRE ATT&CK osserva che, con credenziali di dominio valide, un attaccante può collegarsi a molte macchine tramite protocolli di accesso remoto come SSH o RDP6.

Una VLAN senza filtraggio. Separare non basta se nulla controlla il passaggio. MITRE ATT&CK richiede regole firewall che blocchino il traffico RDP tra zone di sicurezza e il rifiuto per impostazione predefinita negli elenchi di controllo degli accessi3. Raccomanda anche di rivedere regolarmente le regole, di monitorare i flussi e di testare la segmentazione con penetration test periodici3.

Regole troppo ampie. MITRE ATT&CK raccomanda di consentire solo le porte e il traffico necessari3. Una regola che lascia passare tutto toglie ogni utilità alla zona.

Un'amministrazione non isolata. Le condivisioni amministrative nascoste di Windows (C$, ADMIN$, IPC$) permettono la copia di file da remoto e altre funzioni di amministrazione, e un attaccante può usarle con un account amministratore valido7. Per WinRM, MITRE ATT&CK consiglia di isolare le enclave critiche con un'infrastruttura separata e di limitare l'accesso a dispositivi specifici3.

Server vulnerabili raggiungibili da ovunque. Esistono falle note in servizi comuni come SMB e RDP, e in applicazioni interne come MySQL8. MITRE ATT&CK raccomanda di segmentare per ridurre l'accesso ai sistemi critici a metodi controllati3.

Copie di strumenti da una macchina all'altra. Un attaccante può copiare file tra sistemi interni con protocolli di condivisione come SMB o con una connessione RDP autenticata9.

4Casi reali1 min

2016: attacco alla rete elettrica ucraina

Secondo MITRE ATT&CK, durante l'attacco del 2016 alla rete elettrica ucraina, il gruppo Sandworm Team ha usato il comando net use per collegarsi a condivisioni di rete7. Le fonti citate qui non danno ulteriori dettagli su questo episodio.

Campagna APT28 «Nearest Neighbor»

MITRE ATT&CK indica che, durante la campagna «Nearest Neighbor», APT28 ha usato SMB per trasferire file e spostarsi lateralmente7. Le fonti citate qui non indicano una data per questa campagna.

Scheda

Identificativo
CP-228
Ala
3. Protocolli e difesa
Competenza Brain
Navigare in sicurezza (browse_safely)
Riflesso Brain
cr-079
Schema
G3 · Sezione anatomica
Lingue
de, en, es, fr, it
Fonti
9 fonti verificate il 3 novembre 2026
Fonti9 fonti
  1. MITRE ATT&CK, «Data Encrypted for Impact, Technique T1486 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1486/ (consultato il 3 novembre 2026)
  2. CISA, «#StopRansomware Guide | CISA». https://www.cisa.gov/stopransomware/ransomware-guide (consultato il 3 novembre 2026)
  3. MITRE ATT&CK, «Network Segmentation, Mitigation M1030 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/mitigations/M1030/ (consultato il 3 novembre 2026)
  4. NCSC (Royaume-Uni), «Zero trust architecture design principles». https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles (consultato il 3 novembre 2026)
  5. NIST, «SP 800-207, Zero Trust Architecture | CSRC». https://csrc.nist.gov/pubs/sp/800/207/final (consultato il 3 novembre 2026)
  6. MITRE ATT&CK, «Remote Services, Technique T1021 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1021/ (consultato il 3 novembre 2026)
  7. MITRE ATT&CK, «Remote Services: SMB/Windows Admin Shares, Sub-technique T1021.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1021/002/ (consultato il 3 novembre 2026)
  8. MITRE ATT&CK, «Exploitation of Remote Services, Technique T1210 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1210/ (consultato il 3 novembre 2026)
  9. MITRE ATT&CK, «Lateral Tool Transfer, Technique T1570 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1570/ (consultato il 3 novembre 2026)

Cita questo articolo

Brain, «Segmentazione di rete e VLAN contro i ransomware», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/segmentazione-rete-vlan-microsegmentazione/

BibTeX 
@misc{brain_cp228_it_2026,
  author = {Brain},
  title = {Segmentazione di rete e VLAN contro i ransomware},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/it/articles/segmentazione-rete-vlan-microsegmentazione/},
  note = {CC BY 4.0}
}
Licenza CC BY 4.0