Un ricercatore ha appena pubblicato uno studio che arriva nel momento peggiore possibile per chi difende reti aziendali: mentre le tecniche di rilevamento anomalie controllo flusso vengono presentate come una delle difese più solide contro le intrusioni informatiche, gli attaccanti hanno già imparato a girarle intorno. Il paper, firmato da Martin Sachenbacher e pubblicato il 12 agosto 2026, propone una soluzione che combina controlli software e hardware per rendere molto più difficile il camuffamento degli attacchi. La proposta arriva mentre casi recenti nel settore, dal fenomeno “GhostJacking” contro gli agenti AI ai dati del Blue Report 2026 di Picus Labs, mostrano quanto sia reale il problema che il ricercatore cerca di risolvere.
Summary
Punti chiave
- Il monitoraggio del flusso di controllo individua anomalie di integrità a runtime, ma può essere ingannato da attaccanti che manipolano deliberatamente i pattern osservati.
- Gli attack tree traducono le anomalie rilevate in ipotesi concrete sul tipo di attacco in corso.
- Il paper propone di affiancare al monitoraggio software un livello hardware indipendente che verifica in dettaglio le attività sospette.
- Un esempio basato su un servizio di autenticazione mostra come il solo livello software possa scambiare un’intrusione grave per un problema benigno.
- Dati indipendenti dal settore, come il Blue Report 2026 di Picus e la ricerca “GhostJacking” di Tenet Security, confermano che il camuffamento e il rilevamento incompleto sono problemi già concreti in produzione.
Migliorare la sicurezza informatica con il monitoraggio del controllo flusso
Il monitoraggio del flusso di controllo funziona da base per garantire l’integrità dei sistemi e individuare eventuali anomalie mentre il software è in esecuzione. È un approccio che osserva il percorso effettivo che un programma segue durante l’elaborazione, confrontandolo con quello che ci si aspetterebbe da un comportamento legittimo.
Rilevare anomalie di integrità durante l’esecuzione
Il principio è semplice: se un sistema devia dal percorso previsto, quella deviazione può segnalare un problema. Il rilevamento anomalie runtime consente quindi di intercettare comportamenti sospetti nel momento in cui accadono, non a posteriori tramite analisi forense. È un vantaggio non banale in un contesto dove ogni secondo di ritardo nella scoperta di un’intrusione si traduce in maggiore esposizione.
Usare gli attack tree per identificare le intrusioni
Una volta individuata un’anomalia, la domanda successiva è: di che tipo di attacco si tratta? Qui entrano in gioco gli attack tree, strutture che modellano le possibili catene di eventi malevoli e permettono di collegare un sintomo osservato a una causa probabile. È la parte di identificazione intrusioni attack tree che trasforma un semplice allarme in una diagnosi utilizzabile da chi deve rispondere all’incidente.
Le sfide del camuffamento degli attacchi nel rilevamento del controllo flusso
Il problema, secondo il paper, è che questo schema di rilevamento ha un punto debole strutturale: può essere ingannato da chi conosce come funziona. Gli attaccanti più sofisticati non si limitano a violare un sistema, manipolano anche ciò che il sistema stesso riporta di sé.
Gli attaccanti manipolano i flussi di controllo osservati e i limiti dell’osservazione software
Sachenbacher descrive esplicitamente questa vulnerabilità: gli attaccanti possono camuffare un attacco alterando deliberatamente il flusso di controllo osservato dal sistema di monitoraggio, così da evadere sia la rilevazione sia la corretta identificazione successiva. Il risultato è un caso concreto e piuttosto inquietante: un osservatore a livello software vede una deviazione anomala ma apparentemente innocua, la collega a una causa benigna dentro l’attack tree, e finisce per perdere l’intrusione reale che si sta verificando sotto traccia.
Perché conta: questo non è un dettaglio accademico. È esattamente il tipo di scenario che la ricerca “GhostJacking” di Tenet Security ha dimostrato dal vivo contro agenti AI, presentata durante una sessione al DEF CON 34. I ricercatori hanno mostrato come sia possibile avvelenare contenuti considerati affidabili, come alert di sicurezza, log e report di errore, per spingere gli agenti a eseguire codice, sottrarre credenziali o arrivare fino alla presa di controllo dell’infrastruttura. In una delle dimostrazioni, una richiesta bloccata dal firewall di Cloudflare e registrata nei log è stata usata per convincere un agente a modificare le impostazioni DNS aziendali, prendendo di fatto il controllo del dominio. Secondo i dati riportati, Claude Code è caduto nel tranello nove volte su dieci. Come ha spiegato Barak Sternberg, co-fondatore e CEO di Tenet, “il firewall non è mai andato giù, ha solo smesso di contare”.
Un approccio modello-based che combina monitoraggio hardware e software
La risposta proposta da Sachenbacher non elimina il monitoraggio software, ma gli affianca un secondo livello indipendente che verifica ciò che il primo ha già segnalato. È qui che il monitoraggio hardware software combinato cambia le regole del gioco.
Integrazione del monitoraggio a livello software e hardware
Nel modello proposto, l’osservazione software continua a fare il suo lavoro di prima linea, segnalando attività sospette. Ma è il livello hardware a controllare separatamente e in maggiore dettaglio quelle stesse attività, rendendo molto più difficile per un attacco camuffarsi e passare inosservato. La logica è quella della verifica indipendente: se un attaccante riesce a manipolare cosa “vede” il software, difficilmente riuscirà a manipolare allo stesso modo cosa registra un componente hardware separato.
Il monitoraggio hardware per una verifica dettagliata e indipendente ed esempio del servizio di autenticazione
Per rendere concreto il meccanismo, il paper propone un esempio basato su un servizio di autenticazione, scelto perché rappresenta un caso di fallimento realistico e ricorrente nei sistemi reali. Nello scenario, un secondo monitor hardware del flusso di controllo, del tutto indipendente dal primo, osserva l’effettiva sequenza di transizioni del sistema. Questa verifica dettagliata hardware cambia radicalmente la diagnosi generata dall’attack tree: da un semplice problema di configurazione o manutenzione a bassa gravità, diventa un’indicazione ad alta confidenza di code-injection o dirottamento del flusso di controllo.
Perché conta: è la differenza tra chiudere un ticket come falso allarme e riconoscere un’intrusione reale in corso. Il Blue Report 2026 di Picus Labs, basato su oltre 338 milioni di simulazioni di attacco condotte in ambienti di produzione reali nella prima metà del 2026, offre un dato che va nella stessa direzione: mentre l’efficacia media di prevenzione ai confini della rete è salita dal 62% al 69%, una volta che un attaccante è già dentro il dominio le difese bloccano solo il 37% delle azioni. La ricognizione interna e l’enumerazione di sessioni vengono fermate solo nel 10% dei casi, e la lettura di credenziali dalla memoria viene rilevata appena nel 22% delle volte. Sono esattamente le strategie anti-camuffamento attacchi silenziose che un secondo livello di verifica indipendente, come quello hardware proposto nel paper, dovrebbe intercettare.
Vantaggi dell’approccio combinato nell’identificazione degli attacchi informatici
Combinare rilevamento delle anomalie nel flusso di controllo, identificazione tramite attack tree e monitoraggio hardware non migliora soltanto la capacità di accorgersi che qualcosa non va: migliora anche la precisione della diagnosi finale. È questo il punto centrale della proposta di Sachenbacher, e la parte più interessante per chi progetta architetture di sicurezza basate su modelli.
Un sistema che si limita all’osservazione software rischia di fermarsi alla prima spiegazione plausibile, anche quando è quella sbagliata. Aggiungere un livello di cybersecurity basata su modelli con doppia verifica costringe invece il sistema a riconciliare due fonti indipendenti prima di chiudere il caso, aumentando la fiducia con cui si distingue un’anomalia benigna da un attacco serio in corso. Nel contesto attuale, dove i dati di Picus mostrano che solo il 14% degli attacchi simulati produce effettivamente un allarme nonostante la registrazione dei log sia salita al 58%, questo tipo di verifica incrociata smette di essere un raffinamento teorico e diventa una necessità operativa.
FAQ
Cos’è il monitoraggio del flusso di controllo in ambito cybersecurity?
È un metodo che rileva anomalie di integrità a runtime osservando i percorsi di esecuzione del software mentre il sistema è in funzione.
Come aiutano gli attack tree nell’identificazione dei cyber-attacchi?
Gli attack tree analizzano le anomalie individuate per identificare i possibili tipi di attacco, basandosi su strutture modellate in anticipo che collegano sintomi a cause probabili.
Perché il monitoraggio a livello hardware è importante insieme a quello software?
Perché verifica in modo indipendente e più dettagliato le stesse attività, impedendo agli attaccanti di camuffare un’intrusione dentro le sole osservazioni raccolte a livello software.
Come migliora la sicurezza informatica l’approccio combinato proposto?
Integrando rilevamento delle anomalie nel flusso di controllo, attack tree e monitoraggio hardware, l’approccio aumenta sia la sensibilità nel rilevamento sia la precisione diagnostica, in particolare nell’identificare intrusioni reali che altrimenti passerebbero inosservate.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
