Home › Blog › Sniffing di rete: cos'è e come prevenirlo in azienda

Sniffing di rete: cos'è e come prevenirlo in azienda

Lo sniffing di rete è l'intercettazione e l'analisi dei pacchetti di dati che viaggiano su una rete, di solito senza che gli utenti se ne accorgano. Se il traffico non è cifrato, chi lo cattura può leggere password, email e documenti. Si previene cifrando le comunicazioni, controllando chi accede alla rete e segmentandola in modo corretto.

In questa guida vediamo come funziona, quali dati mette a rischio e quali contromisure sono davvero efficaci per un'azienda.

Cos'è lo sniffing di rete e come funziona

Ogni informazione che passa su una rete viene suddivisa in pacchetti. Uno sniffer è un programma, o un dispositivo, che cattura quei pacchetti e ne mostra il contenuto. Gli strumenti più noti, come Wireshark e tcpdump, nascono per la diagnostica: i tecnici li usano per capire perché un'applicazione è lenta o perché due sistemi non si parlano.

Il problema nasce quando lo stesso principio viene usato da un malintenzionato. Per leggere il traffico altrui, la scheda di rete dell'attaccante deve poter vedere pacchetti che non sono destinati a lei. Per questo si parla spesso di modalità promiscua, in cui la scheda accetta tutto ciò che transita.

Sniffing passivo e sniffing attivo

Nello sniffing passivo l'attaccante si limita ad ascoltare. È tipico delle reti Wi-Fi aperte o di segmenti in cui il traffico è visibile a più dispositivi. Non genera pacchetti sospetti, quindi è molto difficile da rilevare.

Nello sniffing attivo l'attaccante interviene per far passare il traffico dal proprio dispositivo. Succede, ad esempio, con tecniche come l'ARP spoofing, che inganna gli altri host sulla rete locale. Qui si sconfina nell'attacco man in the middle, di cui l'intercettazione è spesso solo il primo passo.

Quali dati rischiano di essere intercettati

Dipende da come sono configurati i servizi. Un protocollo che trasmette le informazioni in chiaro espone tutto ciò che contiene. Un servizio cifrato, invece, mostra a chi ascolta solo dati illeggibili e qualche metadato.

Le informazioni più a rischio, quando viaggiano senza protezione, sono queste:

• Credenziali di accesso inviate da servizi datati come Telnet, FTP o da vecchie configurazioni di posta.
• Contenuto di email e messaggi quando il server non impone la cifratura.
• Cookie di sessione di siti e applicazioni web non protetti, che possono permettere di entrare in un account senza conoscere la password.
• Dati di gestione di apparati di rete, per esempio community string di protocolli di monitoraggio configurati in modo obsoleto.
• File e query scambiati con database e applicazioni interne non cifrati.

Una volta ottenute le credenziali, l'attaccante può usarle per muoversi nella rete e cercare altre vulnerabilità. Lo sniffing è quindi spesso una fase preparatoria, che si inserisce nelle fasi di un attacco informatico prima di furti di dati o ransomware.

Dove avviene più spesso l'intercettazione dei pacchetti

Reti Wi-Fi pubbliche e aziendali

Il Wi-Fi è l'ambiente più esposto, perché il segnale radio si propaga oltre le pareti. Una rete aperta, o protetta da una password condivisa da molte persone, rende più semplice per chi è nelle vicinanze catturare il traffico. Per approfondire rischi e difese, leggi la nostra guida agli attacchi alle reti Wi-Fi.

Per chi lavora a Milano tra uffici, coworking, hotel e stazioni, il rischio è concreto. Una connessione condivisa o un hotspot improvvisato sono ambienti in cui non si controlla chi altro è collegato.

Reti cablate e switch

Sulle reti cablate moderne gli switch inviano i pacchetti solo alla porta di destinazione, quindi lo sniffing è meno immediato. Non è però impossibile. Un attaccante con accesso fisico o logico alla LAN può ricorrere ad ARP spoofing, saturazione delle tabelle MAC o sfruttare una porta di mirroring configurata male.

Anche un dispositivo trascurato, come una stampante, una telecamera o un sensore, può diventare il punto di accesso. Ne parliamo nell'articolo sulle vulnerabilità IoT e gli attacchi ai dispositivi connessi.

Come prevenire lo sniffing di rete

Non esiste una singola misura risolutiva. Funziona un insieme di controlli, con un principio guida: anche se qualcuno intercetta i dati, non deve riuscire a leggerli né a usarli.

1. Cifra tutto il traffico. Usa HTTPS con certificati validi, SSH al posto di Telnet, SFTP al posto di FTP e imponi TLS per posta e database. Dove possibile, abilita HSTS sui siti web.
2. Elimina i protocolli in chiaro. Fai un inventario dei servizi che li usano ancora, spesso sistemi vecchi dimenticati, e pianifica la sostituzione o l'isolamento.
3. Proteggi il Wi-Fi. Preferisci WPA3, o almeno WPA2 con autenticazione aziendale 802.1X invece di una password condivisa. Separa la rete ospiti da quella interna.
4. Controlla l'accesso alla rete cablata. Disattiva le porte inutilizzate, abilita il port security e autentica i dispositivi con 802.1X.
5. Attiva le protezioni contro lo spoofing. Sugli switch gestibili, funzioni come DHCP snooping e Dynamic ARP Inspection rendono più difficile l'ARP spoofing.
6. Segmenta la rete. Dividere server, postazioni, ospiti e dispositivi IoT limita ciò che un attaccante riesce a vedere da un singolo punto.
7. Usa una VPN affidabile fuori sede. Chi lavora da reti non controllate dovrebbe far passare il traffico in un tunnel cifrato, mantenendo la VPN aggiornata, come spieghiamo negli attacchi alle vulnerabilità delle VPN aziendali.

A queste misure si aggiunge la formazione. Chi sa che una rete pubblica non è un luogo sicuro per accedere ai sistemi aziendali evita molte esposizioni inutili.

Come verificare se la tua rete è esposta

Il modo più concreto è guardare la rete con gli occhi di chi attacca. Un'analisi del traffico, eseguita con autorizzazione su un segmento rappresentativo, mostra quali protocolli passano ancora in chiaro e quali credenziali sono visibili. È spesso un'esperienza istruttiva: capita di scoprire servizi dimenticati che nessuno sapeva di avere.

Altri controlli utili sono:

• verificare le configurazioni di switch e access point, in particolare porte mirror e SSID;
• cercare dispositivi sconosciuti collegati alla rete;
• monitorare anomalie ARP e segnali di schede in modalità promiscua con strumenti di rilevamento;
• controllare che i certificati siano validi e che non vengano ignorati gli avvisi del browser.

Un penetration test automatizzato come FRED può aiutare a mappare i servizi esposti e a individuare configurazioni deboli, da affiancare ai controlli interni. Il risultato non sostituisce il giudizio di un esperto, ma dà una base concreta su cui decidere le priorità.

Sniffing e legalità: cosa tenere presente

Catturare pacchetti sulla propria rete, per diagnostica o per verifiche di sicurezza, è pratica comune. Cambia tutto quando si intercettano comunicazioni di terzi senza autorizzazione: in Italia l'intercettazione abusiva di comunicazioni informatiche o telematiche è prevista come reato dal codice penale.

Per questo, prima di avviare qualsiasi analisi, definisci per iscritto chi può farla, su quali sistemi e con quali limiti, tenendo conto anche della normativa sulla privacy e dei dati dei dipendenti. Se hai dubbi, confrontati con un consulente legale.

In sintesi

Lo sniffing è silenzioso, ma le sue conseguenze sono prevedibili: dove i dati viaggiano in chiaro, chi ascolta li legge. Cifratura, accessi controllati e segmentazione riducono il rischio in modo molto più efficace di qualsiasi strumento di sola rilevazione.

Se vuoi capire cosa potrebbe vedere oggi un attaccante sulla tua rete, puoi partire da una verifica mirata. Dai un'occhiata ai servizi di Fred for Security e scopri come analizzare l'esposizione della tua azienda e dare priorità agli interventi.

Domande frequenti