Per un po' insecurity intendiamo tutta quella gamma di strumenti che sono messi a disposizione per mettere in sicurezza diciamo gli strumenti, gli dispositivi che sono a legge della rete, quindi diciamo l'ultimo dispositivo prima dell'utente finale, eh? Ovviamente si tratta di dei dispositivi, dei degli utenti, quindi dei dei portatili, smartphone, tablet, eccetera.

Il primo strumento che di questa gamma è l'antivirus, storicamente anche il più anziano è di fatto svolge una funzione molto semplice che è quella di diciamo scansionare periodicamente i dischi a bordo del del dispositivo alla ricerca di file malevoli.

È tipicamente l'antivirus, ha un funzionamento a firma, quindi mantiene questo software che ha installato a bordo macchina.

Mantiene un database di firme queste ogni firma corrisponde a un malware, una famiglia di malware noti.

E nel momento in cui è un file matcha si dice in gergo no.

Quindi c' è un match positivo tra la firma nel database e il file.

Vuol dire che il file probabilmente è malevolo, quantomeno sospetto e l'antivirus si occupa di isolarlo e segnalarlo.

Cancellarlo è questo diciamo il suo funzionamento basilare esiste anche.

Esistono anche antivirus, invece basati su analisi comportamentale dei file.

In particolare in questi casi viene analizzato, il file viene il viene isolato, spostato in un ambiente isolato protetto che viene chiamato sandbox.

Quindi si tratta di un ambiente virtuale che emula il il sistema operativo originale.

In questa sandbox il file viene eseguito, specie se si tratta poi di file eseguibili o il file d'installazione se ne analizza il comportamento.

Se il comportamento corrisponde di nuovo a un profilo sospetto, anche in questo caso il file verrà isolato.

Segnalato, cancellato.

L'evoluzione dell'antivirus è un po' in protection platform.

In pratica è un sistema che nasce per sistemi più complessi per aziende dove ci ci sono un parco macchine, un parco dispositivi tipicamente molto ampio e di fatto fornisce gli strumenti per coordinare le attività di antivirus sulle varie, sulle varie, sui vari dispositivi.

Quindi esiste di nuovo esiste ancora il software installato sulla macchina che fa da antivirus è però la sua attività è controllata e gestita centralmente da appunto un un zach ward centrale, un server centrale, una password che permette all'operatore al all'amministratore del sistema di controllare e governare, gestire eventuali incidenti.

Quindi si tratta sostanzialmente di un'evoluzione che permette al all'operatore di gestire in maniera centralizzata tutte le varie istanze dell'antivirus installate sui suoi dispositivi.

Oltre a questo, il l'antivirus poi evoluto anche per offrire altre funzionalità che vadano oltre la l'individuazione del malware.

Questo perché, ovviamente, come in tutti i prodotti i team si tende a integrare in un'unica soluzione più funzionalità, ma é una una funzionalità tipica è quella di ad esempio del firewall a bordo macchina.

Quindi il ruolo abbiamo visto in un'altra lezione.

In questo caso lo stesso agente che si occupa di fare antivirus implementa fornisce un firewall per bloccare connessioni o contenuti indesiderati è altrettanto analogamente, diciamo è un vengono fornite funzionalità di cifratura dei file per proteggerli in caso di smarrimento o furto del dispositivo o di data loss prevention di che impediscono all'utente di condividere dati dati protetti su piattaforme non controllate non autorizzate dal dai, dal sistemista dall'amministratore oltre endpoint protection platform abbiamo le endpoint detection responds.

Questo è uno strumento che diciamo complement ha la pipi', ma é di fatto si è una piattaforma di monitoring, quindi si occupa di monitorare tutta una serie di indicatori di attività sulle macchine della dell'azienda.

Centralizza tutti questi dati in un unico richiamiamo cervellone in cui vengono analizzati, usati per identificare minacce e soprattutto poi per generare risposte che in gergo vengono chiamate Playbook o sono diciamo step, procedure di mitigazione è che possono essere automatico semiautomatiche.

Un Playbook, diciamo molto semplice, può essere semplicemente il messaggio di allerta.

Quindi di fronte a un determinato evento, una serie di eventi notificare immediatamente l'operatore, oppure può essere molto più automatizzato, quindi può richiedere, può intervenire isolando la macchina e quindi isolandola ha proprio livello dirette da tutti, da tutto il resto dell'azienda in modo tale da evitare che la minaccia che è stata individuata possa possa diffondersi ulteriormente.

Si tratta ovviamente di un di un di uno strumento che si basa su analisi comportamentale perché analizza appunto tutta questa serie di indicatori.

E se questi corrispondono a un profilo malevolo, appunto, la piattaforma si si attiva e interviene È oltre a questo, grazie a tutti i dati che vengono raccolti in questa questo strumento, le Br permette di anche a andare ad analizzare quello che è accaduto.

Quindi, a fronte di un incidente si puo' andare indietro, a controllare qual è stata l'origine dell'incidente, da quale da quale macchina è partito, da quale processo.

Magari quindi è già uno strumento piuttosto potente, che però ripeto, complement a lampo in protection platform, perché nascono piu' di fatto per fare due lavori, sebbene sovrapposti comunque diversi.

Infine abbiamo l'evoluzione del e dr.

Kel Extend detection responds in questo caso mentre diciamo le dr.

Si focalizza comunque sempre sul sulla endpoint, quindi sul dispositivo dell'utente xdr va oltre andando a installare un agente su tutti i dispositivi aziendali, inclusi server inclusi macchine virtuali nel cloud, inclusi apparati di rete, eccetera.

In questo modo si ha una visione molto più olistica di quello che è il l'ecosistema aziendale e nel momento in cui una minaccia dovesse entrare nel perimetro aziendale con l'ex per, siamo in grado di individuarla immediatamente proprio fin dal suo ingresso nella rete attraverso i router e gli switch eccetera.

È quindi si tratta di uno strumento ancora più potente e chiaramente anche molto più costoso del Dr.

Ora, mettendo il tutto all'interno di una tabella comparativa, vediamo che insomma l'antivirus di fatto ripeto, è una è uno strumento che svolge una funzione molto, molto puntuale che Helix l'identificazione del malware attraverso firme.

Questo lo fanno tutti.

Alcuni hanno anche analisi comportamentale è pochissimi, quasi nessuno a gestione centralizzata è queste sono caratteristiche che invece appunto sono più tipiche delle poi protection platform per quanto riguarda le dr.

È una piattaforma che spesso e volentieri a un overlap anche importante con le PPP però non nasce per fare identificazione del malware sul disco tramite firme.

Emma è in generale per monitorare i sistemi aziendali e poi abbiamo appunto xdr che la sua evoluzione che va includere tutti i dispositivi apparati di rete, server, macchine virtuali quant ltro.

Ora quale scegliere? Beh, ovviamente la scelta dipende da molti fattori, innanzitutto dalla complessità dello scenario.

Per esempio un il singolo utente del per il consumo, il consumatore privato l'antivirus può essere sufficiente un antivirus ovviamente di qualità.

Il anche per il piccolo ufficio magari l'antivirus può essere sufficiente, mentre invece il pp è subentra nel momento in cui è una necessità che si può avere quando la complessità della dell'azienda degli strumenti che dei dispositivi, il numero dei dispositivi che che sono connessi al al che so che vivono lì al all'interno del perimetro aziendale diventa importante.

Quindi in quel caso, ovviamente serve una gestione più controllata, più centralizzata e le app è sicuramente una soluzione adatta.

E dr.

X per sono strumenti ulteriormente evoluti che tendenzialmente sono anche più costosi e, come ho detto, vanno complement, hanno quello che fa pipi' Emma è, diciamo, il loro utilizzo.

Dipende insomma il adottare questo tipo di soluzioni dipende dal budget a disposizione, ovviamente però anche dai credi dai sistemi, da quanto sono critici i sistemi da proteggere e dagli strumenti che sono già stati implementati.

Per fare un esempio, se ho un ufficio che ha già una buona politica di backup, molto magari con cadenza giornaliera, è un buon un buon antivirus.

Dotarsi di un edr in questo caso puo' essere superfluo perché non ho della continuità operativa da proteggere assolutamente.

E invece magari in uno scenario in cui è una catena di montaggio che non può essere interrotta per nessun motivo, avere uno strumento come un xdr che monitora in maniera continuativa quello che sta succedendo su tutti gli strumenti su tutti i dispositivi può essere molto indicato per individuare subito la minaccia e impedire che questa poi possa appunto entrare nei sistemi di produzione e di interromperli.

Eh.

Ovviamente poi ci sono anche costi legati alle competenze e alle risorse.

Strumenti come per xdr richiedono competenze specifiche.

È tipicamente un operatore dedicato che per gestire questo tipo di piattaforma.

In generale, comunque, non si può fare almeno ormai di un antivirus.

Quindi dotarsi di un antivirus di un buon antivirus è sicuramente un investimento che avrà un ritorno anche sul lungo termine.