Il monitoraggio rete aziendale è l'osservazione continua del traffico interno per rilevare minacce, vulnerabilità sfruttabili e dispositivi non censiti, e per documentarlo. Per una PMI il modo più semplice è una sonda di rete passiva: un'appliance collegata a una porta mirror, senza agenti sui PC, mai inline, sicura anche in OT. Questa pagina spiega che cosa vede, dove finiscono gli allarmi, come si lega alla NIS2 e quanto costa.
Il monitoraggio della rete aziendale è l'osservazione continua di ciò che succede dentro la rete: quali dispositivi sono collegati, con chi parlano, quali servizi espongono, quali dati escono e quali comportamenti si discostano dal normale. Non è il monitoraggio di disponibilità (server acceso o spento, banda occupata): qui l'oggetto è la sicurezza della rete aziendale, cioè intrusioni, vulnerabilità sfruttabili e anomalie rilevate prima che diventino un incidente.
Per una PMI un monitoraggio rete aziendale fatto bene risponde a quattro domande, in qualsiasi momento e con una prova scritta:
Il firewall non risponde a queste domande: guarda il confine tra la rete e Internet, non ciò che avviene tra un PC e un file server o tra una telecamera e un PLC. Il monitoraggio traffico di rete interno è il pezzo che manca in molte PMI, ed è quello che cliente, assicuratore e auditor NIS2 chiedono di vedere documentato.
Il riferimento di questa pagina è la sonda di rete passiva Defensio Sensor, l'appliance on-premise dell'ecosistema Defensio.
Tra i tipi di monitoraggio di rete, la distinzione che conta per una PMI non è tra prodotti ma tra il punto di osservazione e il modo in cui il sistema interagisce con la rete. Gli approcci sono tre e la risposta giusta, quasi sempre, è combinarli partendo dal passivo.
Una sonda di rete passiva riceve una copia del traffico da una porta SPAN, da un TAP passivo o da una porta mirror sul core switch. Nulla è inline: non aggiunge latenza, non tocca il traffico di produzione e per progettazione non può bloccare nulla né causare un disservizio. Rileva e segnala; intervenire resta una decisione tua o del SOC. È la categoria che il mercato chiama network detection and response (NDR) o, con un termine più vecchio, intrusion detection system per aziende. Poiché non invia mai un pacchetto ai dispositivi monitorati, è l'unico approccio sicuro per il monitoraggio rete OT, dove PLC e sistemi SCADA non tollerano scansioni attive.
La scansione attiva interroga i sistemi per verificare porte, servizi e vulnerabilità. Vede ciò che il traffico passivo non mostra, per esempio una condivisione esposta che nessuno usa o una password debole. Il rovescio è che invia pacchetti: su asset fragili va autorizzata e pianificata. Nell'ecosistema Defensio i test attivi girano solo verso asset di proprietà del cliente e solo dove autorizzati per iscritto; fino ad allora restano in simulazione.
Un agente installato su PC e server vede i processi e i file di quella macchina, ma solo di quella. Non copre stampanti, telecamere, telefoni, PLC, dispositivi dei fornitori o il portatile collegato senza dirlo a nessuno, e va installato e mantenuto su ogni host. È un complemento, non un sostituto del monitoraggio rete senza agenti.
La tabella di confronto riassume che cosa vede ciascun approccio, quale impatto ha sulla rete e dove non arriva. Un Defensio Sensor unisce rilevamento passivo e vulnerability assessment interno nella stessa appliance.
Una sonda di rete passiva lavora sul traffico che già esiste. Da quella copia ricava sei cose che il firewall non può darti, perché il firewall guarda il confine e la sonda guarda dentro.
La stessa appliance copre anche web application testing (OWASP Top 10), credenziali aziendali nei database delle violazioni, superficie di attacco esterna (sottodomini, DNS, certificati), CVE di immagini e container e controlli di postura cloud rispetto ai benchmark di riferimento. Se ti serve solo la scansione del perimetro esposto, il vulnerability assessment continuo è disponibile anche come piattaforma cloud separata.
Il risultato del monitoraggio rete aziendale è un documento che consegni, non solo una dashboard. I report includono per ogni rilevazione gravità, evidenze e passo di remediation, sono esportabili in PDF e arrivano in tre tagli: executive per direzione o cliente, tecnico per chi interviene, di conformità per il fascicolo NIS2. Il vulnerability assessment automatizzato aggiunge punteggio e piano di remediation documentato: il materiale che un questionario assicurativo o un audit di seconda parte chiedono di allegare.
Un monitoraggio della rete che produce allarmi senza qualcuno che li legga è un costo, non una difesa. Le risposte possibili sono due.
Il tuo team IT gestisce il Sensor dalla piattaforma: stato dei moduli, report, esiti di scansioni e assessment, cruscotto degli allarmi, inventario e flussi di rete. Fidem fornisce piattaforma, aggiornamenti dei contenuti e supporto tecnico; triage e risposta restano interni. Adatta a organizzazioni con un team IT strutturato o a un MSP che tiene il primo livello in casa.
La telemetria del Sensor raggiunge il centro operativo Fidem su un canale cifrato con isolamento per cliente. Lì una pipeline AI a più stadi filtra il rumore ordinario, arricchisce l'evento con il contesto (asset e sue vulnerabilità, contatti con esche, comportamento storico, reputazione dell'indirizzo, movimento laterale), lo sottopone a triage e a una validazione incrociata indipendente. Agli analisti arriva solo ciò che merita una decisione umana, già assemblato come indagine. Il modello è advisory: il SOC rileva, correla, decide la gravità e ti guida con istruzioni di contenimento precise; le azioni sull'infrastruttura restano concordate con il tuo team, nessuna automazione cieca. Tu mantieni accesso e visibilità completi sulla tua istanza: nessuna scatola nera.
Puoi partire in Standalone e attivare il collegamento al SOC as a service in un secondo momento senza rifare nulla. La pipeline gira on premises su infrastruttura Fidem in Italia, air-gapped, senza cloud di terze parti; ogni decisione degli analisti resta in un audit trail append-only con autore e data, a sua volta un'evidenza spendibile in audit.
Defensio Sensor è il componente on-premise dell'ecosistema Defensio per il monitoraggio della rete aziendale: un'appliance fisica o virtuale che affianca la rete, osserva una copia del traffico da una porta SPAN, TAP o mirror e rende visibile l'interno dell'infrastruttura. Nessun agente sugli endpoint, nessuna latenza aggiunta, niente sul percorso del traffico di produzione: per questo può stare accanto a sistemi OT e SCADA.
Standalone: la console del Sensor è tua e gli allarmi arrivano al tuo team. Collegato al SOC: la telemetria raggiunge il centro operativo su un canale cifrato con isolamento per cliente; triage, escalation e risposta vengono gestiti, e tu mantieni accesso completo alla tua istanza. Il collegamento si attiva anche in un secondo momento senza rifare nulla. Il Sensor si dimensiona insieme a Fidem: contattaci per un preventivo.
Il monitoraggio continuo NIS2 non è un consiglio: l'articolo 21 della direttiva, recepito in Italia dal D.Lgs. 138/2024, chiede misure tecniche verificabili, e il monitoraggio rete aziendale è il modo più diretto per produrre le prove. Ecco le misure che una sonda passiva copre e l'evidenza che ne ricavi.
La reportistica di conformità è inclusa e generata dai prodotti, non compilata a mano. Per capire se e come la direttiva si applica alla tua azienda, la guida NIS2 per le PMI parte da lì; il percorso completo di adeguamento, con analisi del perimetro, policy e governance, è gestito da Fidem in Italia.
Il monitoraggio reti aziendali con una sonda passiva è pensato per quattro situazioni ricorrenti.
Non è lo strumento giusto se cerchi solo disponibilità (uptime, banda, stato dei server): quello è un altro tipo di software di monitoraggio rete.
Mettere in produzione il monitoraggio della rete aziendale non richiede un progetto lungo né fermi macchina. Il percorso è in quattro passi.
Per valutare il punto di osservazione della tua rete, contattaci: risponde una persona, non un modulo automatico.
Il Defensio Sensor non ha un listino pubblico: viene dimensionato con Fidem dopo la revisione della topologia e proposto su preventivo, come un'unica appliance con rilevamento, vulnerability assessment interno ed esterno, inventario e reportistica. Se colleghi il Sensor al SOC, il costo del servizio dipende dalla formula scelta (MDR gestito o licenza operata in proprio), dal numero di sedi e di sonde connesse, dalla modalità di triage, dai requisiti di reporting e, per MSP e partner, dal numero di clienti connessi.
Gli unici prezzi pubblici su defensio.technology riguardano un altro prodotto, i piani cloud di vulnerability assessment: Starter 59 €/mese, Professional 149 €/mese, MSP da 299 €/mese, IVA esclusa. Servono se ti basta la scansione del perimetro esposto; non includono la sonda di rete né il traffico interno.
Per i progetti da 4.000 euro il Voucher Cloud e Cybersecurity MIMIT copre il 50% a fondo perduto, a condizione che il progetto sia realizzato tramite un fornitore abilitato MIMIT: chiedi a Fidem se e come la tua richiesta può rientrare. Per un preventivo scrivi a sales@defensio.technology oppure contattaci: risponde una persona.
Le domande che riceviamo più spesso da responsabili IT, titolari e MSP prima di collegare una sonda di rete.
È l'osservazione continua del traffico interno per rilevare minacce, vulnerabilità sfruttabili, dispositivi non censiti e dati in uscita, e per documentarli. A differenza del monitoraggio di disponibilità, il monitoraggio rete aziendale in chiave di sicurezza produce allarmi classificati e report con evidenze e remediation da consegnare a cliente, assicuratore o auditor.
Tre: passivo, attivo e con agenti sugli endpoint. Il passivo osserva una copia del traffico da una porta mirror, mai inline, e non può causare disservizi. L'attivo interroga i sistemi con scansioni e vulnerability assessment e va autorizzato sugli asset fragili. Gli agenti vedono solo la macchina su cui girano. Una sonda di rete passiva combina i primi due.
No. Una sonda di rete passiva si collega a una porta SPAN, a un TAP passivo o a una porta mirror sul core switch e osserva una copia del traffico. Nessun software su PC e server, nessun impatto sulle prestazioni, e copre anche ciò su cui un agente non si installa: stampanti, telecamere, telefoni, PLC, portatili di ospiti e fornitori.
Minacce nel traffico live mappate su MITRE ATT&CK, vulnerabilità con priorità basata sugli exploit in circolazione, inventario passivo dei dispositivi con riconoscimento del tipo e del modello, applicazioni identificate anche nel traffico cifrato, condivisioni esposte e password deboli, strumenti di accesso remoto non autorizzati, dati in uscita e contatti con i servizi esca che rivelano movimenti laterali.
No. La sonda lavora su una copia del traffico e non si trova sul percorso dei pacchetti: non aggiunge latenza e il traffico di produzione non viene mai toccato. Gli aggiornamenti dei contenuti avvengono senza finestre di manutenzione. L'unica componente che invia pacchetti è la scansione attiva, eseguita solo verso asset del cliente e dove autorizzata per iscritto.
Sì. Il rilevamento passivo non invia mai un pacchetto a un dispositivo monitorato, quindi convive con PLC e sistemi OT/SCADA che non tollerano scansioni attive. I dispositivi industriali compaiono nell'inventario, il loro comportamento abituale viene registrato e ogni deviazione genera un allarme, senza rischi per la produzione.
L'articolo 21 §2 lett. b chiede il rilevamento costante di anomalie e incidenti, la lett. e la gestione delle vulnerabilità, la lett. i la gestione degli asset, la lett. d la sicurezza della supply chain, e la direttiva impone preallarme entro 24 ore e notifica formale entro 72 per gli incidenti significativi. Un monitoraggio continuo NIS2 con sonda passiva copre queste misure e produce i report di conformità per il fascicolo delle evidenze.
Lo decidi tu. In Standalone li gestisce il tuo team IT dalla piattaforma, con aggiornamenti e supporto tecnico Fidem. In modalità collegata al SOC la telemetria arriva al centro operativo Fidem in Italia, una pipeline AI filtra il rumore e gli analisti prendono in carico solo ciò che merita una decisione umana, guidandoti con istruzioni di contenimento. Il passaggio tra le due modalità non richiede di rifare nulla.
No, lo completa. Il firewall guarda il confine tra la rete e Internet e blocca ciò che non deve passare. La sonda guarda dentro: il traffico tra un PC e un server, i movimenti laterali, i dispositivi non censiti, le condivisioni aperte, le password deboli realmente sfruttabili e i dati che escono attraverso canali legittimi. Un auditor si aspetta di trovare entrambi.
Se devi dimostrare a un cliente, a un assicuratore o a un auditor che il monitoraggio rete aziendale è attivo e documentato, il primo passo è una revisione della topologia: individuiamo insieme il punto di osservazione giusto e dimensioniamo l'appliance sulla tua infrastruttura. Contattaci da defensio.technology/it/contatti/ oppure scrivi a sales@defensio.technology: risponde una persona di Fidem, in Italia.