Cyber Agent, il sensore sugli endpoint
Un agent leggero su PC e server: inventario, vulnerabilità, accessi ed eventi critici, con il rilevamento e la risposta alle minacce tipici di un XDR e gli avvisi in tempo reale.
Il sensore che sta dove avvengono le cose
Le scansioni di rete vedono le macchine da fuori. L'agent le vede da dentro: sta sui PC e sui server delle persone e raccoglie quello che serve a sapere se un endpoint è aggiornato, cosa ci è installato, chi ci è entrato e cosa è andato storto.
Tutto questo arriva nel portale insieme al resto dei dati di Dottor Box, ed è la base di altri moduli: l'Asset Management, il controllo dei software autorizzati e buona parte del registro degli accessi.
Nei documenti contrattuali l'installazione del Cyber Agent è il blocco "Implementazione agente SIEM" del livello Security Monitor: rilevamento delle attività sospette, correlazione degli eventi e avvisi configurabili.
Quando accade qualcosa di grave non devi accorgertene guardando un cruscotto: arriva un'email, in italiano, già filtrata dalle regole che hai deciso.
Cosa ottieni
Vulnerabilità per macchina
CVE e patch mancanti host per host, per sapere esattamente quale PC aggiornare.
Software e accessi
L'inventario dei programmi e gli accessi alimentano il whitelisting e il registro degli amministratori di sistema.
Email sugli eventi critici
Una segnalazione immediata, con il titolo dell'evento tradotto in italiano.
Azioni da remoto
Aggiorna un programma, riavvia, spegni: dal browser, senza un'altra console.
Monitoraggio degli endpoint, punto per punto
Sono le funzioni dell'agent e quelle che il capitolato di servizio gli attribuisce.
L'agent è disponibile in due varianti alternative, una di tipo SIEM e una di tipo RMM (gestione remota). Le azioni da remoto sono disponibili con la variante SIEM.
- Vulnerabilità per host con i relativi CVE
- Software installato, hotfix e patch di sistema
- Indirizzi di rete e MAC delle interfacce
- Log di accesso agli endpoint e utenti amministratori locali
- Eventi di sicurezza critici e controlli di configurazione
- Monitoraggio dell'integrità dei file, per scoprire modifiche non autorizzate
- Storico delle modifiche al registro di sistema e log degli errori
- Registri del firewall e connessioni di rete
- Servizio HIDS (Host Intrusion Detection System) con alert
- Centralizzazione dei log fino a 6 mesi, a supporto dell'analisi forense
- Stato dell'antivirus, con la segnalazione di PC e server non protetti
Non solo SIEM: le funzioni XDR del Cyber Agent
Un SIEM raccoglie e conserva gli eventi. Un XDR (Extended Detection and Response) li mette in relazione fra loro, riconosce i comportamenti di un attacco e può reagire sull'endpoint. Il Cyber Agent fa entrambe le cose.
Eventi letti con MITRE ATT&CK
Ogni rilevamento è associato alla tattica e alla tecnica di attacco del framework MITRE ATT&CK: non vedi solo "cosa è successo", ma in quale fase di un attacco si colloca.
Malware e rootkit
Firme note di rootkit e trojan, controllo dei processi e dei file nascosti, confronto delle impronte dei file con liste di indicatori di compromissione, e raccolta degli allarmi dell'antivirus già installato.
Analisi del comportamento
Le regole di correlazione mettono insieme eventi che da soli sembrano innocui: tentativi di accesso ripetuti, un nuovo utente amministratore, un file di sistema modificato subito dopo.
Risposta automatica
Su regole concordate l'agent può agire da solo, per esempio bloccando sul firewall locale l'indirizzo IP che sta tentando un attacco a forza bruta, anche solo per un tempo stabilito, dopo il quale il blocco si annulla.
Configurazione contro i benchmark CIS
Le impostazioni del sistema operativo vengono confrontate con politiche di hardening basate sui benchmark CIS: password, servizi superflui, registro di sistema, con l'indicazione di come correggere.
Threat intelligence e threat hunting
Gli eventi vengono confrontati con fonti di intelligence sulle minacce, e lo storico centralizzato permette agli analisti di cercare attivamente tracce di compromissione che nessun allarme ha ancora segnalato.
Server, cloud e container. Lo stesso agent funziona su Windows, Linux e macOS, sulle macchine virtuali in cloud e negli ambienti container, così il controllo resta uniforme ovunque girino i tuoi carichi di lavoro. Quali risposte automatiche abilitare si decide insieme in fase di attivazione: un blocco che scatta da solo deve essere una scelta, non una sorpresa.
Tre ritmi diversi, a seconda di cosa serve
Non tutto va raccolto con la stessa frequenza: gli allarmi sono immediati, l'inventario completo è periodico.
In tempo reale
Gli alert critici arrivano dall'agent appena accadono e generano subito un'email di "Segnalazione Evento Critico". Lo stesso vale per le azioni di risposta automatica.
Ogni quarto d'ora
Il portale aggiorna l'elenco degli agent registrati: una macchina nuova compare in pochi minuti.
Ogni settimana
La raccolta completa di vulnerabilità, log e inventario software gira a fine settimana; lo stato dell'antivirus viene verificato il lunedì mattina.
Avvisi che si leggono, non che si ignorano
Un sistema di allarme che manda cento email al giorno smette presto di essere letto. Per questo gli avvisi del Cyber Agent sono pensati per restare utili:
- il titolo dell'evento è tradotto in italiano, così lo capisce anche chi non è un sistemista;
- puoi definire regole di esclusione per parola chiave e silenziare il rumore ricorrente che hai già valutato;
- ogni destinatario riceve la propria email, senza catene di copie in CC.
Sopra gli strumenti c'è il lavoro delle persone: gestione dei falsi positivi per notifiche accurate, correlazione dei dati di sicurezza e ricerca proattiva delle minacce nascoste.
A quali norme contribuisce
Raccolta dei log, integrità dei file, inventario software e registro degli accessi sono misure tecniche richieste da molti framework, compreso il provvedimento del Garante sugli amministratori di sistema.
Domande frequenti sul Cyber Agent
Il Cyber Agent sostituisce l'antivirus?
No, lo affianca. L'agent controlla lo stato dell'antivirus su ogni PC e server, segnala le macchine non protette e raccoglie gli allarmi dell'antivirus per metterli in relazione con gli altri eventi. La protezione resta quella che hai già installato.
Su quali sistemi operativi funziona il Cyber Agent?
Su Windows, Linux e macOS, sia su macchine fisiche sia su macchine virtuali in cloud e negli ambienti container. Per Linux ci sono i pacchetti rpm e deb, per architetture amd64 e aarch64, e nel portale trovi i comandi di installazione già compilati da copiare.
L'agent rallenta i computer?
È un agent leggero: in tempo reale viaggiano solo gli eventi critici, mentre la raccolta completa di inventario, vulnerabilità e log avviene una volta a settimana. L'installazione può comportare brevi interruzioni nell'uso delle risorse collegate, per questo si pianifica in fase di attivazione.
Che differenza c'è tra SIEM, EDR e XDR?
Un SIEM raccoglie e correla i log di molte fonti. Un EDR sorveglia e difende il singolo endpoint. Un XDR estende rilevamento e risposta a più livelli, mettendo insieme endpoint, rete e identità. Trovi il confronto nella guida cos'è un SIEM e nella pagina del servizio SIEM e XDR gestito.
Chi legge gli allarmi generati dall'agent?
Dipende dal livello di servizio. Con Security Monitor gli avvisi arrivano via email al tuo team. Con MDR + SOC gli alert arrivano anche al SOC di Dottor Marc, che interviene per contenere la minaccia, con supporto via ticket in orario lavorativo; con MDR + SOC 24/7 la copertura è continua. SOC e MDR: i tre livelli.
Per quanto tempo vengono conservati i log?
Il Cyber Agent centralizza i log fino a 6 mesi. È una finestra che permette di ricostruire un incidente anche settimane dopo, e coincide con il periodo minimo di conservazione che il Garante chiede per i log di accesso degli amministratori di sistema. Log accessi e amministratori di sistema.
Spesso attivati insieme
Asset Management
L'inventario IT unificato di dispositivi e software, con la mappa a grafo della rete.
Scopri di più VedereLog accessi
Gli accessi degli amministratori di sistema raccolti e conservati come chiede il Garante.
Scopri di più VedereSoftware autorizzati
Il software installato confrontato con quello approvato, per scoprire ciò che non dovrebbe esserci.
Scopri di piùSai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.