L’antivirus non basta più.
Servono EDR e XDR.

EDR (Endpoint Detection and Response) è una soluzione di sicurezza che osserva in modo continuo ogni endpoint aziendale, computer Windows e Mac, server Linux e Windows, dispositivi mobili, analizzando il comportamento dei processi e non solo le firme dei file. A differenza dell’antivirus tradizionale rileva minacce sconosciute tramite analisi comportamentale e machine learning, e può rispondere da solo: isola l’endpoint compromesso, termina i processi malevoli e riporta indietro le modifiche.

L’EDR protegge i singoli endpoint. L’XDR (Extended Detection and Response) estende il rilevamento a rete, email, cloud e identità, e correla i segnali di tutte le fonti. Un login da un Paese insolito seguito da un download anomalo su un endpoint è un attacco che l’EDR da solo vedrebbe a metà: l’XDR ricostruisce la catena completa e risponde su tutti i fronti, compreso il blocco dell’account o la ri‑autenticazione forzata dell’utente.

EDR e XDR sono tecnologie; l’MDR (Managed Detection and Response) è un servizio. Un SOC (Security Operations Center) presidia la piattaforma 24 ore su 24, 365 giorni l’anno: separa i falsi positivi dalle minacce vere, indaga e interviene, isolando i sistemi colpiti e contenendo l’attacco. Il produttore lo propone in due livelli. Standard: monitoraggio continuo, mitigazione automatica, isolamento, risposta manuale agli incidenti critici, analisi dell’incidente e raccomandazioni. Advanced: aggiunge la bonifica completa, compreso il ripristino dai backup e gli interventi da remoto sui sistemi colpiti. Quale dei due, e con quali regole di ingaggio, lo definiamo nel progetto: è un servizio progettato su misura per il Cliente, non un pacchetto a listino. È la scelta per chi ha bisogno di una copertura continua senza costruire un SOC interno.

No. L’antivirus si basa su firme note e blocca solo malware già catalogato. Le minacce moderne operano in memoria senza scrivere file (fileless), sfruttano strumenti legittimi del sistema operativo (living off the land) e sempre più spesso non toccano nemmeno l’endpoint: rubano una sessione o un token e usano credenziali valide. Solo l’analisi comportamentale su endpoint e identità può intercettarle.

Dipende dal servizio che scegli. Con la gestione EDR/XDR gli alert li legge il nostro team, in orario di lavoro: analizza, chiude i falsi positivi, indaga i casi veri e affina le regole. Fuori orario lavorano gli automatismi, che isolano l’endpoint, terminano i processi malevoli, bloccano l’account compromesso e avvisano, e il caso viene ripreso alla riapertura. Se serve una copertura continua c’è l’MDR: un SOC attivo 24 ore su 24, 365 giorni l’anno, che indaga gli alert e interviene per contenere l’attacco. Livelli di servizio e perimetro li scriviamo nel contratto: niente promesse generiche in una pagina web.

Secondo il Cost of a Data Breach Report 2025 di IBM, tra l’inizio di una violazione e il suo contenimento passano in media 241 giorni, di cui 158 solo per accorgersene. Con il monitoraggio continuo e la correlazione automatica di EDR/XDR i tempi si accorciano drasticamente e il primo contenimento è automatico: isolamento dell’endpoint, terminazione dei processi malevoli e rollback delle modifiche.

Su tre binari. Il primo è lo stack Microsoft nativo: Microsoft Defender for Endpoint e Defender XDR, con la protezione delle identità di Microsoft Entra, per chi ha già un tenant Microsoft 365 e vuole identità, endpoint e cloud in un’unica console. Il secondo è Bitdefender GravityZone, piattaforma di un vendor europeo con EDR, XDR e protezione delle identità, qualificata dall’ACN (Agenzia per la Cybersicurezza Nazionale) al livello QC2 nel catalogo dei servizi cloud per la Pubblica Amministrazione. Il terzo è Acronis Cyber Protect Cloud, di un vendor con sede in Svizzera: EDR, XDR e MDR 24/7 su un’unica piattaforma che integra anche backup, disaster recovery e patching, così il ripristino dopo un attacco fa parte della risposta. Acronis ha un data center in Italia, tiene conto del GDPR nelle proprie policy di sicurezza e sta allineando la governance dell’intelligenza artificiale all’AI Act europeo; la Svizzera è riconosciuta dalla Commissione europea come Paese con un livello adeguato di protezione dei dati. Li nominiamo qui e non nel resto della pagina perché la scelta parte dai tuoi requisiti, stack esistente, dati trattati, obblighi normativi, e non da una preferenza commerciale.

Sì, ed è uno dei quattro modi in cui lavoriamo. Servizio completo: progettiamo, attiviamo e gestiamo. Sola architettura: definiamo policy, soglie e integrazioni, che poi realizza il tuo IT interno. Sola consulenza: audit della configurazione esistente, scelta della piattaforma, requisiti NIS2. Sola gestione: prendiamo in carico l’EDR/XDR che hai già, molto spesso una licenza attiva ma mai configurata davvero, e lo portiamo a fare il suo lavoro.

Sono una parte necessaria, non l’intero perimetro. L’articolo 21 della Direttiva NIS2 chiede tra le altre cose gestione degli incidenti, continuità operativa, sicurezza della catena di fornitura e uso di autenticazione a più fattori. EDR e XDR coprono il rilevamento e la prima risposta e producono le evidenze, timeline, indicatori di compromissione e log, che servono al processo di incident response e alle notifiche al CSIRT Italia nei tempi previsti. Il resto lo progettiamo insieme, a partire da un assessment.

Sì. Gli attacchi automatizzati non scelgono in base alla dimensione: il Rapporto Clusit 2026 mostra che le aziende italiane di ogni dimensione sono tra i bersagli principali. Le piattaforme EDR/XDR si dimensionano da una sede a cinquanta, il servizio si adatta a chi non ha un team IT come a chi ne ha uno, e il costo di un incidente non gestito, ransomware, esfiltrazione di dati, fermo operativo, supera di gran lunga l’investimento in protezione.