L’intuizione di fondo
Eludere uno scanner di firme è un problema di payload — basta modificare il file finché non corrisponde più. Eludere una regola di comportamento applicata è un problema di tattica: viene bloccata la tecnica stessa, non solo la firma del file.
Lo sforzo reale dipende comunque dal prodotto, dalla modalità e dalla build di Windows, ma si tratta di due classi di problemi diverse, non di due livelli di difficoltà dello stesso problema.
TL;DR — che cosa imparerai
- L’antivirus moderno è multilivello — firme, reputazione, euristica e comportamento contano tutti
- ASR aggiunge l’applicazione dei criteri — il comportamento corrispondente può essere bloccato senza una firma del file
- L’hardening completa il rilevamento — le misure agiscono in punti diversi della catena
- Vista per catena di attacco — scopri dove antivirus, ASR e hardening intercettano ciascuno lo stesso attacco
- NoID Privacy: valuta 630+ obiettivi dichiarati, incluse 19 identità ASR; 18 si applicano normalmente ai client Windows 11 e una riguarda Exchange Server
Trasforma l’analisi in criteri applicati
Aggiungi barriere che la sola analisi dei file non può offrire.
Applica e verifica 630+ impostazioni da un’interfaccia guidata: di ogni impostazione viene creato un backup prima della modifica.
39,00 €una tantum, IVA inclusa · soddisfatti o rimborsati 14 giorniPer Windows 11 24H2, 25H2 e 26H2 (solo x64/AMD64; non ARM64)
Acquista NoID Privacy Pro Scopri interfaccia, ambito e compatibilità
Avvertenza: questa analisi adotta una prospettiva difensiva. Spieghiamo
che cosa fanno gli utenti malintenzionati, non come farlo. Questa pagina mostra come
funzionano le tue difese dal punto di vista di chi attacca, non come aggirarle. L’obiettivo è capire la tua
protezione, non agevolare gli attacchi.
Che cosa fanno davvero i Red Team e gli hacker
Gli aggressori professionisti (Red Team etici o hacker malintenzionati) seguono di solito tre fasi:
1. Ricognizione e profilazione
- Quale antivirus o EDR è in esecuzione?
- Quali criteri e quali baseline sono attivi?
- Quali canali sono aperti (e-mail, archiviazione cloud, RDP, VPN)?
2. Adattamento del payload e del comportamento
- Modificare il payload finché il rilevamento antivirus statico (firme, euristica ML) non scatta più
- Modificare il comportamento finché l’analisi comportamentale non genera un avviso immediato
- Ciclo prova → adatta → riprova finché non funziona contro quel bersaglio specifico
3. Variazione delle TTP
- Le difese moderne intercettano catene di processi, attività di script, spostamento laterale e furto di credenziali
- I Red Team cambiano tutto l’approccio: accesso iniziale diverso, LOLBin diversi, C2 diverso
- È qui che l’hardening può aggiungere attrito oltre al rilevamento incentrato sui file
La differenza di fondo
Antivirus moderno / protezione degli endpoint
Strategia di difesa: «Questo file, questa destinazione o questo comportamento è rischioso?»
- Rilevamento tramite firme e hash
- Euristica ML sulla struttura del file
- Analisi comportamentale (varia in base al prodotto)
- Filtri web ed e-mail, sandbox
Obiettivo del Red Team: eludere i rilevamenti statici, di reputazione e comportamentali di questo prodotto.
NoID Privacy Pro
Strategia di difesa: «Questo comportamento è consentito?»
- Le regole ASR applicabili in modalità Blocca limitano categorie di comportamento definite
- La baseline rafforza la configurazione del sistema
- Interruzione della catena di attacco in più punti
- Misure di Defender più l’EDR distribuito separatamente, dove presente
Obiettivo del Red Team: trovare un percorso che eviti le misure effettivamente applicate e raggiunga comunque lo scopo.
L’aspetto chiave: nella pratica i red teamer riescono spesso a iterare rapidamente contro i
controlli statici di un singolo prodotto. Le regole ASR applicate e il livello comportamentale degli
antivirus moderni non spariscono con qualche ritocco al payload: impongono un cambio di tecnica, non solo di file.
Confronto tra catene di attacco
Stesso scenario di attacco, difese diverse:
Accesso iniziale: documento di Office dannoso
L’utente riceve un’e-mail con un documento Word contenente una macro che scarica il payload.
Le misure su allegati, reputazione e comportamento possono intervenire prima o durante l’esecuzione.
La regola ASR applicabile sui processi figlio blocca questo percorso in modalità Blocca.
Esecuzione: lo script o il loader entra in azione
Uno script JavaScript o PowerShell offuscato tenta di scaricare ed eseguire il payload.
L’analisi comportamentale può scattare: dipende dal livello di offuscamento e dal fornitore.
Le regole per gli script applicabili in modalità Blocca fermano i comportamenti JS/VBS corrispondenti o gli script offuscati.
Furto di credenziali: dump di LSASS
L’utente malintenzionato tenta di estrarre le credenziali dalla memoria con tecniche in stile Mimikatz.
Firme, monitoraggio del comportamento e funzionalità di protezione delle credenziali possono rilevare o limitare il tentativo.
La regola ASR per LSASS e l’isolamento di Credential Guard*, dove applicabile, aggiungono barriere indipendenti contro questa tecnica.
Persistenza: sottoscrizione di eventi WMI
L’utente malintenzionato crea una sottoscrizione WMI per sopravvivere ai riavvii.
Visibilità e blocco variano in base a prodotto, configurazione e funzionalità dell’EDR.
La regola ASR applicabile blocca in modalità Blocca la persistenza corrispondente tramite sottoscrizione di eventi WMI.
Spostamento laterale: PSExec/WMI
L’utente malintenzionato tenta di diffondersi in rete usando strumenti di amministrazione.
Il trattamento degli strumenti di amministrazione legittimi varia in base al prodotto e ai criteri.
La regola ASR applicabile e i criteri del firewall limitano questo percorso quando sono applicati.
Risultato: le misure applicabili in modalità Blocca interrompono il comportamento
corrispondente in più fasi, compreso un comportamento privo di firma di file nota.
(Mappatura esemplificativa, non un test con malware reale.)
Confronto diretto
| Aspetto | Antivirus moderno / protezione degli endpoint | NoID Privacy Pro |
|---|---|---|
| Difesa primaria | «Questo file è dannoso?» | «Questo comportamento è consentito?» |
| Malware noto | Può essere rilevato tramite firme, reputazione o misure comportamentali | Se ne occupa Microsoft Defender; NoID Privacy configura misure complementari |
| Malware sconosciuto o offuscato | Può essere rilevato per reputazione, euristica o comportamento; l’esito varia | Il comportamento corrispondente può essere bloccato dalle misure ASR applicabili |
| Attacchi con macro di Office | Le misure su allegati, reputazione e comportamento variano in base al prodotto | Le regole ASR per Office applicabili possono limitare i processi figlio e i contenuti eseguibili |
| Furto di credenziali | Le capacità variano in base al prodotto e al livello di EDR | ASR e Credential Guard*, dove applicabile, possono aggiungere barriere |
| Spostamento laterale | Le capacità variano in base al prodotto e ai criteri | Le misure ASR e del firewall applicabili possono limitare percorsi selezionati |
| Living-off-the-Land | L’analisi degli strumenti legittimi varia in base al prodotto e al contesto | È possibile limitare comportamenti corrispondenti selezionati; non tutti i LOLBin vengono bloccati |
| Sforzo di elusione di un Red Team | Nessuna affermazione universale su tempi o sforzo è sostenibile; testa la configurazione esatta | |
| Costo | Varia in base al fornitore, al piano e alla durata | 0 € (Shell) / 39,00 € una tantum IVA inclusa (GUI) |
La verità, senza giri di parole
Che cosa possiamo dire davvero:
Per utenti privati e piccole imprese
senza
EDR/XDR aziendale:
NoID Privacy configura Windows 11 e Defender con la Security Baseline Microsoft (425 obiettivi), 19 identità ASR dichiarate (18 regole client e un obiettivo NotApplicable valido solo per Exchange), opzioni DNS sicure e hardening avanzato, aggiungendo un livello sostanziale di hardening nativo di Windows oltre le impostazioni predefinite. Completa il rilevamento e la risposta esistenti, non li sostituisce.
Perché è importante:
- I profili guidati rendono visibile lo stato dei criteri — gli obiettivi selezionati vengono applicati e poi verificati
- Le regole ASR colpiscono categorie di comportamento, non solo campioni noti — il comportamento corrispondente può essere limitato senza dipendere da una firma del file
- Nessun motore antivirus aggiuntivo sempre attivo — NoID Privacy configura le funzionalità integrate di Windows invece di eseguire un secondo motore di scansione
- Ripristino della configurazione fin dalla progettazione — BAVR esegue il backup e ripristina ogni obiettivo supportato che modifica; le app dello Store rimosse vengono reinstallate per quanto possibile
Quando le soluzioni aziendali sono migliori:
- Grandi organizzazioni con SOC dedicato e team di threat hunting
- Ambienti che richiedono gestione e reportistica centralizzate
- Settori regolamentati con requisiti di conformità specifici
- Bersagli di alto valore esposti a minacce di livello statale
In sintesi:
«NoID Privacy aggiunge un livello di hardening verificato attorno a Windows 11 e Microsoft Defender:
valuta 630+ obiettivi dichiarati, tra cui 425 obiettivi della baseline e 19 identità ASR, e riporta quali controlli sono superati, non riusciti, esclusi per scelta o non applicabili. Aggiunge un hardening nativo di Windows sostanziale oltre le impostazioni predefinite, senza un ulteriore motore di scansione sempre attivo.»
Le 19 regole ASR spiegate
Le regole di riduzione della superficie di attacco bloccano intere categorie di comportamento degli utenti malintenzionati:
Misure per Office e per gli script
- Impedire alle app di Office di creare processi figlio
- Impedire alle app di Office di creare contenuti eseguibili
- Impedire alle app di Office di inserire codice in altri processi
- Impedire alle app di comunicazione di Office (Outlook) di creare processi figlio
- Impedire ad Adobe Reader di creare processi figlio
- Impedire alle macro di Office di chiamare le API Win32
- Bloccare l’esecuzione di script offuscati
- Impedire a JavaScript/VBScript di avviare contenuti eseguibili scaricati
Prevenzione dell’accesso iniziale
- Bloccare i contenuti eseguibili provenienti dal client di posta e dalla webmail
- Bloccare i processi non attendibili o non firmati provenienti da USB
- Bloccare gli eseguibili che non soddisfano criteri di diffusione, età o elenco attendibile
Protezione delle credenziali e dalla persistenza
- Bloccare il furto di credenziali da LSASS
- Bloccare la persistenza tramite sottoscrizione di eventi WMI
- Bloccare l’abuso di driver firmati vulnerabili già sfruttati
Spostamento laterale e strumenti di amministrazione
- Bloccare la creazione di processi da comandi PSExec e WMI
- Bloccare l’uso di strumenti di sistema copiati o contraffatti
Protezione dal ransomware
- Protezione avanzata dal ransomware (euristica client e cloud; richiede la protezione fornita dal cloud)
- Bloccare il riavvio del computer in modalità provvisoria
Solo server
- Bloccare la creazione di webshell nei server — riguarda i server Exchange, non applicabile ai client Windows 11
NoID Privacy dichiara tutte e 19 le identità — 18 sono regole per client Windows, mentre
l’identità webshell viene segnalata come NotApplicable su Windows 11 perché riguarda i server Exchange. Il
profilo selezionato determina l’azione supportata, Blocca o Audit; l’applicabilità viene verificata in fase di esecuzione.
Smetti di affittare la sicurezza. Falla tua.
Aggiungi un livello di hardening verificato attorno a Windows Defender.
Applica direttamente al tuo sistema impostazioni derivate dalla Security Baseline
Microsoft per Windows 11.
Aiuta a
limitare determinate tecniche di ransomware e spyware prima o durante l’esecuzione.
Zero
abbonamenti.
Basato sulle procedure consigliate Microsoft.
630+
425
19
GPLv3
Nessun abbonamento. Nessun tracciamento dell’uso. Acquisto una tantum, IVA inclusa: è tuo.
Per Windows 11 24H2, 25H2 e 26H2 (solo x64/AMD64; non ARM64)