Chi valuta la protezione dei computer aziendali si trova davanti a tre sigle che i fornitori usano spesso come se fossero intercambiabili. Non lo sono. Descrivono tre livelli diversi di visibilità su quello che succede dentro una macchina.
Antivirus: riconoscere
L'antivirus moderno confronta file e comportamenti con quello che già conosce: firme di malware noti, schemi sospetti, modelli di apprendimento automatico. Quando riconosce qualcosa lo blocca.
Funziona bene contro le minacce note, che sono ancora la maggioranza. Il suo limite è strutturale: vede il singolo evento, non la sequenza. Se un attaccante entra con una password rubata e usa strumenti legittimi del sistema operativo, non c'è nessun file da riconoscere.
EDR: ricostruire
L'EDR, Endpoint Detection and Response, registra continuamente cosa accade sulla macchina: processi avviati, connessioni aperte, file modificati, comandi eseguiti. Non cerca solo cose note. Cerca comportamenti anomali, anche quando ogni singolo passo sembra lecito.
Quando trova qualcosa fa due cose che l'antivirus non fa:
XDR: la storia completa
L'XDR, Extended Detection and Response, estende lo stesso principio oltre il singolo computer. Mette in relazione i segnali che arrivano da endpoint, posta elettronica, rete, cloud, ecc.
La differenza si vede in un caso concreto. Un'email di phishing, un accesso anomalo ad un account, un tentativo di spostarsi su un server: per tre sistemi separati sono tre allarmi di media gravità. Per un XDR sono un unico attacco in corso. Esistono soluzioni come una piattaforma che unisce EDR e XDR in un solo agente, che evitano di installare e gestire tre prodotti diversi.
Quale serve a voi
La domanda che viene subito dopo
Più visibilità significa più segnalazioni. Chi le legge, chi decide, chi interviene di notte? Sarà il tema del prossimo articolo.
Valutiamo la vostra situazione
Offriamo una valutazione gratuita della sicurezza degli endpoint: cosa avete installato oggi, cosa vede e cosa no, quale livello ha senso per la vostra dimensione.
Scrivete a info@digiway.it o prenotate un appuntamento dal sito.
Antivirus: riconoscere
L'antivirus moderno confronta file e comportamenti con quello che già conosce: firme di malware noti, schemi sospetti, modelli di apprendimento automatico. Quando riconosce qualcosa lo blocca.
Funziona bene contro le minacce note, che sono ancora la maggioranza. Il suo limite è strutturale: vede il singolo evento, non la sequenza. Se un attaccante entra con una password rubata e usa strumenti legittimi del sistema operativo, non c'è nessun file da riconoscere.
EDR: ricostruire
L'EDR, Endpoint Detection and Response, registra continuamente cosa accade sulla macchina: processi avviati, connessioni aperte, file modificati, comandi eseguiti. Non cerca solo cose note. Cerca comportamenti anomali, anche quando ogni singolo passo sembra lecito.
Quando trova qualcosa fa due cose che l'antivirus non fa:
- isola la macchina dalla rete in pochi secondi, prima che il problema si propaghi;
- ricostruisce la catena determinando da dove è entrato l'attacco, cosa ha toccato, quali altri computer ha cercato di raggiungere.
XDR: la storia completa
L'XDR, Extended Detection and Response, estende lo stesso principio oltre il singolo computer. Mette in relazione i segnali che arrivano da endpoint, posta elettronica, rete, cloud, ecc.
La differenza si vede in un caso concreto. Un'email di phishing, un accesso anomalo ad un account, un tentativo di spostarsi su un server: per tre sistemi separati sono tre allarmi di media gravità. Per un XDR sono un unico attacco in corso. Esistono soluzioni come una piattaforma che unisce EDR e XDR in un solo agente, che evitano di installare e gestire tre prodotti diversi.
Quale serve a voi
- Pochi computer e nessun dato critico: un buon antivirus moderno, gestito con attenzione e aggiornato, è spesso sufficiente.
- Da qualche decina di postazioni in su, o se dovete rispondere a un cliente sugli obblighi della NIS2: l'EDR diventa il minimo ragionevole. Senza, non siete in grado di dire cosa è successo durante un incidente.
- Più fonti da sorvegliare e qualcuno che le guarda davvero: l'XDR. Senza una persona o un servizio che segua gli allarmi, però, resta un investimento sprecato.
La domanda che viene subito dopo
Più visibilità significa più segnalazioni. Chi le legge, chi decide, chi interviene di notte? Sarà il tema del prossimo articolo.
Valutiamo la vostra situazione
Offriamo una valutazione gratuita della sicurezza degli endpoint: cosa avete installato oggi, cosa vede e cosa no, quale livello ha senso per la vostra dimensione.
Scrivete a info@digiway.it o prenotate un appuntamento dal sito.
