In breve: l’antivirus tradizionale riconosce i file malevoli. Molti attacchi di oggi, però, non usano file malevoli: entrano con credenziali rubate e si muovono con gli strumenti legittimi di Windows. Un EDR (Endpoint Detection and Response) osserva invece il comportamento dei processi, blocca le sequenze sospette, isola il PC dalla rete e permette di ricostruire cosa è successo. Funziona davvero solo se qualcuno ne guarda gli allarmi.
Come lavora un antivirus tradizionale
L’antivirus confronta i file con un archivio di “firme” di malware conosciuti e, nelle versioni più evolute, con regole euristiche che riconoscono comportamenti tipici. Contro un allegato infetto già noto funziona bene. Il suo limite è che cerca un oggetto: se l’oggetto non c’è, non ha nulla da segnalare.
Come lavorano oggi gli attaccanti
Gli attacchi più comuni contro le PMI seguono uno schema ricorrente:
- Ingresso con credenziali vere, ottenute con il phishing o comprate online, spesso su account Microsoft 365 senza MFA o su accessi remoti esposti.
- Movimento con strumenti legittimi: PowerShell, desktop remoto, programmi di assistenza remota, utilità di amministrazione di Windows. È la tecnica che gli addetti chiamano living off the land.
- Disattivazione delle difese e cancellazione dei backup raggiungibili.
- Cifratura dei dati, solo alla fine.
Fino all’ultimo passaggio non c’è nessun “virus” da trovare: ci sono programmi di Windows usati da un utente che sembra legittimo. Per questo nelle ricostruzioni di un attacco ransomware l’antivirus risulta quasi sempre attivo e aggiornato.
Cosa fa di diverso un EDR
- Guarda i comportamenti, non i file. Un documento di Word che avvia PowerShell, il quale scarica qualcosa da internet e prova a disattivare la protezione, è una sequenza anomala anche se ogni singolo passo usa strumenti legittimi.
- Risponde in automatico. Può bloccare il processo, mettere in quarantena i file e isolare il PC dalla rete, lasciandolo raggiungibile solo dalla console di gestione.
- Può annullare i danni. Alcune soluzioni, come SentinelOne, su Windows sono in grado di riportare i file allo stato precedente all’attacco.
- Registra cosa è successo. La cronologia degli eventi su ogni postazione permette di capire da dove è entrato l’attaccante e cosa ha toccato: un’informazione decisiva anche per le notifiche richieste dalla NIS2.
Il punto che si dimentica: qualcuno deve guardare
Un EDR produce allarmi, e un allarme che nessuno legge non protegge nessuno. Gli attacchi partono spesso di notte o nel fine settimana. Prima di scegliere il prodotto conviene chiedersi chi riceverà gli avvisi, entro quanto tempo e con quale autorità per isolare un PC o un server. Per questo gestiamo l’EDR insieme al monitoraggio dell’infrastruttura, invece di consegnarlo e basta.
E Microsoft Defender?
Anche Microsoft offre funzioni EDR, per esempio con Defender for Business incluso in alcune licenze Microsoft 365. È un’opzione da valutare, soprattutto per chi è già tutto in ambiente Microsoft. La scelta dipende da come sono composte le postazioni, da quali sistemi vanno protetti oltre a Windows e, ancora una volta, da chi gestirà gli allarmi.
Tre domande per capire dove siete oggi
- Se un PC iniziasse a cifrare file alle 3 di notte, verrebbe isolato in automatico?
- Chi riceve gli allarmi di sicurezza, e cosa fa nei primi trenta minuti?
- Sapreste ricostruire cosa è successo su una postazione nelle ultime 24 ore?
Domande frequenti
Che differenza c’è tra antivirus ed EDR?
L’antivirus cerca file malevoli conosciuti. L’EDR analizza il comportamento dei processi sulla postazione, riconosce sequenze sospette anche fatte con strumenti legittimi, risponde in automatico isolando il PC e registra gli eventi per l’analisi.
Un EDR rallenta i computer?
Le soluzioni moderne usano un agente leggero che lavora in locale e in cloud. Nella pratica il carico è paragonabile, e spesso inferiore, a quello di un antivirus tradizionale con scansioni pianificate.
Serve un EDR anche in una piccola azienda?
Sì, perché gli attacchi che usano credenziali rubate e strumenti legittimi colpiscono indipendentemente dalle dimensioni. Conta però che qualcuno ne gestisca gli allarmi: un EDR senza monitoraggio perde gran parte del suo valore.
Volete sapere cosa vedrebbe oggi la vostra protezione?
Con un assessment gratuito verifichiamo come sono protette le vostre postazioni e chi riceve gli allarmi. Se serve, possiamo anche provare SentinelOne su un gruppo di PC prima di decidere.