Sicurezza
Oltre l'antivirus: protezione EDR.
Rilevamento e risposta in tempo reale sugli endpoint: fermiamo le minacce che l'antivirus tradizionale non vede.
Richiedi una consulenzaL'antivirus da solo non basta più: riconosce quello che ha già visto, e gli attacchi moderni sono costruiti apposta per non somigliare a niente di noto. L'EDR osserva i comportamenti, rileva l'anomalia e isola la macchina prima che la minaccia si diffonda in rete.
Come funziona un antivirus tradizionale
Confronta i file con un elenco di minacce già catalogate: se il file corrisponde a una firma nota, lo blocca. È un modello che ha funzionato per vent'anni e che continua a servire, perché elimina il rumore di fondo delle minacce comuni. Il problema è che descrive il mondo com'era: presuppone che l'attacco sia un file, che il file sia già stato visto da qualcuno e che qualcuno lo abbia catalogato prima che arrivi da te.
Perché gli attacchi moderni gli passano sotto
Le tecniche più diffuse oggi sono pensate esattamente per aggirare quel modello.
- Attacchi fileless: il codice gira in memoria, non c'è nessun file da analizzare
- Living off the land: l'attaccante usa PowerShell, WMI e altri strumenti legittimi di Windows
- Payload polimorfici: ogni vittima riceve una variante diversa, quindi nessuna firma corrisponde
- Credenziali valide: se entra come un utente vero, per l'antivirus non sta succedendo nulla di anomalo
Cosa fa l'EDR in più
EDR sta per Endpoint Detection and Response. Invece di chiedersi «questo file è cattivo?», si chiede «questa sequenza di azioni ha senso?». Un processo Office che avvia PowerShell che scarica qualcosa da internet e inizia a cifrare file in serie non corrisponde a nessuna firma nota, ma è un pattern inequivocabile. L'EDR lo riconosce, blocca la catena, isola il dispositivo dalla rete e conserva la traccia completa di cosa è successo, minuto per minuto.
Un tecnico (non un commerciale) analizza la tua situazione e ti dice cosa sistemare. Che tu scelga noi o no.
Rilevare non basta: serve rispondere
È qui che quasi tutte le implementazioni falliscono. Un EDR installato e lasciato a sé stesso produce alert che nessuno legge: la console si riempie, le notifiche diventano rumore, e il giorno dell'attacco vero l'allarme resta lì fino al lunedì mattina. Il servizio ha senso solo se qualcuno guarda quegli alert e agisce. Nei nostri contratti il monitoraggio è nostro: riceviamo noi la segnalazione, valutiamo se è un falso positivo, isoliamo la macchina se serve e ti chiamiamo con già in mano cosa è successo.
La domanda giusta da fare a un fornitore non è «che EDR installate», ma «chi guarda gli alert alle otto di sera e cosa fa».
L'isolamento automatico è la funzione che salva l'azienda
Quando un endpoint viene compromesso, i minuti contano: il ransomware si propaga sulle condivisioni di rete e verso gli altri dispositivi. L'EDR può staccare quella macchina dalla rete in automatico, lasciandola raggiungibile solo dalla nostra console per l'analisi. Il risultato pratico è la differenza tra una postazione da reinstallare e trenta, tra mezza giornata di lavoro perso e una settimana di fermo.
Come lo distribuiamo
Installazione silenziosa su tutte le postazioni e i server, senza fermare nessuno; configurazione delle policy in base ai reparti, perché il PC di produzione e quello dell'amministrazione non hanno gli stessi comportamenti normali; periodo di affinamento per ridurre i falsi positivi sui gestionali aziendali, che spesso fanno cose strane per motivi legittimi. Da lì in poi la gestione è nostra: aggiornamenti, revisione delle policy, gestione degli alert e report periodici. Siamo partner Sophos e lavoriamo con Trend Micro e Microsoft Defender for Business a seconda dell'infrastruttura.
FAQ
Domande frequenti
Cos'è l'EDR?
Endpoint Detection and Response: una tecnologia che monitora in tempo reale il comportamento di PC e server, rileva sequenze di azioni sospette anche mai viste prima, isola automaticamente il dispositivo compromesso e conserva la traccia dell'accaduto per l'analisi.
Devo togliere l'antivirus che ho già?
Le soluzioni EDR moderne includono le funzioni antivirus, quindi in genere si sostituisce il prodotto esistente invece di affiancarlo: due motori attivi sulla stessa macchina si ostacolano e rallentano tutto. La sostituzione la gestiamo noi, senza scoperture.
L'EDR rallenta i computer?
L'impatto è contenuto e nella pratica non percepibile sulle macchine degli ultimi anni. Su postazioni molto datate o su applicativi particolarmente sensibili si interviene con esclusioni mirate, che configuriamo durante la fase di affinamento.
Cosa succede se genera un falso positivo su un nostro gestionale?
I gestionali aziendali fanno spesso operazioni che assomigliano a comportamenti sospetti. Nelle prime settimane affiniamo le policy proprio per questo: creiamo le esclusioni necessarie dopo aver verificato che l'attività sia legittima, senza abbassare la protezione complessiva.
Chi controlla gli avvisi?
Noi. Il monitoraggio è incluso nel servizio gestito: valutiamo l'alert, distinguiamo il falso positivo dall'incidente reale, isoliamo la macchina se necessario e ti contattiamo con il quadro già ricostruito. Un EDR senza qualcuno che lo presidia serve a poco.
L'EDR protegge anche i server?
Sì, e sui server è particolarmente importante: sono il bersaglio finale della maggior parte degli attacchi ransomware. Copriamo server fisici e virtuali, Windows e Linux.
Basta l'EDR per essere protetti?
No: è un livello, non la soluzione. Va affiancato da protezione della posta, autenticazione a più fattori, firewall configurato bene e backup immutabile. L'EDR interviene quando qualcosa è già entrato — l'obiettivo è che entri il meno possibile.