Breach and Attack Simulation: misurare di continuo se le difese reggono davvero
La Breach and Attack Simulation (BAS) nasce da una domanda scomoda a cui quasi nessuna organizzazione, prima o poi, sa dare una risposta verificabile: le difese che abbiamo comprato e configurato funzionano davvero contro gli attacchi che potremmo subire, oppure lo diamo per scontato perché finora non è successo niente di grave? È una domanda diversa da “quali vulnerabilità ho”, perché non riguarda i buchi noti ma l’efficacia reale dei controlli già in campo. La BAS prova a rispondere lanciando attacchi simulati in modo automatizzato e continuo, e osservando se firewall, endpoint detection, filtri di posta e regole del SIEM fanno ciò che ci si aspetta da loro.
Il tratto che la distingue non è la simulazione in sé, che esiste da sempre nell’offensive security, ma la combinazione di due parole: automatizzata e continua. Un penetration test fotografa la sicurezza in un giorno preciso; la BAS punta a trasformare quella fotografia in un flusso, ripetendo le prove di continuo su un ambiente che intanto cambia. È questo lo scarto rispetto agli esercizi puntuali, ed è anche la ragione per cui va letta come una categoria di strumenti, non come una tecnologia definita da uno standard.
Perché il test puntuale non basta più
Un penetration test ben fatto resta prezioso, ma ha un limite strutturale: vale per la configurazione del momento in cui è stato eseguito. Il giorno dopo qualcuno modifica una regola del firewall, aggiorna un agente EDR, apre un’eccezione “solo per il weekend” che nessuno chiude, e la fotografia scattata due mesi prima smette silenziosamente di corrispondere alla realtà. Tra un test annuale e il successivo si apre una finestra lunga in cui l’organizzazione non sa più, con certezza, in che stato siano le proprie difese.
La Breach and Attack Simulation nasce per chiudere quella finestra. Non sostituisce il test manuale né il giudizio di chi lo conduce, ma riempie lo spazio vuoto tra un esercizio e l’altro con verifiche ripetute, eseguite senza mobilitare ogni volta un team specializzato. Il valore non è “trovare più vulnerabilità”, promessa che i fornitori amano quantificare con percentuali da trattare con cautela, ma sapere in modo ricorrente se un controllo che credevamo attivo sta effettivamente bloccando ciò che dovrebbe bloccare.
Come funziona la Breach and Attack Simulation
Il funzionamento ricalca, in forma automatizzata, la logica di un attacco reale, secondo le definizioni più diffuse del termine. Da una console l’operatore seleziona gli scenari da eseguire, idealmente guidato dal threat modeling dell’organizzazione: una specifica tecnica di esfiltrazione, il comportamento noto di un gruppo ransomware, una catena di movimento laterale. La piattaforma distribuisce, di norma, agenti software nell’ambiente e prova a portare a termine quelle azioni contro i sistemi bersaglio, registrando a ogni passo se il controllo di sicurezza corrispondente ha rilevato, bloccato o ignorato il tentativo.
Il riferimento quasi universale di questi scenari è la matrice MITRE ATT&CK, che cataloga tattiche e tecniche osservate negli attacchi reali. È una matrice viva, aggiornata di frequente: la versione 19, rilasciata nel 2026, ha suddiviso la tattica Defense Evasion in Stealth e Defense Impairment, e a ogni revisione le mappe di copertura prodotte dalle piattaforme vanno riallineate, il che è di per sé un argomento a favore della ripetizione continua degli scenari. Ancorare le simulazioni a quel linguaggio comune è ciò che rende i risultati leggibili e confrontabili: invece di un punteggio astratto, si ottiene la mappa di quali tecniche l’organizzazione intercetta e quali le passano davanti senza generare un allarme. L’esito non è un elenco di CVE, ma una misura dell’efficacia dei controlli, categoria per categoria, dal rilevamento sull’endpoint alla sicurezza della posta fino alla capacità del SIEM di produrre l’allerta attesa.
Su questa base la BAS chiude il cerchio con la parte che conta di più: indicare dove intervenire. Ogni scenario fallito sul piano difensivo diventa un’indicazione operativa, idealmente collegata alla regola o alla configurazione da correggere, e la ripetizione dello stesso scenario dopo la correzione verifica che la modifica abbia davvero prodotto l’effetto voluto. È il passaggio da “abbiamo applicato una patch” a “abbiamo verificato che la patch regge alla tecnica che doveva fermare”.
BAS, purple team e penetration test: cosa cambia davvero
L’errore da evitare è leggere la BAS come un rimpiazzo del lavoro umano. Un purple team mette allo stesso tavolo chi attacca e chi difende per migliorare il rilevamento una tecnica alla volta, con creatività e capacità di adattamento che nessuna automazione replica; la Breach and Attack Simulation prende quel modello e ne industrializza la parte ripetibile, eseguendola su larga scala e senza intervento continuo. La prima resta insostituibile per gli scenari nuovi e complessi, la seconda copre la verifica sistematica e costante di ciò che è già noto.
Lo stesso vale rispetto al penetration test e al red team. Un professionista che conduce un attacco reale esercita giudizio, improvvisa, concatena debolezze in modi che uno scenario preconfezionato non prevede; la BAS non improvvisa, esegue un repertorio. Il punto non è quale approccio sia migliore, ma che rispondono a domande diverse: il test manuale chiede “fin dove può arrivare un attaccante capace”, la simulazione automatizzata chiede “i miei controlli reggono, oggi, contro le tecniche che conosciamo”. Vale la pena distinguerla anche dall’adversary emulation tradizionale, tipicamente un esercizio manuale e circoscritto nel tempo: qui la differenza è di nuovo nella continuità e nell’automazione, non nell’idea di imitare un avversario.
Dalla simulazione alla validazione continua dell’esposizione
La BAS non è un’isola. Il suo posto naturale è dentro il ciclo del Continuous Threat Exposure Management, dove rappresenta la fase di validazione: dopo aver scoperto e prioritizzato le esposizioni, serve provare che siano davvero sfruttabili e che i controlli previsti le fermino. Senza quella prova, la prioritizzazione resta un’ipotesi basata su punteggi teorici; con la validazione, diventa una decisione fondata su ciò che accade davvero quando la tecnica viene lanciata contro l’ambiente reale.
È anche la direzione in cui la categoria si è già mossa, e più di quanto la parola “tendenza” suggerisca. Gartner ha formalizzato l’Adversarial Exposure Validation come mercato autonomo, definito come l’insieme delle tecnologie che forniscono prove coerenti, continue e automatizzate della fattibilità di un attacco: una categoria che assorbe e sostituisce quelle precedenti di Breach and Attack Simulation e di penetration testing e red teaming automatizzati. Il primo Market Guide dedicato risale al marzo 2025, il secondo al marzo 2026. Resta un’operazione di etichette più che di prodotti: il taglio comune è la validazione continua e misurabile, il perimetro esatto cambia da fornitore a fornitore, e sul mercato la sigla BAS continua a essere usata da chi la vende. Vale quindi la pena leggere l’AEV come il contenitore in cui la BAS si sta sciogliendo, non come garanzia che ogni prodotto sotto quella sigla faccia le stesse cose.
Cosa aspettarsi, senza illusioni
Adottare una Breach and Attack Simulation non rende inutili né il penetration test né le persone che difendono l’organizzazione: sposta la loro fatica dove serve, liberandola dalla verifica ripetitiva di ciò che si può automatizzare. Il ritorno concreto non è un cruscotto in più né una percentuale da brochure, ma la capacità di rispondere con prove, e non con fiducia, alla domanda da cui siamo partiti: le mie difese reggono davvero, adesso, contro le tecniche che potrei subire? Restano i limiti da tenere presenti, cioè che la simulazione copre ciò che è noto e catalogato, non l’attaccante che inventa qualcosa di nuovo, e che le metriche dei fornitori vanno lette con lo scetticismo dovuto a un mercato affollato. Ma la distanza tra le difese che un’organizzazione crede di avere e quelle che ha davvero è reale, e misurarla di continuo, invece di scoprirla durante un incidente, è il contributo più solido di questa disciplina. C’è infine una ragione tutta europea per guardarla con attenzione: l’obbligo di verificare l’efficacia delle misure NIS2 spinge verso una validazione dei controlli documentata e ricorrente, che è esattamente ciò che la BAS produce. Con un’avvertenza per il settore finanziario: il threat-led penetration testing previsto da DORA, almeno triennale e condotto secondo requisiti precisi sui tester, resta un esercizio diverso, che nessuna piattaforma di simulazione sostituisce.
