L’attività hands-on-keyboard è il controllo umano diretto durante un’intrusione. Invece di uno script completamente automatizzato eseguito dall’inizio alla fine, un operatore dirige attivamente l’attacco, prendendo decisioni, digitando comandi, adattando i payload e reagendo a ciò che osserva sul sistema bersaglio.
Questo è importante perché la supervisione umana rende le intrusioni più flessibili e più difficili da modellare come una singola tecnica statica. Gli attaccanti spesso usano l’automazione per la scansione o il test delle credenziali, poi passano al lavoro hands-on-keyboard per l’escalation dei privilegi, il movimento laterale, la scoperta dei dati o l’adattamento del malware dopo l’interferenza delle difese. Per i difensori, questa fase è importante perché può lasciare indizi interattivi: sessioni remote insolite, uso della riga di comando, strumenti di amministrazione avviati da host inattesi e sequenze di comportamento che seguono la ricognizione o l’accesso iniziale. I team di sicurezza cercano queste correlazioni per distinguere la reale attività dell’operatore dal rumore di fondo e dalle sonde automatizzate.