Il mio obiettivo è crescere in SOC, DFIR e ingegneria della sicurezza.
Costruire, proteggere, difendere.
Quasi tutto quello che faccio ruota attorno a questi tre verbi. Vengo dal deployment in cloud e dall'amministrazione di sistemi, quindi prima ho imparato a mettere in piedi infrastrutture (architetture a microservizi su AWS e Azure, database, cache, orchestrazione con Kubernetes) e ad automatizzarle con pipeline CI/CD su GitHub e GitLab.
La specializzazione in cybersecurity ha spinto questa pratica verso l'approccio DevSecOps: portare i controlli dentro il ciclo di sviluppo stesso, con analisi del codice, scansione delle dipendenze e revisione dei container prima che qualsiasi cosa arrivi in produzione.
Poi ho imparato a difendere quello che avevo costruito.
Ho allestito ambienti Blue Team completi: SIEM con Wazuh e le sue regole di rilevamento, automazione della risposta tramite SOAR, firewall OPNsense, EDR e VPN, oltre a honeypot esposti a internet. Venire dall'amministrazione di sistemi qui mi dà un vantaggio: quando sai com'è fatta una macchina sana, ti accorgi molto prima di ciò che esce dalla norma.
Ma ciò che mi prende davvero è quello che succede dopo l'attacco.
Il mio honeypot riceve ogni giorno tentativi di intrusione reali, e ognuno lascia una traccia da ricostruire: da dove è entrato, quali comandi ha eseguito, cosa ha scaricato e fin dove è arrivato. Per questo mi affido all'analisi della memoria e al framework MITRE ATT&CK, che mi permette di classificare ogni mossa secondo tattiche e tecniche note.
E quello che ne esce non resta in laboratorio: segnalo gli indirizzi IP degli attaccanti e carico i campioni di malware sulle piattaforme pubbliche di threat intelligence, compresi diversi binari che nessun motore antivirus aveva mai registrato prima.
Infatti...
Parliamo di risultati e numeri:
Dati raccolti dai miei honeypot e laboratori, aggiornati ad agosto 2026. Se ti interessa, posso entrare nel dettaglio di uno qualsiasi di questi contributi.
Questo è Dirtylands, un progetto Cowrie + Dionaea la cui proposta di valore è il deployment rapido. Offre comandi funzionanti, un ambiente realistico, rigore e maturità del progetto. Inoltre ha piena capacità di segnalare ogni evento via Telegram e le attività malevole alle rispettive piattaforme, e garantisce l'osservabilità.
Tradotto in 5 lingue: spagnolo, francese, inglese, tedesco e bulgaro.
Perizia forense sul lab "Sysinternals" di CyberDefenders.org. Immagine .E01 analizzata con Autopsy e Registry Explorer, download via HTTP che si spaccia per Microsoft, esecuzione come SYSTEM, SHA-1 recuperato da Amcache, trojan Rozena, C2 e persistenza tramite servizio. Include catena di custodia e conclusioni peritali.
Perizia forense su una cattura di traffico di rete (.PCAP) di un computer infettato da Lumma Stealer. Analisi in Wireshark, identificazione dell'host tramite DHCP e Kerberos, beaconing HTTP verso il C2, esfiltrazione di credenziali compresse e cinque domini malevoli verificati su VirusTotal. Include IoC e catena di custodia.
Perizia forense su un dump della memoria RAM (.dmp) di un computer compromesso da StrelaStealer. Analisi con Volatility 3: processi orfani, catena Living off the Land con PowerShell, caricamento fileless di una DLL via WebDAV, connessione al C2 e iniezione di codice in Thunderbird per rubare credenziali.
Esercitazione 1: laboratorio IAM con Keycloak su Docker e WSL. Flussi OAuth 2.0 e OpenID Connect, anatomia dei tre token, PKCE, introspection, rotazione e revoca. Include errori provocati di proposito, con la risposta reale del server.
Esercitazione 2: server di risorse in FastAPI che valida token JWT emessi da Keycloak rispetto al suo JWKS, controllando firma, emittente, audience, scadenza e ruoli. Include sei tipi di errore provocati di proposito, con la risposta reale dell'API.
Esercitazione 3: federazione di Active Directory in Keycloak via LDAPS. Il domain controller gira su Hyper-V e Keycloak su Docker dentro WSL2. Utenti che esistono solo in AD accedono con OIDC e i loro attributi e gruppi arrivano nel token. Include mapper, ciclo di vita e account orfani.
Honeypot distribuito su Azure con port knocking dinamico tramite iptables e avvisi Telegram in tempo reale.
Pipeline DevSecOps completa su GitLab CI/CD che integra SonarQube, GitLeaks, Snyk e OWASP ZAP per analizzare qualità e sicurezza del codice end-to-end. Lo stato della pipeline viene notificato in automatico e in tempo reale su Discord.
Migrazione lift & shift su AWS (IaaS) di una web app Java multi-tier costruita prima in locale. Server Tomcat dietro un Elastic Load Balancer con Auto Scaling, MariaDB, Memcached e RabbitMQ come servizi di backend, DNS privato su Route 53, artefatti distribuiti da S3 e accessi limitati con IAM.
Deployment di un cluster Kubernetes gestito su AWS con EKS, partendo da un account appena creato. Rafforzamento dell'accesso con utenti IAM e MFA, un allarme di fatturazione in CloudWatch, la VPC con le sue subnet pubbliche, il node group con i ruoli necessari e gli errori reali emersi lungo la strada.
Progetto in cui uso Ansible a livello base, completando tutti i moduli del corso Udemy. Inoltre ho dovuto affrontare lo scenario in cui si perdono le chiavi .pem della mia macchina EC2, e provo a risolverlo.
Questo progetto GitHub fa parte del corso "DevOps Beginners to Advanced" su Udemy. Consiste nell'usare Vagrant, Nginx, Tomcat, RabbitMQ, Memcached e MySQL per costruire un sito web.
Questo progetto mostra la creazione di una pipeline CI/CD con servizi AWS per gestire, compilare e distribuire una web app su AWS Elastic Beanstalk, integrando AWS CodePipeline, AWS CodeBuild e la connessione a un database AWS RDS. Come repository git del codice sorgente si usa Bitbucket.
Questo progetto GitHub fa parte del corso "DevOps Beginners to Advanced" su Udemy. Il nostro progetto AWS precedente distribuiva una web app multi-tier con Memcached, MySQL, Tomcat, RabbitMQ e un load balancer. Ora ricostruiamo tutto con servizi AWS come ElastiCache, Amazon MQ, RDS e Beanstalk.
