Quasi tutte le aziende hanno un antivirus. Eppure i ransomware continuano a passare. Il motivo è che gli attacchi di oggi spesso non usano un "virus" riconoscibile: sfruttano credenziali rubate, strumenti legittimi del sistema operativo, script che cambiano a ogni attacco.
Come lavora un antivirus tradizionale
Confronta i file con un elenco di minacce note (le "firme") e con alcune regole euristiche. Funziona bene contro ciò che è già conosciuto, meno contro attacchi nuovi o che non scrivono file sospetti sul disco.
Cosa aggiunge un EDR
Un EDR (Endpoint Detection and Response) osserva il comportamento di PC e server: quali processi partono, cosa fanno, quali connessioni aprono. Se un programma inizia a cifrare centinaia di file in pochi secondi, o un documento di Office lancia comandi di sistema, l'EDR lo riconosce come anomalo anche se non ne conosce la "firma".
- Rilevamento basato sul comportamento, non solo sulle firme.
- Risposta: blocco del processo, isolamento della macchina dalla rete, in alcuni casi ripristino dei file modificati.
- Visibilità: la cronologia di cosa è successo, per capire come è entrato l'attacco.
La differenza vera: chi guarda gli allarmi
Un EDR genera segnalazioni. Se nessuno le legge — perché in azienda non c'è un reparto di sicurezza, o perché arrivano di notte — il valore si perde. Per una PMI la scelta non è solo "antivirus o EDR", ma EDR gestito e monitorato: qualcuno che riceve gli allarmi, distingue i falsi positivi e interviene subito.
Cosa usiamo
Gestiamo Bitdefender GravityZone, con monitoraggio continuo e risposta agli incidenti da parte del nostro team.