In un precedente articolo, abbiamo visto cos’è il Data Breach e le conseguenze per le aziende e/o persone che subiscono un furto di informazioni. La “caccia alle minacce” è la pratica di cercare attivamente comportamenti che potrebbero eludere le difese di sicurezza attraverso risorse, reti e componenti dell’infrastruttura. Le aziende, oggi, cercano quindi sempre più di sfruttare la ricerca delle minacce in modo da proteggersi ed ottenere una vulnerabilità minima. Prevenire un Data Breach è infatti possibile grazie alla formazione aziendale, ma anche attraverso il continuo monitoraggio degli endpoint tramite programmi specifici. Per endpoint, nello specifico, si intende un dispositivo che possa connettersi a Internet, sia fisicamente che in cloud. Proprio questo rende gli endpoint uno dei canali preferiti per gli attacchi alla sicurezza informatica di un’azienda o di uno studio. Qui si inseriscono due soluzioni che possono supportare un’azienda nella prevenzione dei cyber attacchi: EDR e XDR. Vediamo nello specifico in cosa consistono e quale tecnologia scegliere.
Dal principio: perché EDR e XDR
Nel settore della sicurezza informatica, viviamo in una situazione di rapida evoluzione, in cui la cybersecurity si deve innovare per poter affrontare le diverse minacce che sorgono ogni giorno.
Gli endpoint sono stati a lungo uno degli obiettivi principali dei cyber attacchi: i dati, a cui gli endpoint danno accesso, rappresentano la priorità da proteggere per un’azienda, sia che risiedano all’interno sia che si trovino all’esterno del tradizionale perimetro di sicurezza aziendale.
I cyber attack, oggi, si sono infatti evoluti con attacchi multilivello, che si spostano tra i differenti ambienti IT. È fondamentale, in questo senso, avere una visibilità completa e precisa dello stato di sicurezza del perimetro aziendale, per identificare eventuali minacce e reagire in modo tempestivo.
In questo contesto si inseriscono le soluzioni di EDR e XDR. Esse rappresentano due prodotti rivoluzionari e fondamentali per prevenire minacce informatiche come il furto di informazioni e dati. La funzione dell’EDR e del XDR è quella di monitorare in tempo reale ciò che succede all’interno del perimetro aziendale e nei dispositivi indicati come tali (ad es. PC, smartphone), per monitorare il “rumore di fondo” che normalmente si genera, ovvero le normali attività dei programmi, e rilevare eventuali anomalie.
Ma qual è la differenza tra i due? Perché scegliere un EDR o un XDR?
EDR: cos’è e perché può rivoluzionare la tua sicurezza
Il termine EDR, Endpoint Detection and Response, fa riferimento al rilevamento e alla risposta degli endpoint. Il compito di un EDR è infatti quello di rilevare le minacce attive sull’endpoint. L’EDR si concentra sull’attività dei dispositivi e non sulla rete: si occupa di identificare i comportamenti anomali che generano minacce per la sicurezza aziendale.
L’EDR, per compiere quest’azione di monitoraggio delle attività, si inserisce nel momento successivo a un incidente relativo alla sicurezza su un endpoint. È uno strumento attivo che può aiutare a identificare gli attacchi e avviare soluzioni automatizzate o risposte manuali, con lo scopo di esaminare e rispondere ai pericoli.
Gli strumenti EDR in genere svolgono le seguenti funzioni:
- aiutare gli analisti a identificare gli indicatori di compromissione (IoC);
- fornire avvisi in tempo reale sugli incidenti di sicurezza;
- integrare le analisi forensi per aiutare gli analisti a indagare sugli endpoint interessati e identificare la fonte originale di un attacco;
- riparazione automatica, ad esempio isolando, cancellando o ricreando l’immagine di un endpoint.
Protezione estesa di rilevamento e risposta: come funziona l’XDR
L’XDR, o anche Extended Detection and Response, è una piattaforma che fornisce una completa protezione nei confronti di un bacino più ampio di minacce, monitorando più endpoint, reti, utenti e carichi di lavoro cloud. Un sistema XDR è, quindi, in grado di raccogliere e correlare i dati tra i più livelli di sicurezza, in modo da identificare le minacce in modo rapido ed efficace. Ciò è possibile grazie alle azioni di monitoraggio, analisi, rilevamento e rimedio che svolge in modo automatico e continuo.
Gli strumenti di XDR si basano su soluzioni EDR: combinano più prodotti di sicurezza allo scopo di fornire una piattaforma di rilevamento e risposta agli incidenti di sicurezza più completa, con un raggio d’azione più ampio. La funzione principale di uno strumento XDR è quella di raccogliere e correlare dati da diverse fonti, per ottenere maggiore visibilità del contesto e della natura delle possibili minacce, anche di quelle più avanzate.
Inoltre, un XDR contiene le funzionalità di centralizzazione e normalizzazione dei dati in un archivio centrale, in modo da renderli disponibili ad attività di analisi e interrogazione.
Vantaggi dell’XDR:
- Miglioramento della produttività delle operazioni di sicurezza con la correlazione di allarmi e incidenti;
- Automazione integrata;
- Riduzione della complessità della configurazione della sicurezza e della risposta agli incidenti e ottimizzazione dei risultati di sicurezza;
- aumento della produttività complessiva del personale di sicurezza;
- riduzione del costo totale di proprietà (TCO) dello stack di sicurezza.
Anche le soluzioni XDR, come quelle EDR, presumono che esista già una minaccia e cercano di individuarla attivamente attraverso l’analisi e l’ispezione di tutti i dati con processi avanzati basati su algoritmi di apprendimento automatico.
Conclusioni
L’avanzamento delle tecnologie e dei software per la sicurezza degli endpoint viaggia rapidamente. Le organizzazioni sono passate dall’utilizzo di semplici software antivirus a piattaforme complete di protezione degli endpoint che forniscono funzionalità di sicurezza preventiva a tutto tondo.
Nello specifico, le soluzioni EDR si differenziano da quelle XDR in quanto si concentrano sugli endpoint e registrano le attività e gli eventi del sistema. In questo senso, permettono di ottenere la visibilità del contesto ed evidenziare gli incidenti informatici. L’XDR, invece, raccoglie e mette in correlazione le informazioni sulle minacce. Questa soluzione supporta il rilevamento rapido e la risposta alle minacce in tutta l’azienda attraverso la rete, il cloud e i differenti endpoint. L’XDR è ampiamente considerato il futuro della sicurezza degli endpoint, ma non sostituisce l’EDR. Piuttosto, lo sfrutta e lo consolida con altre parti dello stack di sicurezza, per fornire una maggiore sicurezza ed efficienza operativa.
