MDR: cos'è il Managed Detection and Response
MDR (Managed Detection and Response) è un servizio in cui un fornitore specializzato sorveglia gli allarmi di sicurezza di un'azienda, indaga quelli rilevanti e interviene o guida la risposta quando c'è un incidente.
In breve
Strumenti come SIEM, EDR e XDR producono allarmi. L'MDR è la parte umana che li rende utili: persone che leggono gli allarmi, scartano i falsi positivi, capiscono cosa sta succedendo e agiscono. È la risposta pratica per le aziende che non possono permettersi un proprio SOC.
Come funziona
Un servizio MDR comprende di solito:
- monitoraggio degli allarmi provenienti dagli strumenti installati presso il cliente;
- triage e indagine: classificazione per gravità e verifica di cosa c'è dietro;
- risposta: azioni di contenimento concordate (isolare una macchina, bloccare un account) e coordinamento della gestione dell'incidente;
- threat hunting: ricerca proattiva di minacce che non hanno fatto scattare allarmi;
- rendicontazione: cosa è stato visto, cosa è stato fatto, cosa migliorare.
Rispetto al classico MSSP, che spesso si limita a gestire apparati e inoltrare allarmi, l'MDR mette l'accento su indagine e risposta.
Perché è importante
Gli attacchi non rispettano l'orario d'ufficio e un allarme non letto non serve. Prima di scegliere un servizio MDR conviene chiarire per iscritto:
- in quali orari è attivo il presidio (orario lavorativo o 24 ore su 24, 7 giorni su 7) e come si contatta il fornitore in emergenza;
- quali azioni il fornitore può fare da solo e quali richiedono la tua approvazione;
- chi guida la gestione dell'incidente e chi comunica con le autorità, per esempio per le notifiche previste da NIS2 o per un data breach;
- quali sorgenti di dati sono coperte e per quanto tempo i log vengono conservati.
Esempio
Un sabato mattina l'agente su un server segnala la creazione di un'utenza amministrativa sconosciuta. Il team MDR verifica: nessuna richiesta del reparto IT, accesso partito da un indirizzo estero tramite la VPN. Su regole concordate disattiva l'utenza, avvisa il referente dell'azienda e apre la gestione dell'incidente, che il lunedì prosegue con l'analisi di come le credenziali della VPN siano state ottenute.
Nel rapporto mensile l'episodio compare con le azioni fatte e le raccomandazioni: attivare l'autenticazione a più fattori sulla VPN e rivedere le utenze dei fornitori. È così che un servizio MDR, oltre a reagire, aiuta a ridurre la probabilità che lo stesso evento si ripeta.
Termini collegati
Dove lo trovi in Dottor Box
Con il livello MDR + SOC gli alert arrivano al SOC di Dottor Marc, con supporto a ticket 8/5, e Dottor Marc assume il ruolo di Incident Response Team Lead. Il livello MDR + SOC 24/7 aggiunge il presidio continuo con un numero di telefono dedicato.
SOC e MDR
Il Security Operation Center di Dottor Marc: monitoraggio, risposta gestita e, se serve, presidio 24 ore su 24.
Scopri di più GovernareIncident Response e Data Breach
CSIRT, fasi di gestione dell'incidente e registro delle violazioni con i tempi di notifica.
Scopri di più VedereSIEM e XDR gestito
Log centralizzati, correlazione degli eventi e risposta sugli endpoint, con analisti che filtrano il rumore.
Scopri di più