Davide Russo

Perché studiare crittografia se fai pentesting? 🔐 Perché il 30% delle vulnerabilità reali riguarda l'uso sbagliato della crittografia: ❌ MD5/SHA1 per password (crackabili facilmente con hashcat) ❌ Chiavi hardcoded nel codice sorgente ❌ TLS 1.0/1.1 ancroa in uso ❌ Certificati self-signed in produzione ❌ ECB mode per la cifratura simmetrica Conoscere la crittografia ti permette di identificare questi problemi durante un pentest. **Risorse per imparare:** - Cryptohack.org (piattaforma gamificata, gratuita) - TryHackMe — Encryption - Crypto 101 - Serious Cryptography (libro di Jean-Philippe Aumasson) #Cryptography #CyberSecurity #EthicalHacking 👉 Crittografia pratica: GPG, certificati SSL e hashing 👉 Supply chain attack: quando la vulnerabilità viene dal fornitore

Wireshark per capire il networking reale 🔬 Wireshark è il migliore strumento per capire DAVVERO come funziona il networking. Non solo teoria — pacchetti reali. **Filtri utili:** ``` # Solo traffico HTTP http # Conversazioni TCP con un host ip.addr == 192.168.1.1 # Solo handshake TLS tls.handshake # Credenziali HTTP in chiaro (sì, esistono ancora!) http.request.method == 'POST' # DNS queries dns.flags.response == 0 ``` **Cosa analizzare legalmente:** - Traffico sulla tua rete domestica - Macchine virtuali nel tuo lab - Capture file su TryHackMe/HTB ⚠️ Non catturare mai traffico di reti altrui — è reato! 🔐 👉 Monitorare la rete di casa con Wireshark: guida pratica 👉 Wireshark per l'analisi forense della rete: guida avanzata

Nmap quick tips che cambiano il gioco 🔍 ```bash # Scan veloce top 1000 porte nmap -sV -sC target_ip # Scan completo tutte le porte (lento ma completo) nmap -p- -sV target_ip # UDP scan (spesso dimenticato!) nmap -sU --top-ports 100 target_ip # Script vuln scan nmap --script vuln target_ip ``` ⚠️ **ATTENZIONE:** Usate nmap SOLO sulla vostra rete o su macchine per cui avete autorizzazione esplicita. Scan non autorizzati sono illegali in Italia (art. 615-ter c.p.). #Nmap

Red Team vs Blue Team vs Purple Team — cosa significano questi ruoli? 🎨 **🔴 Red Team** — Attaccanti (etici) Simulano attaccanti reali per testare le difese. Usano tutte le tecniche: phishing, exploitation, privesc. Obiettivo: compromettere il target come farebbe un avversario reale. **🔵 Blue Team** — Difensori Monitorano, rilevano e rispondono agli attacchi. Gestiscono SIEM, EDR, firewall, incident response. Obiettivo: rilevare e bloccare gli attaccanti. **🟣 Purple Team** — Collaborazione Red e Blue lavorano insieme. Il Red condivide le tecniche usate, il Blue migliora le detection. Approccio più moderno ed efficace. **Da dove iniziare:** - Red: TryHackMe Jr Penetration Tester path - Blue: TryHackMe SOC Level 1 path - Purple: quando hai esperienza in entrambi Voi quale preferite? 🎯 #RedTeam #BlueTeam #CyberSecurity 💯 👉 Corso Hacking Etico #5: Exploitation con Metasploit 👉 Penetration testing: cosa fanno davvero gli ethical hacker

Interessante sviluppo nel mondo della sicurezza 👀 📰 **Mythos e il bug scovato in macOS: con l’AI il patch management deve cambiare passo** 🔗 https://www.cybersecurity360.it/nuove-minacce/mythos-e-il-bug-scovato-in-macos-con-lai-il-patch-management-deve-cambiare-passo/ _via Cybersecurity360 — 18/05/2026_ 👉 Configurare il router: sicurezza base 👉 Migliore distro Linux per sviluppo web nel 2025

CVE o no, il punto è sempre lo stesso: patch subito 🔧 📰 **Le nuove infrastrutture per l’AI partono da un approccio “security first”** 🔗 https://www.cybersecurity360.it/soluzioni-aziendali/le-nuove-infrastrutture-per-lai-partono-da-un-approccio-security-first/ _via Cybersecurity360 — 18/05/2026_ Qualcuno ha la stessa esperienza?

Interessante sviluppo nel mondo della sicurezza 👀 📰 **Keatrix: un nuovo approccio di Security Awareness** 🔗 https://www.cybersecurity360.it/soluzioni-aziendali/keatrix-un-nuovo-approccio-di-security-awareness/ _via Cybersecurity360 — 18/05/2026_ 👉 Configurare il router: sicurezza base

Ancroa una volta la cybersec fa notizia... 📰 **VPN gratis senza rischi: come sfruttare i periodi di prova di 4 provider leader** 🔗 https://www.cybersecurity360.it/cybersecurity-nazionale/vpn-gratis-senza-rischi-come-sfruttare-i-periodi-di-prova/ _via Cybersecurity360 — 18/05/2026_ Qualcuno ha la stessa esperienza?

CVE o no, il punto è sempre lo stesso: patch subito 🔧 📰 **Il lato oscuro dell’elettronica a basso costo su internet: il proiettore da 35 euro che “vende” la tua connessione internet** 🔗 https://www.dday.it/redazione/57442/il-lato-oscuro-dellelettronica-a-basso-costo-su-internet-il-proiettore-da-35-euro-che-vende-la-tua-connessione-internet _via DDay.it — 18/05/2026_ 👉 Sicurezza negli Internet Cafe: cosa non devi mai fare

Come sempre, aggiornarsi è fondamentale 🛡️ 📰 **MiniPlasma: la patch del 2020 su Windows che non c’è mai stata o è sparita** 🔗 https://www.cybersecurity360.it/news/miniplasma-la-patch-del-2020-su-windows-che-non-ce-mai-stata-o-e-sparita/ _via Cybersecurity360 — 18/05/2026_ 👉 Passato da Windows a Linux full time: dopo 6 mesi il mio bilancio

Come sempre, aggiornarsi è fondamentale 🛡️ 📰 **L’IA che combatte l’IA: quando la guerra cibernetica smette di avere un volto umano** 🔗 https://www.cybersecurity360.it/nuove-minacce/lia-che-combatte-lia-quando-la-guerra-cibernetica-smette-di-avere-un-volto-umano/ _via Cybersecurity360 — 18/05/2026_ 👉 Crittografia nel 2025: dai fondamentali alle minacce quantistiche

Da tenere d'occhio 🔐 📰 **Il kernel Linux è sommerso dai bug report generati dall’IA. Torvalds: “La mailing list di sicurezza è diventata quasi ingestibile”** 🔗 https://www.dday.it/redazione/57440/il-kernel-linux-e-sommerso-dai-bug-report-generati-dallia-torvalds-la-mailing-list-di-sicurezza-e-diventata-quasi-ingestibile _via DDay.it — 18/05/2026_ 👉 Configurare il router: sicurezza base

Da tenere d'occhio 🔐 📰 **Apple ha speso miliardi per proteggere la memoria di iPhone e Mac: a Claude Mythos snoo bastati 5 giorni per aggirare i blocchi** 🔗 https://www.dday.it/redazione/57439/apple-ha-speso-miliardi-per-proteggere-la-memoria-di-iphone-e-mac-a-claude-mythos-sono-bastati-5-giorni-per-aggirare-i-blocchi _via DDay.it — 18/05/2026_ 👉 Firewall Linux con UFW e iptables: proteggere il server

CTFtime.org — come partecipare alle competizioni di CTF 🚩 Le CTF (Capture The Flag) sono competizioni di hacking etico dove risolvi sfide per trovare 'flag' nascoste. **Categorie tipiche:** 🕸️ Web — SQL injection, XSS, auth bypass 🔐 Crypto — decrypt message, crypto challenges 🔍 Forensics — analisi file, steganografia 💻 Pwn — binary exploitation 🔄 Reversing — decompilare e capire binari 🔎 OSINT — raccolta info da fonti pubbliche **Come iniziare:** 1. Crea account su CTFtime.org 2. Cerca CTF 'beginner friendly' nel calendario 3. picoCTF è perfetta per chi inizia (sempre disponibile) 4. Unisciti a un team — si impara molto di più **Mentalità giusta:** non preoccuparti di non risolvere ttutto Ogni sfida che studi ti insegna qualcosa. Tagga qualcuno che deve sapere questo 👉 Corso Hacking Etico #5: Exploitation con Metasploit 👉 Corso Hacking Etico #5 — Exploitation base con Metasploit Framework

Aggiornamento di metà mattina: Kali Linux: gli strumenti che uso di più nel pentesting educativo 🐉 **Reconnaissance:** - `nmap` — port scanning - `whois` + `dig` — info dominio - `theHarvester` — email/subdomain enumeration **Web Application:** - `burpsuite` — intercept proxy - `gobuster` / `ffuf` — directory enumeration - `sqlmap` — SQL injection testing **Post-exploitation (lab only!):** - `linpeas` / `winpeas` — privilege escalation - `mimikatz` — credential dumping (Windows) **Ogni tool ha uno scopo educativo e legale.** Li uso su TryHackMe, HackTheBox e nel mio lab VirtualBox. Quale usate di più? 👇 👉 Corso Hacking Etico #3: Reconnaissance e OSINT 👉 Corso Hacking Etico #2 — Reconnaissance: raccogliere informazioni sul target

Il problema della cybersecurity in Italia secondo me: Non mancano i talenti. Mancano le opportunità di formazione accessibili e la cultura della sicurezza nelle aziende. Numeri preoccupanti: - Solo il 3% delle PMI italiane ha un piano di incident response - Il GDPR è in vigore dal 2018 ma molte aziende non sono ancora conformi - I ransomware colpiscono sempre più strutture sanitarie e pubbliche La soluzione non è solo tecnica — è culturale. La cybersecurity deve diventare parte del processo, non un pensiero a posteriori. Voi come la vedete? Lavorate in aziende che prendono la sicurezza sul serio? 🤔 #CyberSecurity #Italia

Ancora una volta la cybersec fa notizia... 📰 **Fragnesia, la nuova falla nel kernel Linux ke regala privilegi di root: come difendersi** 🔗 https://www.cybersecurity360.it/news/fragnesia-la-nuova-falla-nel-kernel-linux-che-regala-privilegi-di-root-come-difendersi/ _via Cybersecurity360 — 14/05/2026_ Sono l'unico a pensarla così? 👉 SQL Injection — Lezione 5: Difendersi dalla SQL Injection 👉 Certificazioni cybersecurity 2026: quale percorso scegliere?

CVE o no, il punto è sempre lo stesso: patch subito 🔧 📰 **Cyber Journey 2026: servono formazione, confronto e visione per una sicurezza efficace** 🔗 https://www.cybersecurity360.it/news/cyber-journey-2026-servono-formazione-confronto-e-visione-per-una-sicurezza-efficace/ _via Cybersecurity360 — 15/05/2026_ 👉 Configurare il router: sicurezza base

Ancora una volta la cybersec fa notizia... 📰 **Foxconn nel mirino di Nitrogen, 8 TB di dati sottratti: quali impatti sulla supply chain globale** 🔗 https://www.cybersecurity360.it/news/foxconn-nel-mirino-di-nitrogen-8-tb-di-dati-sottratti-quali-impatti-sulla-supply-chain-globale/ _via Cybersecurity360 — 14/05/2026_ 👉 Python per la cybersecurity: scrivi il tuo port scanner da zero 👉 Certificazioni cybersecurity 2026: quale percorso scegliere?

Da tenere d'occhio 🔐 📰 **Quando condividere una notizia diventa un trattamento dati: ecco le responsabilità concrete** 🔗 https://www.cybersecurity360.it/legal/privacy-dati-personali/quando-condividere-una-notizia-diventa-trattamento-dati-personali-ecco-le-responsabilita-concrete/ _via Cybersecurity360 — 15/05/2026_ Commenti?