EDR: cos'è
L'EDR (Endpoint Detection and Response) è la tecnologia che registra in continuo cosa accade su PC e server, riconosce i comportamenti tipici di un attacco e consente di intervenire sulla singola macchina: isolarla, fermare un processo, ricostruire cosa è successo.
In breve
L'antivirus tradizionale chiede "questo file è un malware conosciuto?". L'EDR chiede "quello che sta succedendo su questa macchina è normale?". Osserva processi, connessioni di rete, modifiche ai file e al registro, accessi, e riconosce sequenze sospette anche quando non c'è nessun file malevolo da trovare.
Come funziona
- Telemetria: un agente sull'endpoint registra gli eventi e li invia a una console centrale.
- Rilevamento: regole comportamentali e analisi segnalano le attività anomale, per esempio un documento Word che avvia PowerShell, o un programma che inizia a cifrare centinaia di file al minuto.
- Risposta: dalla console si può isolare la macchina dalla rete, terminare un processo, mettere in quarantena un file.
- Indagine: lo storico degli eventi permette di ricostruire da dove è entrato l'attacco e cosa ha toccato.
Molti prodotti di protezione degli endpoint oggi combinano antivirus ed EDR nello stesso agente. Quando il rilevamento si estende a identità, posta e cloud si parla di XDR.
Perché è importante
Gli attacchi recenti usano spesso strumenti già presenti nel sistema operativo e credenziali valide: niente da riconoscere per una firma antivirus. L'EDR colma questo vuoto. Ma produce allarmi che vanno valutati in fretta, spesso fuori orario: un EDR che nessuno guarda di notte vede l'attacco e lo lascia proseguire. Per questo è spesso affiancato da un servizio MDR o da un SOC.
Un'avvertenza pratica: l'EDR protegge solo le macchine su cui è installato e attivo. Un PC senza agente, o con la protezione disattivata, è un punto cieco. Sapere quali endpoint non sono protetti è il primo controllo da fare.
Esempio
Un commerciale apre l'allegato di una finta conferma d'ordine. Il documento lancia uno script che scarica un programma e prova a disattivare le copie shadow di Windows, passo tipico prima di un ransomware. Nessun file è noto all'antivirus, ma la sequenza (Office, script, cancellazione delle copie) fa scattare il rilevamento: il portatile viene isolato dalla rete e l'attacco si ferma su una sola macchina.
Il passo successivo è altrettanto importante: capire come è arrivato l'allegato, se altri lo hanno ricevuto e se qualche altra macchina mostra lo stesso comportamento. È qui che lo storico degli eventi dell'EDR fa la differenza.
Termini collegati
Dove lo trovi in Dottor Box
Dottor Box monitora lo stato della protezione antivirus degli endpoint e segnala PC e server non protetti. Il Cyber Agent aggiunge il rilevamento delle intrusioni sull'host, il monitoraggio dell'integrità dei file e gli avvisi sugli eventi critici.
Cyber Agent
L'agente sugli endpoint: eventi di sicurezza, integrità dei file e avvisi in italiano.
Scopri di più VedereSOC e MDR
Il Security Operation Center di Dottor Marc: monitoraggio, risposta gestita e, se serve, presidio 24 ore su 24.
Scopri di più VedereAsset Management
L'inventario IT unificato di dispositivi e software, con la mappa a grafo della rete.
Scopri di più