Piattaforme antivirus, EDR e XDR

La sicurezza degli endpoint si è evoluta radicalmente negli ultimi 30 anni. L'antivirus tradizionale utilizzava database di firme per rilevare malware noti, ma con lo sviluppo di tecniche di offuscamento e polimorfismo da parte degli aggressori, le firme statiche sono diventate insufficienti. Ciò ha portato allo sviluppo dell'Endpoint Detection and Response (EDR), che si concentra sull'analisi comportamentale dei processi in esecuzione. Più recentemente, l'Extended Detection and Response (XDR) mette in correlazione la telemetria proveniente da endpoint, reti, carichi di lavoro cloud ed e-mail, offrendo una piattaforma unificata per il rilevamento delle minacce.

L'antivirus tradizionale (AV) funziona confrontando i file con un database di firme dannose note, ovvero sequenze di byte uniche di specifici campioni di malware. Quando un file corrisponde a una firma, viene messo in quarantena o eliminato. L'AV utilizza anche l'analisi euristica (ricerca di sequenze di codice sospette) e il sandboxing (esecuzione dei file sospetti in un ambiente isolato). La debolezza fondamentale è che l'AV è reattivo. I nuovi malware, in particolare gli attacchi fileless, polimorfici o basati su strumenti legittimi del sistema operativo, possono eludere completamente il confronto delle firme finché il fornitore non ne aggiunge una nuova.

Le piattaforme EDR monitorano continuamente l'attività degli endpoint e registrano un ricco flusso di telemetria: creazione di processi, connessioni di rete, modifiche al file system, modifiche al registro e allocazioni di memoria. Questa telemetria viene analizzata tramite modelli comportamentali e threat intelligence per rilevare schemi di attività dannosa che l'AV basato sulle firme non riesce a individuare. Quando viene rilevata una minaccia, l'EDR può isolare l'host dalla rete, terminare i processi dannosi e conservare prove forensi (dump della memoria, alberi dei processi) per le indagini.

Oltre al rilevamento, l'EDR offre importanti funzionalità di risposta. L'isolamento remoto disconnette dalla rete un host compromesso, mantenendo attivo il canale di gestione dell'EDR. La shell remota consente agli analisti di eseguire comandi sull'host isolato per svolgere le indagini. La terminazione dei processi arresta i processi dannosi. La quarantena dei file sposta i file dannosi in un archivio isolato. Il rollback può annullare la crittografia eseguita dal ransomware sui file system supportati. Le piattaforme EDR (CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint) offrono inoltre interfacce di threat hunting per effettuare ricerche proattive nella telemetria.

XDR estende la visibilità dell'EDR oltre l'endpoint acquisendo e mettendo in correlazione la telemetria proveniente da più livelli di sicurezza: agenti degli endpoint, strumenti di rilevamento della rete, gateway di sicurezza della posta elettronica, piattaforme di gestione delle identità e sensori dei carichi di lavoro cloud. Mettendo in correlazione i dati tra i diversi livelli, XDR può rilevare catene di attacco che, osservate isolatamente, sembrano innocue. Ad esempio, un'e-mail di phishing (telemetria della posta elettronica) → furto di credenziali (telemetria delle identità) → movimento laterale (telemetria della rete) → esfiltrazione dei dati (telemetria dell'endpoint) diventano un unico incidente, mentre gli strumenti isolati genererebbero quattro avvisi non correlati.

MDR è un modello di servizio in cui un fornitore mette a disposizione la tecnologia EDR/XDR E un team di analisti che, per conto del cliente, monitora, analizza e gestisce gli avvisi 24 ore su 24, 7 giorni su 7. L'MDR affronta la carenza di personale qualificato: molte organizzazioni non possono dotarsi di un Security Operations Center (SOC) operativo 24 ore su 24. I fornitori MDR definiscono generalmente SLA per gli avvisi (risposta entro 15 minuti, escalation entro 1 ora) e includono attività di threat hunting e report mensili. L'MDR si affianca agli MSSP (Managed Security Service Provider), ma si concentra specificamente sul rilevamento e sulla risposta, anziché sulla gestione generale della sicurezza.

Comprendere l'evoluzione di ciascuna piattaforma è utile per l'esame. AV: rilevamento tramite firme ed euristica, quarantena a livello di file, nessuna visibilità sugli attacchi basati su strumenti legittimi del sistema operativo. EPP (Endpoint Protection Platform): AV + firewall + controllo dei dispositivi in un unico agente. EDR: telemetria comportamentale continua, visibilità a livello di processo, automazione della risposta e threat hunting. XDR: correlazione tra più livelli (endpoint + rete + e-mail + cloud + identità), console unificata degli avvisi e rilevamento basato sull'IA. Molti prodotti si presentano oggi come «EDR con funzionalità XDR», rendendo meno netta la distinzione.

Le moderne piattaforme EDR/XDR utilizzano feed di threat intelligence per arricchire gli avvisi e migliorare il rilevamento. Quando un endpoint stabilisce una connessione con un indirizzo IP presente nel feed Threat Intel, l'EDR può aumentare automaticamente la gravità dell'avviso. La corrispondenza con gli IOC (hash dei file, indirizzi IP, nomi di dominio) consente di rilevare rapidamente gli indicatori dannosi già noti. L'integrazione con MITRE ATT&CK associa alle tecniche rilevate i relativi ID (T1059.001 per PowerShell), consentendo agli analisti di capire immediatamente in quale punto del ciclo di vita dell'attacco si colloca una tecnica e quali difese siano applicabili.

La principale sfida operativa dell'EDR/XDR è la stanchezza da avvisi. Un'implementazione EDR configurata male può generare migliaia di avvisi al giorno, la maggior parte dei quali sono falsi positivi. Una gestione efficace dell'EDR richiede di: ottimizzare le regole di rilevamento per ridurre i falsi positivi relativi a comportamenti noti e legittimi (script di distribuzione del software, strumenti di amministrazione IT), creare esclusioni per processi e percorsi considerati attendibili e definire livelli di gravità degli avvisi, in modo che gli analisti si concentrino prima su quelli più gravi. In qualsiasi programma di rilevamento, la qualità degli avvisi è più importante della loro quantità.

Gli aggressori sofisticati tentano attivamente di eludere il rilevamento EDR. Tra le tecniche comuni vi sono: iniezione di processi (iniezione di codice dannoso in processi legittimi come explorer.exe per nasconderlo), unhooking (rimozione dalla memoria degli hook API dell'EDR per impedire il monitoraggio), LOLBins (utilizzo di binari di sistema attendibili per evitare il rilevamento basato sugli hash) e syscall dirette (elusione completa del livello API Win32). I team di sicurezza dovrebbero eseguire regolarmente simulazioni di elusione dell'EDR (Atomic Red Team, MITRE Caldera) per verificare che i controlli rilevino queste tecniche.

Oltre alla tecnologia, una sicurezza efficace degli endpoint richiede decisioni di policy che gli strumenti EDR fanno rispettare. Il controllo dei dispositivi USB blocca i supporti rimovibili non autorizzati. L'allowlisting delle applicazioni impedisce l'esecuzione di software non autorizzato. Il filtro dei contenuti web sull'endpoint intercetta i download dannosi anche quando il dispositivo non è connesso alla VPN. La protezione antimanomissione impedisce agli aggressori con diritti di amministratore locale di disabilitare l'agente EDR. Le organizzazioni dovrebbero inoltre definire policy di utilizzo accettabile per gli endpoint e applicarle tramite MDM o Group Policy, creando una seconda linea di difesa quando i controlli tecnici vengono elusi.

In questa lezione ha imparato che: l'AV tradizionale si basa su firme ed euristica e non è in grado di rilevare minacce comportamentali o fileless; l'EDR offre telemetria comportamentale continua, rilevamento e risposta automatizzata, incluso l'isolamento dell'host; e l'XDR estende l'EDR mettendo in correlazione la telemetria proveniente da endpoint, e-mail, rete, identità e cloud per un rilevamento unificato degli incidenti. Ora passeremo alle tecniche di hardening dei sistemi operativi e ai benchmark CIS.