https://u-random.dev/tags/threat-hunting/Recent content in Threat-Hunting on u-randomHugo -- gohugo.ioit-itTue, 19 May 2026 00:00:00 +0000https://u-random.dev/blog/il-fantasma-nella-rete/Tue, 19 May 2026 00:00:00 +0000https://u-random.dev/blog/il-fantasma-nella-rete/<p> </p> <div style="border-left:3px solid #6366f1;background:rgba(99,102,241,0.06);padding:12px 16px;border-radius:0 6px 6px 0;margin:1.5rem 0;"> <div style="font-size:0.7rem;font-weight:800;letter-spacing:0.1em;color:#6366f1;text-transform:uppercase;margin-bottom:6px;">TL;DR</div> <div style="font-size:0.95rem;line-height:1.6;"><ul> <li>Un honeypot è un sistema esca - qualsiasi connessione ricevuta è per definizione sospetta</li> <li>La ricognizione interna (lateral movement iniziale) lascia tracce nei log prima che l'attaccante agisca</li> <li>Analizzare chi ha contattato il honeypot rivela quali host sono compromessi o controllati da un attaccante</li> <li>IDS/IPS signature-based non rileva zero-day - il comportamento anomalo verso risorse inesistenti lo fa</li> </ul> </div> </div> <details style="border-left:3px solid #10b981;background:rgba(16,185,129,0.06);border-radius:0 6px 6px 0;margin:1.5rem 0;"> <summary style="padding:10px 16px;font-size:0.7rem;font-weight:800;letter-spacing:0.1em;color:#10b981;text-transform:uppercase;cursor:pointer;list-style:none;display:flex;align-items:center;gap:8px;"> <span style="font-size:0.65rem;transition:transform 0.2s;">▶</span> $ history </summary> <div style="padding:4px 16px 12px;font-size:0.92rem;line-height:1.7;font-family:'JetBrains Mono','Fira Code',monospace;"><ul> <li><a href="https://u-random.dev/comandi/tshark/" >tshark</a> -r capture.pcap -Y &quot;ip.dst == 192.168.10.99&quot; -T fields -e ip.src -e tcp.dstport</li> <li><a href="https://u-random.dev/comandi/dig/" >dig</a> -x 192.168.10.99</li> </ul> </div> </details> <p>Sono le 14:33. Il SIEM ha flaggato una connessione TCP verso <code>192.168.10.99</code>. Il problema: a quell'IP non c'è nessun server. Non c'è nessun servizio. Non c'è nessun device registrato nell'inventario.</p>