Un evento del piano di controllo è un problema di sicurezza che colpisce i sistemi amministrativi usati per gestire altri sistemi. In pratica, questo significa che l'attaccante non sta prendendo di mira solo un endpoint o un'applicazione; sta raggiungendo la console, il livello di orchestrazione o il servizio di gestione che invia comandi a molte risorse contemporaneamente.
Questo è importante perché la compromissione del piano di controllo può aumentare drasticamente il raggio di azione dell'impatto. Se un attaccante ottiene accesso da amministratore a una piattaforma RMM, a una console cloud o a un controller di rete, può modificare le policy, creare account, distribuire software o attivare azioni su più host. I difensori trattano questi eventi come priorità elevata perché anche un piccolo difetto nel livello di gestione può diventare un incidente su larga scala. I segnali di allarme comuni includono modifiche di privilegi inattese, accessi amministrativi insoliti e comandi che non corrispondono al normale comportamento dell'operatore. Proteggere il piano di controllo significa autenticazione forte, privilegio minimo, registrazione dei log e revisione rapida di qualsiasi attività amministrativa sospetta.