Endpoint Detection and Response (EDR)

Domande frequenti

• In cosa consiste una soluzione Endpoint Detection and Response (EDR)?

  L'acronimo EDR (Endpoint Detection and Response, rilevamento e risposta degli endpoint) indica una soluzione per la sicurezza attiva degli endpoint che esegue il monitoraggio continuo in tempo reale e mette in correlazione i diversi eventi che avvengono al livello degli endpoint, al fine di rilevare attività potenzialmente dannose, processi compromessi e comportamenti sospetti sui dispositivi degli utenti finali. L'obiettivo è quello di identificare gli attacchi in corso, i potenziali incidenti, le compromissioni o le violazioni della sicurezza, agendo quindi come un sistema di risposta che rende disponibili le funzionalità necessarie per porvi rimedio.
  
  Secondo la definizione di Gartner, le principali capacità di un sistema EDR sono:

  • Rilevamento degli incidenti di sicurezza
  • Contenimento degli incidenti sull'endpoint
  • Indagine sugli incidenti di sicurezza
  • Linee guida per la correzione dei problemi

• A chi serve una soluzione EDR?

  Qualsiasi azienda che è un potenziale bersaglio di attacchi informatici e/o che detiene dati di valore sugli endpoint deve predisporre una strategia di protezione degli endpoint che preveda capacità avanzate di rilevamento delle minacce e strumenti di risposta.
  
  Le PMI sono sempre più a rischio di attacchi digitali avanzati, per via della scarsità di risorse interne e dei vincoli di budget che limitano l'accesso alle soluzioni avanzate per la sicurezza degli endpoint, da sempre destinate alle grandi aziende visti i costi e la complessità.
  
  Inoltre, una soluzione EDR è imprescindibile per la strategia di Cyber Security delle aziende di ogni dimensione che operano in settori altamente regolamentati e con rischi digitali in aumento, come i settori finanziario, sanitario, legale, e-commerce e pubblica amministrazione, nei quali è fondamentale garantire la conformità e verificare che i dati sensibili presenti sugli endpoint siano fuori dalla portata delle minacce informatiche.
  
  EDR garantisce alle organizzazioni di ogni dimensione e complessità una protezione completa, con servizi di alto valore e scalabili tra più clienti.

• In che modo EDR riduce le spese operative (OPEX) rispetto ad altre soluzioni EDR?

  Costosi, complessi e utilizzabili solo da personale di sicurezza qualificato, gli attuali strumenti e soluzioni EDR di punta sono pensati per le grandi imprese. Inoltre, gli analisti della sicurezza devono eseguire manualmente le attività di threat hunting, analizzando centinaia di righe dei registri e dedicando ore a indagare le attività sospette. Anche così, una protezione basata sui principi NIST che garantisca la continuità operativa richiede strumenti e agenti software aggiuntivi per funzionare, aumentando ulteriormente la complessità e la proliferazione delle soluzioni.
  
  EDR esegue la raccolta continua dei dati basata su eventi relativi alla sicurezza, in modo simile ad altri strumenti EDR; successivamente la soluzione ottimizza le capacità di analisi emettendo avvisi per qualsiasi potenziale problema e aggregando i dati in interpretazioni guidate dell'attacco associate al framework MITRE ATT&CK®. Ciò permette agli analisti della sicurezza di indagare tempestivamente sulle attività sospette per più clienti, riducendo i tempi di indagine da ore a minuti e ottenendo una scalabilità più estesa.
  
  Inoltre, EDR è una soluzione per la sicurezza degli endpoint integrata in Acronis Cyber Protect Cloud che offre vantaggi esclusivi agli amministratori, permettendo, ad esempio, di rispondere con un solo clic in tutte le fasi del framework NIST, incluso il ripristino. Riduce così la proliferazione delle soluzioni, fornendo una protezione degli endpoint completa tramite un unico agente e una sola console Acronis.

• Da quali tipi di minacce protegge una soluzione EDR?

  Vari tipi di minacce avanzate riescono oggi a superare altri livelli di protezione degli endpoint (ad esempio i software antivirus). Tra questi, i più comuni sono:

  • Malware e ransomware zero-day: malware e/o ransomware che si infiltra nel sistema tramite una vulnerabilità zero-day (una vulnerabilità sfruttabile, per la quale tuttavia il produttore del software non ha ancora rilasciato una patch; la vulnerabilità può essere nota o sconosciuta). Può superare alcuni sistemi di difesa basati sul comportamento.
  • APT: le minacce persistenti avanzate (APT, Persistent Threats) utilizzano tecniche di hacking continue, sofisticate e altamente elusive per l'accesso non autorizzato ai sistemi; permettono agli hacker di sfuggire ai controlli per lunghi periodi, con conseguenze potenzialmente distruttive. Gli attacchi si sviluppano in più fasi, tra cui infiltrazione nel sistema, escalation e movimento laterale al suo interno, ed esfiltrazione dei dati sensibili. Le minacce persistenti avanzate si basano in genere sulla tecnica chiamata "living-off-the-land" ("vivere dei frutti della terra"), un comportamento che sfrutta quanto già disponibile negli ambienti colpiti, rendendo ancora più complicato il rilevamento e sensibilmente meno costosa l'esecuzione dell'attacco.
  • Attacco fileless: il malware fileless è un tipo di software pericoloso che usa programmi legittimi per infettare un computer. Non si basa su file e non lascia alcuna traccia, il che lo rende particolarmente difficile da rilevare e da eliminare.
  • Hacking: l'azione di identificare e quindi sfruttare le vulnerabilità di un sistema o di una rete, in genere per accedere senza autorizzazione a dati personali o di un'organizzazione. A seconda delle tecniche che utilizza, l'hacking può essere difficile da rilevare in quanto è in grado di sfruttare credenziali rubate o altre tecniche che appaiono come un processo assolutamente normale fino a quando non si accerta l'esfiltrazione ed è ormai tardi per rispondere.

  
  Il rilevamento e la risposta a questa e ad altre minacce avanzate richiedono controlli di sicurezza avanzati come l'EDR.