XDR: significato

In breve

L'EDR guarda dentro il singolo PC o server. Un attacco moderno però passa da più posti: arriva via email, usa un account cloud, si muove fra le macchine. L'XDR raccoglie i segnali di tutte queste sorgenti e li ricompone in un unico incidente, con le azioni di risposta a portata di mano.

Come funziona

Un sistema XDR ha tre componenti:

• telemetria da più sorgenti: agenti sugli endpoint, accessi agli account cloud, eventi di posta, firewall e rete;
• correlazione: regole e analisi collegano eventi che, presi da soli, sembrano normali;
• risposta: azioni come isolare una macchina, bloccare un indirizzo, sospendere un account o rimuovere un software, avviate da un analista o in automatico su regole concordate.

Si distingue fra XDR "nativo", in cui tutte le sorgenti appartengono allo stesso ecosistema di prodotti, e XDR "aperto", che integra strumenti di provenienza diversa.

Differenza con SIEM ed EDR

Il confine è sfumato e il termine nasce anche come etichetta commerciale. In sintesi: l'EDR copre gli endpoint con rilevamento e risposta; il SIEM raccoglie e conserva log da qualunque sorgente, con correlazione e allarmi, ma tradizionalmente non agisce; l'XDR prende la profondità di analisi dell'EDR e la allarga ad altre sorgenti, con la risposta integrata. Nella pratica molte aziende usano SIEM e XDR insieme: il primo per la conservazione e l'indagine, il secondo per reagire.

Perché è importante

Gli attacchi più comuni contro le PMI non usano malware sofisticati: usano credenziali rubate, accessi a Microsoft 365 o Google Workspace, strumenti di sistema legittimi. Su un solo sensore lasciano tracce deboli; messe insieme, sono evidenti. Come per il SIEM, l'XDR rende quando qualcuno legge gli allarmi e decide: per questo è spesso offerto come servizio gestito (MDR).

Esempio

Alle 9:02 un'impiegata riceve una email con un link a una finta pagina di accesso e inserisce la password. Alle 9:40 l'account accede a Microsoft 365 da un paese mai visto. Alle 10:15, dal suo portatile, parte un comando PowerShell che scarica un file. Tre eventi su tre sistemi diversi: l'XDR li collega allo stesso utente in una sola ora, e l'analista blocca l'account e isola il portatile in un'unica operazione.

Termini collegati

• EDR
• SIEM
• Phishing
• MITRE ATT&CK