Open Source Enterprise Network

2026-06-26 20:27:50

Is Digital Sovereignty Another Word for Nationalism?

I attended my very first Open Source Week at the United Nations. Because of some other events, I got here a day late and in the middle of a session, but I arrived at a great time: the topic under discussion was “open source and digital sovereignty”, a subject of much recent debate. Listening to the discussion unfold, I was reminded of why I have grown increasingly frustrated – and pessimistic – about most open source discourse. As I have mentioned elsewhere, open source is an artifact of the naive 90s, when we were all convinced that as long as everyone in the world had internal access and a computer, we would break down walls and make oppression a thing of the past.

As the panelists were discussing topics related to digital sovereignty, they brought up many great points – infrastructure, community access, the role of open source programs, the importance of transparency, for both data and software. But as I listened, I realized there was a subtext that was going unmentioned: the reason that digital sovereignty has become such a hot-button issue is that a certain country, along with its large, multinational tech companies, has been deemed untrustworthy, triggering much Sturm and Drang about how the data of much of the world seems to be all flowing into the coffers of big American tech. Before I go any further, let me acknowledge that they are right to be concerned, and I’m glad other countries have finally noticed the inherent risks of the global imbalance of tech. I just wish they had noticed 20 years earlier. That said, I think it’s important to ask the question of what question are we actually trying to solve and what does success look like.

Sovereignty as Nationalism

Because national sovereignty is the initial driver of this conversation, much of the discussion has focused on where data, services, and software live, as if the same broken governance that defines American tech is magically better if it’s located in, say, Germany, France, or the UK. While I enjoy taking a good swing at Simon Wardley, I have to confess that his skepticism of the sovereignty discourse seems to be on point. Following his train of thought led me to this post by Christian Edelmann. It now occurs to me that this fixation on the location of services has led us to ask and answer the wrong question: “are American companies too powerful?” and “how do we shift the balance of power, geopolitically?” I won’t argue that those aren’t important questions, but I think they miss the larger points, namely: “what does success look like?” and “how can we guarantee privacy and access in a multi-national tech world?” I understand that there are complicating factors here. If an American company does its best to treat people’s ownership and access to their data as a human right, that doesn’t mean that its government will have the same respect, so the question of sovereignty cannot function independently of nation states.

There is a very real risk that nation states will treat sovereignty as a geopolitical power exercise and not a guarantee of people’s and communities’ rights. Indeed, when you see communications from UK and EU governments, it’s in a reactionary form of “how do we distance ourselves from the USA”. The problem with this approach is that it is ripe for exploitation. We risk ending up in a place worse than where we came from.

The Open Source Question

Must of the discussion about the role of open source was in the form of how to guarantee transparency and open access to software, data, and services. After the panel was over, I was discussing this with another attendee, who said that keeping everything open source will be essential to preventing companies from exploiting people. While I’m a big fan of the transparency of open source, where have we heard this before? Over the last 20 years, we have seen countless examples of vendors exploiting open source code to create proprietary services that violate people’s privacy and prevent them from ownership of their data. Clearly, mandating open source doesn’t prevent companies or governments from implementing mass surveillance systems. Having witness this in the cloud computing and now AI markets, no one should be naive enough to believe that keeping software open source will be enough to protect constituents from “the new oil”.

Which brings me to the motivations of companies participating in this discussion and advocating for digital sovereignty and open source transparency. It should be noted that none of the tech companies I’ve heard discussing sovereignty have mentioned human rights. In fact, during yesterday’s panel, the concept of human rights as they pertain to privacy and access was entirely missing. This is an oversight. It will be far too easy for tech vendors to reimplement tools of mass surveillance in their respective countries. In this scenario, “sovereignty” becomes shorthand for monopolistic business practices conducted under the aegis of pro-nationalism, not pro-people.

Human Rights of Digital Sovereignty

In contrast to the panel discussion on open source and digital sovereignty, I next attended a breakout session on “Data Governance and the Public Good”, where the subject of human rights came up exactly once, which is better than none. I’m not a fan of repeating the mistakes of the past. In the early 2000s, it was commonplace to disregard the involvement of nation states as violating the feel-good order of the day involving international ad hoc communities, coming together under a common purpose. That line of thinking is still dominant, although less so. At least now most open source community participants acknowledge the benefits of governments sponsoring a digital commons and digital public infrastructure, which necessarily requires flourishing open source communities. Now that nation states are getting involved, we face a different risk; one where governments are all too happy to watch open source proliferate and repeat the actions of the past, except this time in the name of sovereignty and on their national turf. In both cases – discounting government involvement and inviting government-fostered surveillance and exploitation – the results stem from a reluctance to explicitly tie these efforts to the protection of human rights.

What does it mean to protect everyone’s right to privacy while also guaranteeing access to essential services, in the public and private sectors? I have yet to see examples of what an explicit declaration of human rights in the age of cloud and AI would look like. My chief concern is that allowing nation states to define the meaning of digital sovereignty will go no further than locking their respective populations into the same underhanded schemes but with different owners. We can and should do better than that. Let’s define the outcomes we want and then determine the best way to achieve them. The data and software can live in any number of places, as long as our human rights are respected. It doesn’t have to be consigned to a specific geographic location.

If we allow nationalism to be branded as digital sovereignty, we will have failed.

Europe's Digital Sovereignty: Balancing Choice and Execution | Christian Edelmann posted on the topic | LinkedIn

Europe does not need to own every layer of the technology stack. But it does need to know where dependence is acceptable — and where it is strategically dangerous.

^{Christian Edelmann (LinkedIn)}

(in)sicurezza digitale

2026-06-26 17:03:48

macOS.Gaslight: backdoor nordcoreana in Rust che inganna i tool AI degli analisti di sicurezza

Il panorama delle minacce avanzate ha appena acquisito una dimensione inedita e preoccupante: un malware nordcoreano progettato specificamente per manipolare i tool di analisi basati su intelligenza artificiale, non per sfuggire ai sandbox tradizionali. macOS.Gaslight, scoperto e analizzato dai ricercatori di SentinelOne Labs, introduce una tecnica mai vista in natura: la prompt injection direttamente nel binario, indirizzata ai pipeline di triage assistiti da LLM che oggi affiancano il lavoro degli analisti di sicurezza.

Il contesto: l’escalation del malware DPRK per macOS

La Corea del Nord ha sviluppato negli anni una capacità offensiva su macOS di tutto rispetto, tipicamente orientata al furto di criptovalute e all’infiltrazione di aziende nel settore tecnologico e finanziario. I gruppi Lazarus, BlueNoroff e i loro cluster affiliati hanno già firmato strumenti come RustBucket, KANDYKORN e ObjCShellz. macOS.Gaslight si inserisce in questa filiera, ma aggiunge un elemento evolutivo significativo: la consapevolezza che i moderni workflow di analisi del malware si appoggiano sempre più a strumenti di triage automatizzato basati su LLM, e la volontà di sfruttare proprio questa dipendenza come vettore di evasione.

La tecnica centrale: prompt injection contro l’analista, non contro il sandbox

La caratteristica distintiva di macOS.Gaslight è un payload da 3,5 KB embedded direttamente nel binario: un blob in formato Markdown contenente 38 messaggi di sistema fasulli, delimitati da token {{DATA}}. Questa struttura imita deliberatamente lo scaffold di un harness LLM per il triage del malware, rendendo indistinguibile il confine tra dati campione non attendibili e istruzioni attendibili del sistema.

I messaggi fabricati simulano scenari di errore critici: scadenza del token, kill per esaurimento della memoria (OOM), esaurimento dello spazio su disco, ripetuti fallimenti operativi, avvisi di vulnerabilità da injection e flag da analisi statica. L’obiettivo, secondo SentinelOne, è far dubitare l’agente LLM della propria sessione di analisi, portandolo ad abortire o rifiutare l’esame del campione.

«La sua caratteristica più notevole è una cascata di messaggi di sistema fabbricati, progettata per far dubitare un agente di triage assistito da LLM della propria sessione. Attacca la percezione dell’agente, non il sandbox in cui opera.»
Phil Stokes, SentinelOne Labs

Architettura tecnica del malware

Linguaggio e firma: il binario è scritto in Rust, compilato per l’architettura macOS aarch64 (Apple Silicon). È firmato in modalità ad hoc e porta l’identificatore endpoint-macos-aarch64-5555494492fc075f441637fb9d894913dde3a2ea. Il campione era stato caricato su VirusTotal il 22 maggio 2026, prima che un aggiornamento di Apple XProtect lo intercettasse basandosi puramente sull’hash.

Persistenza: il malware installa un LaunchAgent nel profilo utente, usando il label com.apple.system.services.activity nel file .plist, volutamente progettato per mimetizzarsi tra i processi di sistema legittimi di Apple. Per ottenere il percorso assoluto di se stesso da inserire nell’array ProgramArguments, il binario risolve a runtime la propria posizione tramite __NSGetExecutablePath.

Comando e controllo: l’implant utilizza il Telegram Bot API come canale C2, entrando in un ciclo di polling con getUpdates che permette all’operatore di inviare istruzioni tramite una shell interattiva e ricevere i risultati. Una scelta operativa che sfrutta la legittimità del traffico Telegram per eludere blocchi di rete basati su reputazione dei dominio. Il malware si auto-censura eliminando il proprio token Telegram dall’output runtime, impedendo a chiunque catturi log o crash di recuperarlo.

Modulo infostealer: incorporato nel binario è presente uno script Python da 6,6 KB codificato in Base64 che funge da suite di raccolta informazioni. Raccoglie: cronologia dei comandi del terminale, lista delle applicazioni installate, snapshot dei processi in esecuzione, profilo hardware e software del sistema, il database Keychain di macOS e credenziali salvate nei browser Chrome, Brave, Firefox e Safari. I dati raccolti vengono compressi in un archivio ZIP (temp/collected_data.zip) e caricati su Telegram.

Due righe per i difensori

macOS.Gaslight segna un punto di svolta: per la prima volta in natura si documenta l’uso della prompt injection come tecnica di evasione nei confronti dei pipeline di analisi automatizzata del malware. Non è più sufficiente affidarsi esclusivamente all’AI-assisted triage per la classificazione di campioni sospetti; i team di sicurezza devono implementare approcci a difesa in profondità che combinino analisi statica tradizionale, sandbox comportamentali e revisione umana.

Per quanto riguarda la detection su endpoint macOS, è consigliabile monitorare creazioni di LaunchAgent con label che imitano naming convention Apple (com.apple.*), connessioni uscenti verso l’API di Telegram (api.telegram.org) da processi non familiari, accessi al database Keychain da processi non autorizzati, e la creazione di archivi ZIP in directory temporanee non standard.

Indicatori di compromissione (IoC)

# Identificatore binario
endpoint-macos-aarch64-5555494492fc075f441637fb9d894913dde3a2ea
# Persistenza LaunchAgent
Label: com.apple.system.services.activity
Path: ~/Library/LaunchAgents/com.apple.system.services.activity.plist
# File creato durante esfiltrazione
temp/collected_data.zip
# Traffico di rete C2
api.telegram.org (polling via getUpdates)
# Caratteristiche binario
Arch: macOS aarch64 (Apple Silicon)
Linguaggio: Rust
Firma: ad hoc signed

L’analisi completa con ulteriori indicatori tecnici è disponibile nel report originale di SentinelOne Labs. La scoperta rafforza la necessità di trattare qualsiasi output di analisi AI di campioni sconosciuti con un livello aggiuntivo di scetticismo, verificando manualmente le conclusioni quando i tool automatizzati segnalano errori di sessione o fallimenti operativi insoliti durante il triage.

Spcnet.it

2026-06-26 11:12:08

Authentication Laundering e TonRAT: come il malware Node.js prende di mira il settore hospitality

Microsoft Threat Intelligence ha recentemente portato alla luce una campagna di attacco multi-stadio particolarmente sofisticata, attiva dall’aprile 2026 contro l’industria dell’ospitalità in Europa e Asia. Il vettore principale è il phishing, ma la tecnica di evasione usata — ribattezzata dagli analisti “authentication laundering” — rappresenta un salto di qualità rispetto ai metodi tradizionali.

Cos’è l’Authentication Laundering

Il termine prende spunto dal concetto di “money laundering”: come si riciclano fondi illeciti attraverso canali legittimi, gli attaccanti “riciclano” URL malevoli attraverso servizi reputati come Calendly e i redirect di Google. In pratica, il link inserito nell’email di phishing non punta direttamente al payload, ma a una pagina Calendly o a un redirect Google che a sua volta reindirizza alla risorsa malevola.

Il risultato è che i gateway email sicuri (SEG) vedono un dominio affidabile nel corpo del messaggio e lasciano passare il messaggio. La destinazione finale, quella pericolosa, viene raggiunta solo dopo che l’utente ha già cliccato. Questo approccio bypassa efficacemente:

• Reputazione URL in tempo reale
• Sandboxing statico dei link
• Filtri basati su domain reputation

La catena di attacco passo per passo

Fase 1 – Il lure

Le email di phishing sono costruite per sembrare comunicazioni legittime da parte di ospiti: reclami fotografici su condizioni delle camere, richieste di prenotazione, o segnalazioni su oggetti smarriti. Tutte contengono un link che sfrutta l’authentication laundering descritto sopra. L’obiettivo è persuadere il personale dell’hotel — tipicamente non tecnico — ad aprire un archivio ZIP allegato o scaricato.

Fase 2 – Lo ZIP con shortcut fasulli

Il file ZIP contiene shortcut (.lnk) mascherati da immagini. Quando l’utente fa doppio clic sul presunto file JPG, in realtà esegue uno script PowerShell heavily obfuscated che dà il via alla catena di infezione.

# Esempio semplificato di obfuscation tipica nei dropper PowerShell
$encoded = "JABzAD0AIgBoAHQAdABwAHMAOi..."
[System.Text.Encoding]::Unicode.GetString([Convert]::FromBase64String($encoded)) | IEX

Gli script evolvono attraverso multiple iterazioni per evitare le signature statiche degli antivirus: ogni stage decodifica il successivo in memoria prima di eseguirlo.

Fase 3 – Deployment di TonRAT (Implant Node.js)

Il payload finale è TonRAT, un Remote Access Trojan scritto in Node.js. La scelta di Node.js è deliberata: viene eseguito da directory user-space (es. %APPDATA%), senza richiedere privilegi elevati, e sfrutta un runtime legittimo — il processo node.exe — che non desta sospetti ai controlli superficiali.

TonRAT dispone di capacità avanzate:

• Modifica delle esclusioni di Microsoft Defender: aggiunge i propri processi temporanei alla lista delle esclusioni per operare indisturbato.
• Compilazione .NET dinamica: genera ed esegue codice .NET in memoria per estendere le proprie capacità senza toccare il disco.
• Download di componenti aggiuntivi: se un componente viene rimosso da un prodotto di sicurezza, l’implant si riconnette al C2 e lo riscarica automaticamente.

Fase 4 – Persistenza duale nel Registro

La persistenza viene garantita attraverso un meccanismo a doppio strato nel registro di Windows:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce

Sia il componente Node.js principale che i payload secondari in ProgramData hanno proprie entry con percorsi randomizzati. Se la sicurezza rimuove uno dei due, l’altro sopravvive e provvede a ripristinare il componente eliminato.

Come difendersi: Indicatori e Contromisure

Monitoraggio comportamentale

Il punto critico da monitorare è l’esecuzione di node.exe da directory non standard. In un ambiente aziendale, Node.js non dovrebbe mai girare da %APPDATA%, %TEMP% o %LOCALAPPDATA%. Un alert su questo pattern è altamente indicativo.

# Query per trovare processi node.exe in esecuzione da directory sospette (PowerShell)
Get-CimInstance Win32_Process -Filter "Name = node.exe" |
  Select-Object ProcessId, CommandLine, @{
    Name=Path; Expression={$_.ExecutablePath}
  } |
  Where-Object { $_.Path -notlike "*\Program Files*" -and $_.Path -notlike "*\nodejs*" }

Audit delle Registry Run Keys

Verificare regolarmente la presenza di entry con nomi randomizzati (tipicamente 8-12 caratteri alfanumerici) nelle chiavi di autorun:

# Controllo chiavi Run e RunOnce per tutti gli utenti del sistema
$keys = @(
  "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run",
  "HKLM:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
  "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
  "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce"
)
foreach ($key in $keys) {
  Write-Host "`n[$key]"
  Get-ItemProperty -Path $key -ErrorAction SilentlyContinue |
    Select-Object -Property * -ExcludeProperty PS*
}

Politiche di restrizione PowerShell

Abilitare la modalità Constrained Language di PowerShell e configurare le AMSI-based logging per catturare gli script decodificati prima dell’esecuzione:

# Abilitare la trascrizione di PowerShell (via GPO o direttamente)
Set-ItemProperty -Path "HKLM:\Software\Policies\Microsoft\Windows\PowerShell\Transcription" `
  -Name "EnableTranscripting" -Value 1 -Force
Set-ItemProperty -Path "HKLM:\Software\Policies\Microsoft\Windows\PowerShell\Transcription" `
  -Name "OutputDirectory" -Value "C:\PSLogs" -Force

Formazione del personale

Poiché il vettore iniziale è sociale, la formazione rimane fondamentale. Il personale dell’ospitalità deve essere addestrato a:

• Non aprire allegati ZIP da email sconosciute, anche se contengono presunte foto di ospiti
• Verificare il dominio reale di un link passando il mouse sopra prima di cliccare
• Segnalare immediatamente comportamenti anomali dei propri dispositivi

La campagna TonRAT esemplifica l’evoluzione delle minacce verso un’evasione sempre più raffinata. L’authentication laundering rende inefficaci i controlli perimetrali basati sulla reputazione dei domini, spostando il punto di difesa verso il rilevamento comportamentale. Per i sysadmin, il takeaway principale è chiaro: non basta bloccare URL malevoli — occorre monitorare ciò che accade dopo il click, dentro i sistemi.

Fonte: 4sysops.com | Analisi tecnica originale: Microsoft Threat Intelligence

Hospitality industry targeted by persistent Node.js malware via photo-themed phishing – 4sysops

Microsoft Threat Intelligence has uncovered a multi-stage cyberattack campaign targeting the hospitality industry in Europe and Asia since April 2026. The threa

^{IT News (4sysops)}

Spcnet.it

2026-06-26 11:05:20

Gestire Microsoft Defender Antivirus con PowerShell: cmdlet pratici per sysadmin

Microsoft Defender Antivirus è il componente di sicurezza integrato in Windows 10, Windows 11 e Windows Server 2016 e successivi. Spesso gestito tramite interfaccia grafica o Group Policy, offre però un set completo di cmdlet PowerShell che permettono una gestione programmatica potente, particolarmente utile in ambienti server headless, pipeline di automazione e script di provisioning.

In questo articolo esploriamo i cmdlet principali, con esempi pratici di utilizzo per la gestione quotidiana da parte di amministratori di sistema.

Prerequisiti e Accesso

I cmdlet di Defender sono disponibili per impostazione predefinita su Windows 10/11 e Windows Server 2016+. Per usarli è necessario aprire PowerShell come amministratore.

# Verifica che il modulo Defender sia disponibile
Get-Module -ListAvailable -Name Defender

# Per visualizzare la documentazione completa di qualsiasi cmdlet
Get-Help <cmdlet> -Online

Nota importante: le modifiche apportate via PowerShell agiscono sulle impostazioni locali del dispositivo. Politiche distribuite tramite Microsoft Intune, Group Policy o Configuration Manager possono sovrascriverle. Pianificare di conseguenza nelle architetture gestite centralmente.

Verificare lo Stato della Protezione

Il punto di partenza è sempre capire in che stato si trova il sistema.

# Stato complessivo di Defender Antivirus
Get-MpComputerStatus

# Output selettivo: solo i campi più rilevanti
Get-MpComputerStatus | Select-Object `
  AntivirusEnabled, `
  RealTimeProtectionEnabled, `
  BehaviorMonitorEnabled, `
  IoavProtectionEnabled, `
  NISEnabled, `
  QuickScanAge, `
  FullScanAge, `
  AntivirusSignatureLastUpdated, `
  AntivirusSignatureVersion

QuickScanAge e FullScanAge indicano da quanti giorni non viene eseguita una scansione rapida o completa. Un valore molto alto può indicare un problema di pianificazione. AntivirusSignatureLastUpdated è critico: firme obsolete riducono drasticamente l’efficacia della protezione.

Configurare le Preferenze con Set-MpPreference

Set-MpPreference è il cmdlet centrale per la configurazione. Permette di intervenire su centinaia di parametri.

Protezione in Tempo Reale

# Abilitare la protezione in tempo reale (default: abilitata)
Set-MpPreference -DisableRealtimeMonitoring $false

# Abilitare il monitoraggio comportamentale
Set-MpPreference -DisableBehaviorMonitoring $false

# Abilitare la protezione cloud-delivered (MAPS)
Set-MpPreference -MAPSReporting Advanced
Set-MpPreference -SubmitSamplesConsent SendAllSamples

Gestire le Esclusioni

Le esclusioni sono necessarie in ambienti dove certi processi o directory generano falsi positivi, ma vanno gestite con attenzione: sono uno dei vettori sfruttati dagli attaccanti (come visto nel caso TonRAT).

# Aggiungere un percorso alle esclusioni
Add-MpPreference -ExclusionPath "C:\AppData\MyApp\cache"

# Aggiungere un processo alle esclusioni
Add-MpPreference -ExclusionProcess "msbuild.exe"

# Aggiungere un’estensione file alle esclusioni
Add-MpPreference -ExclusionExtension ".log"

# Verificare le esclusioni configurate
Get-MpPreference | Select-Object ExclusionPath, ExclusionProcess, ExclusionExtension

# Rimuovere una singola esclusione
Remove-MpPreference -ExclusionPath "C:\AppData\MyApp\cache"

Best practice: documentare ogni esclusione con il motivo tecnico e revisionarle periodicamente. Un’esclusione dimenticata è una superficie di attacco aperta.

Pianificazione delle Scansioni

# Impostare una scansione rapida giornaliera alle 03:00
Set-MpPreference -ScanScheduleDay Everyday
Set-MpPreference -ScanScheduleTime 03:00:00

# Impostare una scansione completa settimanale alla domenica alle 02:00
Set-MpPreference -ScanParameters FullScan
Set-MpPreference -ScanScheduleDay Sunday
Set-MpPreference -ScanScheduleTime 02:00:00

# Abilitare la scansione dei file email e degli archivi compressi
Set-MpPreference -DisableEmailScanning $false
Set-MpPreference -DisableArchiveScanning $false

Aggiornare le Definizioni Antivirus

# Aggiornare le signature immediatamente
Update-MpSignature

# Aggiornare da un percorso UNC condiviso (es. WSUS o share locale)
Update-MpSignature -UpdateSource InternalDefinitionUpdateServer

# Verificare la versione corrente delle signature
(Get-MpComputerStatus).AntivirusSignatureVersion
(Get-MpComputerStatus).AntivirusSignatureLastUpdated

In ambienti con dispositivi offline o in reti segmentate, la distribuzione delle signature tramite share UNC o WSUS è essenziale. Update-MpSignature supporta diversi source: MicrosoftUpdateServer, MMPC, InternalDefinitionUpdateServer, FileShares.

Avviare Scansioni Manuali

# Scansione rapida
Start-MpScan -ScanType QuickScan

# Scansione completa
Start-MpScan -ScanType FullScan

# Scansione di un percorso specifico (custom scan)
Start-MpScan -ScanType CustomScan -ScanPath "D:\Downloads"

# Avviare in modo asincrono (non blocca la shell)
Start-MpScan -ScanType QuickScan -AsJob

Rilevare e Gestire le Minacce

# Visualizzare le minacce rilevate attualmente attive
Get-MpThreat

# Visualizzare lo storico delle rilevazioni (incluse quelle già gestite)
Get-MpThreatDetection

# Output dettagliato di una singola minaccia per ID
Get-MpThreat | Where-Object { $_.ThreatID -eq 12345 } | Format-List *

# Rimuovere tutte le minacce attive in quarantena
Remove-MpThreat

Performance Analyzer: Individuare i Colli di Bottiglia

Se Defender causa rallentamenti, il Performance Analyzer integrato aiuta a identificare quali file, processi o estensioni impattano maggiormente sui tempi di scansione:

# Avviare la raccolta dati per 60 secondi
New-MpPerformanceRecording -RecordTo "C:\Temp\DefenderPerf.etl"

# Analizzare i risultati: top 10 file più lenti da scansionare
Get-MpPerformanceReport -Path "C:\Temp\DefenderPerf.etl" `
  -TopFiles 10 `
  -TopScansPerFile 5 `
  -TopProcessesPerFile 5

Automazione: Script di Audit Difensivo

Uno script di audit rapido da eseguire periodicamente su ogni macchina o tramite PSRemoting su più host:

function Get-DefenderAudit {
  $status = Get-MpComputerStatus
  $prefs  = Get-MpPreference

  [PSCustomObject]@{
    ComputerName            = $env:COMPUTERNAME
    AVEnabled               = $status.AntivirusEnabled
    RealTimeProtection      = $status.RealTimeProtectionEnabled
    SignatureAge_Days       = ((Get-Date) - $status.AntivirusSignatureLastUpdated).Days
    SignatureVersion        = $status.AntivirusSignatureVersion
    LastQuickScan_Days      = $status.QuickScanAge
    LastFullScan_Days       = $status.FullScanAge
    ExclusionPathCount      = @($prefs.ExclusionPath).Count
    ExclusionProcessCount   = @($prefs.ExclusionProcess).Count
    CloudProtection         = $prefs.MAPSReporting
  }
}

# Esecuzione locale
Get-DefenderAudit | Format-List

# Esecuzione remota su più host
$servers = @("SRV01", "SRV02", "SRV03")
Invoke-Command -ComputerName $servers -ScriptBlock ${Function:Get-DefenderAudit} |
  Sort-Object SignatureAge_Days -Descending |
  Format-Table -AutoSize

Conclusione

I cmdlet PowerShell di Microsoft Defender Antivirus offrono un controllo granulare e scriptabile su ogni aspetto della protezione, rendendoli uno strumento fondamentale per i sysadmin che gestiscono flotte di macchine Windows. Integrarli in pipeline di provisioning, script di audit periodici e runbook di incident response è una pratica che migliora significativamente la postura di sicurezza senza dipendere da interfacce grafiche.

Ricorda: le modifiche via PowerShell sono locali e possono essere sovrascritte da GPO o Intune. In ambienti gestiti centralmente, usa PowerShell per audit e diagnostica, e riserva la configurazione permanente agli strumenti di management centralizzato.

Fonte: 4sysops.com | Documentazione ufficiale: Microsoft Learn

Managing Microsoft Defender Antivirus through PowerShell cmdlets – 4sysops

Microsoft Defender Antivirus provides a robust set of PowerShell cmdlets for managing security features on Windows 10, Windows 11, and Windows Server 2016 or la

^{IT News (4sysops)}

Patrick Breyer

2026-06-26 09:43:09

Montag droht der #Chatkontrolle-Worst-Case:
👁️ Verpflichtende Massenscans privater Nachrichten
🆔 Alterskontrolle für Messenger (= Ende der Anonymität!)

📰 Hintergrund im Blog: patrick-breyer.de/doppelte-gef…
🛡️ Noch bis Montag könnt ihr PROTESTIEREN: fightchatcontrol.de

„Doppelte Gefahr“ für private Kommunikation: Undemokratische Hinterzimmer-Deals zur Chatkontrolle lassen Widerstand wieder aufflammen

Bürgerrechtler Dr. Patrick Breyer warnt vor einem beispiellosen "Doppelangriff" auf sichere Messenger im Vorfeld kritischer EU-Sitzungen am heutigen Freitag und am Montag. Auch die Bundesregierung spielt eine gefährliche Rolle.

^{Patrick Breyer}

Destinazione Stelle

2026-06-25 15:18:14

Tra i tanti pericoli a cui sono esposti gli astronauti durante il volo spaziale ci sono le radiazioni. Contrariamente a quello che si sente dire online, però, questo rischio non riguarda solo le fasce di Van Allen: bisogna aggiungere i raggi cosmici galattici e le particelle energetiche solari. Quale dei tre tipi di radiazioni sia più pericoloso dipende dalle caratteristiche della missione e dal fatto di considerare gli effetti immediati oppure i rischi per la salute nel lungo periodo.

I raggi cosmici galattici, nonostante il nome, non sono onde elettromagnetiche, ma particelle dotate di massa: soprattutto protoni e nuclei di elio, insieme a una piccola frazione di nuclei più pesanti, che arrivano dall'esterno del sistema solare. Si muovono a velocità prossime a quella della luce e possiedono quindi energie enormi. Si chiamano così perché, quando furono scoperti all'inizio del Novecento, si pensava erroneamente che fossero una forma di radiazione analoga ai raggi X e ai raggi gamma.

Con la tecnologia attuale è sostanzialmente impossibile schermare completamente i raggi cosmici galattici. Inoltre, quando interagiscono con le strutture di un veicolo spaziale, generano radiazioni secondarie che possono essere anch'esse pericolose. D'altra parte, non producono normalmente effetti immediati sulla salute, ma causano danni cumulativi, in particolare al DNA, che possono accrescere il rischio di tumori e di alterazioni del sistema nervoso centrale. Il rischio è limitato durante missioni brevi ma diventerà significativo per le missioni di lunga durata, come la futura esplorazione umana di Marte.

Anche gli altri due tipi di radiazioni spaziali sono costituiti da particelle ad alte energia, a differenza delle radiazioni che incontriamo sulla Terra e che sono rappresentate perlopiù da onde elettromagnetiche come i raggi X o i raggi gamma.

Le particelle energetiche solari sono protoni, elettroni e nuclei accelerati dal Sole durante eventi come brillamenti solari ed espulsioni di massa coronale. Si tratta di fenomeni sporadici e improvvisi che, nel giro di poche ore, possono produrre dosi di radiazione sufficienti a causare effetti acuti, inclusa la sindrome acuta da radiazione e, nei casi più estremi, la morte.

A differenza dei raggi cosmici galattici, tuttavia, queste particelle possiedono in genere energie inferiori e possono quindi essere schermate in modo più efficace. Per questo motivo è possibile predisporre all'interno del veicolo spaziale un'area particolarmente protetta nella quale gli astronauti possano rifugiarsi durante gli eventi più intensi. Oggi l'attività solare viene monitorata attraverso una vera e propria "meteorologia spaziale", mentre durante il programma Apollo questi eventi erano molto meno prevedibili.

Le fasce di Van Allen circondano il nostro pianeta e sono regioni di particelle cariche, soprattutto protoni ed elettroni, intrappolate dal campo magnetico terrestre. Un'esposizione continua per settimane potrebbe risultare letale, ma l'attraversamento rapido effettuato dalle missioni Apollo comportò dosi dell'ordine di grandezza di una TAC medica, ampiamente compatibili con i limiti operativi previsti per gli astronauti.

La stessa Stazione Spaziale Internazionale attraversa periodicamente una propaggine della fascia interna di Van Allen, l'Anomalia del Sud Atlantico, dove il flusso di particelle aumenta sensibilmente; ciò ha richiesto accorgimenti operativi specifici, come la programmazione delle attività extraveicolari e il monitoraggio delle dosi, senza tuttavia rappresentare un ostacolo significativo alle missioni.

Infine, è soprattutto il campo magnetico terrestre, di cui le fasce di Van Allen sono una manifestazione, essendo costituite dalle particelle che esso intrappola, a deviare gran parte delle particelle cariche provenienti dallo spazio profondo, mentre l'atmosfera assorbe quelle che riescono a penetrare. Insieme, campo magnetico e atmosfera proteggono la vita sulla Terra dalle radiazioni più energetiche. Di conseguenza, i raggi cosmici galattici e le particelle energetiche solari diventano un problema rilevante soprattutto per le missioni che si spingono oltre l'orbita terrestre bassa. Per questa ragione sono allo studio varie tecniche di protezione, che però richiederanno ancora tempo per essere messe a punto.

@astronomia

EDRi

2026-06-25 08:34:50

🚨 Yesterday, the European Commission announced a new reform proposal for #Europol – the EU’s policing agency – which expands Europol’s operational powers and weakens key data protection safeguards to the tune of €3 billion.

This is the third Europol reform in six years changing the agency’s mandate to increase its powers and budget.

Read more from #ProtectNotSurveil ➡️ protectnotsurveil.eu/resources…

Proposed reform dangerously erodes privacy, automates surveillance, and sidelines oversight – Protect Not Surveil

Proposed reform dangerously erodes privacy, automates surveillance, and sidelines oversight

^{Yara (Protect Not Surveil)}