EDR / Concetti e funzioni principali

L’EDR (Endpoint Detection and Response, rilevamento e risposta sugli endpoint) raccoglie e analizza le attività di PC e server per individuare minacce e supportare indagini e azioni come l’isolamento dei dispositivi. Oltre a valutare un singolo file, collega processi, comunicazioni e modifiche per capire che cosa è successo e quanto si estende l’impatto.

Il ruolo dell’EDR e la differenza rispetto all’antivirus

Un endpoint è un dispositivo sul quale si usano dati e programmi, come il PC o portatile di un dipendente o un server aziendale. L’EDR combina generalmente un sensore o agente locale con gestione e analisi centralizzate. Verifica sistemi operativi supportati e copertura di server e ambienti virtuali nel prodotto e nel contratto.

L’antivirus si concentra sulla prevenzione e sul blocco del malware; l’EDR sulla visibilità delle attività, sull’indagine e sulla risposta a possibili compromissioni. Tuttavia, gli antivirus moderni usano anche analisi comportamentale e cloud: la distinzione “antivirus solo firme, EDR solo comportamento” è imprecisa. Le due capacità possono essere integrate nello stesso prodotto. La panoramica Microsoft sulla sicurezza degli endpoint distingue antivirus di nuova generazione ed EDR, presentandoli come complementari.

PowerShell, per esempio, è uno strumento legittimo di amministrazione. Se un’applicazione di documenti lo avvia in modo inatteso e segue una connessione verso un indirizzo sconosciuto, c’è un contesto da indagare. Esamina insieme percorso, riga di comando, account e attività successive. Il nome del programma o questa combinazione non confermano da soli una compromissione.

Quali informazioni raccoglie e correla?

I dati di attività raccolti per l’analisi di sicurezza sono chiamati telemetria. I seguenti sono esempi comuni, senza garantire che ogni prodotto registri tutti i campi su ogni dispositivo.

• Processi: percorso dell’eseguibile, ora di avvio, riga di comando e relazioni padre-figlio. L’albero dei processi mostra quale programma ne ha avviato un altro.
• File: creazione, modifica, esecuzione e hash aiutano a rintracciare file sospetti e percorsi interessati. Un hash identifica o confronta un file; il valore da solo non ne dimostra la natura dannosa.
• Rete: collegare processi, indirizzi e porte di destinazione aiuta a indagare le comunicazioni. I registri delle connessioni non mostrano necessariamente tutto il contenuto trasmesso o tutti i dati sottratti.
• Modifiche di sistema: il Registro di Windows e le impostazioni di avvio possono aiutare a esaminare la persistenza. I dati disponibili dipendono dal sistema operativo.
• Attività degli account: accessi e account di esecuzione sono collegati alle altre attività. I registri di autenticazione e posta dell’intera organizzazione possono richiedere fonti o integrazioni aggiuntive.

La sequenza temporale e l’albero dei processi aiutano a distinguere l’avvio iniziale dalle modifiche successive. La panoramica EDR di Microsoft precisa però che non è un registro di controllo di tutte le operazioni. L’assenza di prove non dimostra normalità: verifica raccolta, salute del sensore, conservazione e altri registri.

Funzioni principali di rilevamento, indagine e risposta

I nomi cambiano tra prodotti, ma normalmente si combinano le capacità seguenti. Automazione, approvazioni e azioni disponibili dipendono da sistema operativo, licenza e criteri.

• Rilevamento e priorità: analisi comportamentale e informazioni sulle minacce generano avvisi. Riunire quelli correlati in un incidente facilita le indagini su più dispositivi. Una gravità elevata non elimina la verifica delle prove.
• Indagine e ricerca: sequenze temporali, alberi dei processi e ricerche aiutano a definire causa e portata. Supportano anche la ricerca proattiva di minacce cercando lo stesso hash o la stessa destinazione su altri dispositivi.
• Contenimento: le azioni possono includere isolamento di rete, arresto di un processo e quarantena di un file. La quarantena impedisce l’esecuzione del file; l’isolamento del dispositivo limita le comunicazioni. Obiettivi ed effetti operativi sono diversi.
• Registro delle azioni: documenta chi ha richiesto ogni intervento e se è riuscito, fallito o in attesa. Un clic o l’attivazione di un criterio automatico non equivalgono alla conferma del completamento.

L’isolamento può ridurre la propagazione, ma interrompere anche accessi remoti e servizi aziendali. Verifica come mantenere le comunicazioni di gestione, i limiti con reti private virtuali (VPN) o proxy e la procedura per rimuovere l’isolamento. Consulta la documentazione del prodotto, come la guida Microsoft alle azioni di risposta sui dispositivi.

Esempio: indagare un avviso relativo a un documento sospetto

Questo flusso ipotetico riguarda un’applicazione di documenti che avvia uno strumento di scripting e contatta un indirizzo esterno. Non descrive un incidente reale o un test di prodotto: adattalo alle procedure di risposta approvate.

1. Verifica dispositivo e orario. Registra dispositivo, utente, ora e fuso orario dell’avviso. Assicurati che il sensore invii dati attuali e confronta gli identificativi per evitare di indagare un altro dispositivo con lo stesso nome.
2. Collega il contesto di esecuzione. Esamina applicazione, processi figli, riga di comando e destinazioni nella sequenza temporale. Confrontali con attività utente e modifiche amministrative per valutare automazioni legittime. Non eseguire file sospetti su un PC di lavoro.
3. Contieni in base al rischio. Se l’attività dannosa continua o rischia di propagarsi, i responsabili devono valutare l’impatto aziendale e scegliere misure come l’isolamento. Conserva le prove necessarie e verifica risultati e motivi degli errori.
4. Estendi l’indagine. Cerca gli stessi file, indirizzi e comportamenti sugli altri dispositivi e correla registri di autenticazione e posta. L’assenza di avvisi su una macchina non garantisce la sicurezza di account e altri sistemi.
5. Verifica ripristino e ricomparsa. Dopo aver rimosso la causa, applicato aggiornamenti e misure sugli account e validato il ripristino, rimuovi l’isolamento con la procedura approvata. Controlla servizi e nuovi avvisi e documenta le decisioni.

Il risultato deve andare oltre la chiusura dell’avviso. Organizza prove, dispositivi e account coinvolti, azioni svolte e incertezze residue affinché un altro addetto possa proseguire la risposta.

Limiti e problemi che l’EDR non risolve

Sensori assenti o arrestati, problemi di connessione e conservazione breve creano lacune. L’amministrazione legittima può generare avvisi e alcuni attacchi possono sfuggire. Troppe esclusioni riducono la visibilità: gestiscine ambito, motivazione e scadenza di revisione.

Isolare un dispositivo o eliminare un file non recupera dati rubati né ripristina automaticamente file cifrati. L’EDR non sostituisce aggiornamenti, privilegio minimo, autenticazione a più fattori (MFA) e backup. La guida sul ransomware di CISA, FBI e partner (PDF) raccomanda anche backup isolati, prove di ripristino e pianificazione della risposta.

Servono comunque persone per indagare e decidere. Se le risorse interne sono insufficienti, valuta un servizio di rilevamento e risposta gestiti (MDR, Managed Detection and Response). Definisci nel contratto orari di monitoraggio, autorità d’intervento, passaggio degli incidenti e responsabilità di ripristino. L’acquisto dell’EDR non include automaticamente questi servizi.

Criteri da verificare prima dell’adozione

Oltre a elenchi di prodotti e percentuali di rilevamento pubblicizzate, verifica se l’organizzazione può gestire la soluzione. Un piccolo ambiente di test autorizzato aiuta a controllare i punti seguenti prima di estenderla.

• Copertura: confronta l’inventario di PC e server con sistemi operativi e versioni supportati. Verifica salute del sensore e ultima comunicazione, non soltanto l’installazione.
• Impatto aziendale: controlla CPU, memoria, disco, latenza e conflitti insieme alle applicazioni reali. Esamina i requisiti di coesistenza con altri prodotti di sicurezza.
• Dati d’indagine: verifica campi raccolti, ricerca, conservazione, esportazione e integrazioni. Poiché possono esserci righe di comando e informazioni utente, controlla autorizzazioni e luoghi di archiviazione.
• Autorità e ripristino: definisci chi approva isolamento o arresto dei processi e come gestire i server critici. Usa test sicuri del fornitore per verificare generazione degli avvisi, notifiche, stato delle azioni e rimozione dell’isolamento.
• Costi operativi: aggiungi personale di revisione, formazione, archiviazione dei registri e servizi esterni alle licenze. Responsabili definiti e procedure di passaggio trasformano il rilevamento in una risposta concreta.