Identità · 46 giorni fa
CISA ha pubblicato un confronto tra due red team assessment che porta a una conclusione netta: a fare la differenza non è stata la tecnica degli attaccanti, ma la copertura di telemetria e la disciplina di triage e contenimento. In un’organizzazione la lateral movement è passata inosservata fino a toccare sistemi business e risorse cloud; nell’altra il compromesso iniziale è stato visto subito e contenuto.
Lo stesso tradecraft ha prodotto due percorsi diversi perché un SOC ha intercettato il primo accesso e ha messo in quarantena i sistemi coinvolti, mentre l’altro ha lasciato avanzare gli intrusi come utenti legittimi. Da lì, il movimento interno ha potuto raggiungere anche un host nella OT DMZ, e proprio quel secondo allarme ha fermato l’espansione.
Per chi gestisce monitoraggio e contenimento in IT, cloud e OT, il punto non è il perimetro d’ingresso ma il ritardo nel riconoscere il primo segnale e nel chiudere il contatto. Se quella prima compromissione sfugge o viene gestita male, l’accesso ordinario si trasforma in raggio d’azione interno molto più ampio.
4 fonti che coprono questa storia
CISA identifies security hurdles that led to very different results in two red-team engagements
The agency said its recent simulated cyberattacks offered several key lessons for many organizations.
CISA Red Team Compromised Two Critical Infrastructure Orgs, One Detected Nothing
CISA red teams reach domain-level compromise at two critical infrastructure organizations, but only one SOC detects and contains initial intrusion.
New CISA advisory addresses red-team assessments that expose critical infrastructure gaps in threat detection, response and OT security.
A Tale of Two SOCs: Insights From Two Red Team Assessments | CISA
This advisory compares defensive outcomes from two red team assessments.
Part of the PlainSec briefing for 2026-08-31