Nella continua corsa agli armamenti tra aggressori e difensori, il rilevamento e la risposta alle minacce di tipo “ endpoint ” (EDR) è ampiamente considerato come un importante passo avanti per i team di sicurezza aziendali. Coniata per la prima volta da Gartner nel 2013, questa categoria tecnologica ha raggiunto la maturità diversi anni dopo. Infatti, l’uso del software “ EDR” è stato reso obbligatorio per tutte le agenzie del governo federale nell’ambito del programma “ ” maggio 2021 , in base al decreto presidenziale (si apre in una nuova scheda).
Tuttavia, per quanto utili possano essere questi strumenti, non rappresentano una panacea. Nir Yosha, ingegnere delle soluzioni tecniche presso Tanium, ha recentemente illustrato perché — e in che modo — la piattaforma Tanium sia in grado di colmare alcune lacune fondamentali in termini di funzionalità.
Un’esplosione di minacce di tipo “ endpoint ”
L’ endpoint è il luogo in cui le organizzazioni globali svolgono oggi la propria attività. È anche il contesto in cui sono maggiormente esposti agli attacchi di soggetti malintenzionati che mirano a sottrarre dati sensibili, a estorcere denaro dai sistemi crittografati e molto altro ancora.
Over two-thirds (68 percent) of organizations experienced an endpoint attack that resulted in compromised data or IT systems over the previous 12 months, according to one 2020 report. (opens in a new tab)
Il passaggio al telelavoro di massa avvenuto lo scorso anno ha determinato un’esplosione del numero di endpoint aziendali, il che non ha fatto altro che ampliare la superficie di attacco informatico delle imprese. Circa il 90 % dei dirigenti di alto livello con cui abbiamo parlato ha dichiarato di aver registrato un’impennata delle violazioni.
Tutto ciò rende “ EDR ” una scelta ovvia per molti responsabili della sicurezza informatica al giorno d’oggi. Tuttavia, è anche importante comprendere quali siano i limiti di questa tecnologia e in quali casi possano essere necessari strumenti aggiuntivi:
Idea errata n. 1: il software " EDR " è un ottimo strumento per la ricerca proattiva delle minacce
EDR I prodotti software sono progettati per Detect individuare comportamenti sospetti del sistema, fornire informazioni contestuali e bloccare le attività dannose. Tuttavia, lo fanno solo nel caso di malware noto (tramite firme) e di comportamenti sospetti (tramite metodi euristici). Non sono in grado di Detect gli attacchi in-memory/fileless e le tecniche “living off-the-land” sempre più utilizzate dagli autori delle minacce per rimanere nascosti. È proprio su questi aspetti che dovete concentrarvi nell’attività di ricerca delle minacce.
Idea errata n. 2: gli strumenti di “ EDR ” possono ridurre il carico di lavoro degli analisti del Security Operations Center (SOC)
È certamente vero che gli strumenti di tipo “ EDR ” (KIA) sono in grado di automatizzare la protezione e il blocco di alcune attività dannose, consentendo così agli analisti di risparmiare tempo. Ma in realtà, anziché ridurre il carico di lavoro del SOC, lo aumentano. Perché? Poiché ogni strumento di EDR a genera migliaia di avvisi ogni giorno — avvisi per i quali gli analisti necessitano di altri strumenti che ne forniscano il contesto.
Di conseguenza, l’analista medio può trovarsi a dover affrontare un sovraccarico o un affaticamento da avvisi, al punto che risulta impossibile smaltire l’elenco degli avvisi entro la fine di ogni giornata. Ciò significa che alcune minacce riusciranno a passare inosservate, mentre gli analisti finiranno per dedicarsi a falsi positivi e vicoli ciechi.
Martin Fisher, direttore della sicurezza informatica e responsabile della sicurezza informatica presso il Northside Hospital nell’area di Atlanta, , ha parlato con Endpoint di come il suo team (si apre in una nuova scheda) stia subendo un esaurimento a causa dei continui allarmi.
Idea errata n. 3: “ EDR ” offre funzionalità complete per la gestione degli incidenti e la risoluzione dei problemi
EDR può essere d'aiuto in alcune attività di risposta agli incidenti, ma non è certamente uno strumento di riferimento. Questo perché la maggior parte di essi non fornisce analisi comportamentali che consentano di definire l’entità di un attacco in corso. Non forniscono dati storici a fini di indagine e analisi e non registrano le attività su tutti gli host. Ciò significa che gli addetti alla gestione degli incidenti devono individuare strumenti alternativi per garantire l’analisi in tempo reale dell’entità dell’incidente, l’isolamento e le indagini forensi.
In che modo può esservi d’aiut Tanium ?
I team di sicurezza dovrebbero invece cercare di integrare le proprie funzionalità di " EDR " con la piattaforma " Tanium ". Tanium consente ai clienti di:
- Ponga le domande giuste per individuare rapidamente attività dannose sofisticate non rilevate da EDR
- Ottenete una visione chiara della portata degli attacchi e verificate se vi sia stata un’esfiltrazione di dati
- Contribuite a individuare eventuali minacce in tempo reale e su larga scala
- Comprendere cosa è accaduto dopo l’incidente, quali sono i danni e in che modo l’organizzazione possa migliorare prima del prossimo attacco
Tanium EDR e lavorano in sinergia per ridurre al minimo i rischi informatici e rendere la vostra organizzazione più sicura, protetta e resiliente.
Scoprite di più su , sulla soluzione di risposta agli incidenti di Tanium (si apre in una nuova scheda) e contattateci per fissare una demo.
