Telemetria e rilevamento
Cosa raccoglie l'EDR
Telemetria e rilevamento è una lezione Cyber Security Academy gratuita su CoddyKit. Questa è la lezione 2 di 4. Puoi leggere la lezione completa qui gratuitamente — poi esercitati direttamente nel browser con un editor di codice integrato e un tutor IA disponibile 24/7. Fa parte del percorso di apprendimento Cyber Security Academy, e i tuoi progressi si sincronizzano tra il web e l'app CoddyKit. Il corso Cyber Security Academy include 4 lezioni in totale.
Che cos'è la telemetria
La telemetria è l'insieme dei dati che un agente EDR raccoglie da un endpoint.
È il registro grezzo di ciò che accade su un dispositivo e costituisce la base di ogni rilevamento.
Attività dei processi
EDR registra ogni processo che viene avviato, compreso chi lo ha avviato e quale riga di comando è stata utilizzata.
Telemetry sample:
parent: winword.exe
child: powershell.exe
args: -enc ZQBjAGgAbwA...Modifiche a file e registro
L'agente monitora il file system e, su Windows, il registro di sistema.
- File nuovi o modificati
- File crittografati rapidamente (segnale di ransomware)
- Chiavi del registro usate per la persistenza
Connessioni di rete
EDR registra a quali destinazioni si connettono i processi.
Una connessione a un server noto per attività dannose o un caricamento insolitamente grande può rivelare un furto di dati o traffico di comando e controllo.
Eventi relativi a utenti e accessi
La telemetria include gli accessi e l'utilizzo degli account.
- Accessi in orari insoliti
- Numerosi tentativi di accesso falliti
- Un utente normale che improvvisamente utilizza privilegi di amministratore
Questi elementi possono indicare account compromessi.
Rilevamento basato su firme
Un metodo di rilevamento confronta l'attività con firme note del malware, come l'hash di un file o un dominio noto per attività dannose.
È rapido e affidabile per le minacce già catalogate.
Rilevamento comportamentale
Il rilevamento comportamentale analizza gli schemi delle azioni invece di usare firme fisse.
Esempio: un documento Word che avvia PowerShell e poi scarica un file è sospetto, anche se il file è completamente nuovo.
Regole di rilevamento
Molte piattaforme EDR usano regole per descrivere comportamenti sospetti.
Un formato aperto molto diffuso è Sigma, che consente ai team di condividere la logica di rilevamento in modo indipendente dal fornitore.
title: Office app spawns shell
detection:
selection:
ParentImage: winword.exe
Image: powershell.exe
condition: selectionMappatura a MITRE ATTACK
Il framework MITRE ATTACK raccoglie in un catalogo le tecniche degli attaccanti.
Gli avvisi EDR vengono spesso mappati sulle tecniche di ATTACK, aiutando gli analisti a capire in quale fase dell'attacco si trovano.
Riduzione dei falsi positivi
Non tutti gli avvisi corrispondono a una minaccia reale. Un falso positivo è un'azione innocua segnalata come una minaccia.
I team ottimizzano le regole e creano eccezioni, affinché gli analisti si concentrino sugli avvisi davvero importanti.
Caccia alle minacce
La telemetria archiviata consente la caccia alle minacce: gli analisti cercano in modo proattivo gli attaccanti nascosti.
Interrogano i dati storici alla ricerca di segnali sottili che gli avvisi automatici potrebbero non aver rilevato.
Verifica rapida
Verifichi la Sua conoscenza della telemetria e del rilevamento.
Riepilogo
EDR raccoglie dati di telemetria come:
- eventi relativi a processi, file, registro, rete e accessi
Rileva le minacce con metodi basati sulle firme e sul comportamento, le mappa su MITRE ATTACK e supporta la caccia proattiva alle minacce.
Domande Frequenti
La lezione «Telemetria e rilevamento» è gratuita?
Sì — il testo completo di «Telemetria e rilevamento» è gratuito qui sul web. Per esercitarvi in modo interattivo (un editor di codice integrato e un tutor IA 24/7) e sbloccare il resto del corso Cyber Security Academy, passa a CoddyKit PRO. Il corso Cyber Security Academy include 4 lezioni in totale.
Cosa imparerò in «Telemetria e rilevamento»?
Cosa raccoglie l'EDR Eserciti Cyber Security Academy con codice pratico che esegui direttamente nel browser, e un tutor IA 24/7 risponde alle tue domande mentre lavori sulla lezione.
Ho bisogno di esperienza per iniziare Cyber Security Academy?
Non è richiesta alcuna esperienza precedente. Cyber Security Academy su CoddyKit è strutturato per principianti e studenti avanzati, quindi puoi iniziare da qui o dall'inizio e procedere al tuo ritmo. Questa è la lezione 2 di 4.
Quanto tempo richiede la lezione «Telemetria e rilevamento»?
La maggior parte delle lezioni CoddyKit richiede circa 5–10 minuti. Ogni lezione è breve e interattiva, quindi fai progressi costanti e riprendi esattamente da dove hai lasciato su web e app.
Posso scrivere ed eseguire codice in questa lezione Cyber Security Academy?
Sì. Ogni lezione Cyber Security Academy include un editor di codice integrato, quindi scrivi ed esegui codice reale direttamente nel tuo browser e ricevi feedback istantaneo dall'IA — nessuna configurazione locale necessaria.
Tutte le lezioni di questo corso
- Che cos'è l'EDR
- Telemetria e rilevamento
- Azioni di risposta
- EDR e antivirus a confronto