Benvenuti a un'altra puntata di Microsoft Knowledge Nuggets su M365FM. Sono Mirko Peters e oggi parliamo di Microsoft Defender XDR. Siete alla vostra scrivania un mattino. Telefono vibra? Avviso di sicurezza. È reale e solo un falso allarme. Poi un altro avviso su un'email sospetta, un altro su un accesso strano da una località insolita. Sono collegati tra loro. Forse sì, forse no. Questo è il problema che la maggior parte delle aziende è front-out. Oggi vedremo cos'è davvero Defender XDR, perché Microsoft l'ha creato e perché è importante per ogni organizzazione che usa Microsoft 365. Ecco il punto sugli attacchi moderni. Gli attaccanti non colpiscono solo un versaglio. Si muovono velocemente. E-mail, dispositivi, identità colpiscono tutto. I vostri strumenti di sicurezza devono ottenere passo. Analizzeremo i cinque elementi costitutivi di Defender XDR e vi mostreremo come si integrano in unico livello di sicurezza unificato.

Ma prima dobbiamo parlare del problema che risolve. Il problema è una sicurezza a compartimenti stagni. Vent'anni fa la sicurezza era semplice. Compravi un antivirus per i PC, un filtro antispam per l'email, un firewall per la rete. Ogni strumento faceva un solo lavoro e non comunicavano mai tra loro. Andava bene allora perché anche gli attacchi erano più semplici. Ma ecco cosa succede oggi. Un attaccante envia un'email di phishing. Qualcuno ci clicca su. Un malware finisce su un dispositivo. Il malware rubana password. Ora l'attaccante si sposta nelle vostre app cloud, nell'archiviazione file, nei dati dei clienti e nella catena di eventi. Ma i vostri strumenti la vedono come cinque problemi separati. Il filtro email vede un messaggio. L'antivirus vede un file. Il sistema di identità vede un login. Nessuno di loro sa di guardare lo stesso attacco. Pensate a un edificio con tre guardie di sicurezza.

Uno all'ingresso, uno nel parcheggio, uno nella sala posta. Non mai le informazioni. Un ladro entra dalla porta principale. E la guardia nella sala posta non sa nemmeno che sta arrivando. Così che funzionano oggi la maggior parte dei strumenti. Sono nello stesso edificio ma non si parlano. Il risultato è che il vostro team riceve cinque avvisi invece di una sola storia. Perdono tempo a inseguire falsi positivi. La vera minaccia si nasconde il rumore. Quando qualcuno unisce i puntini, l'attaccante ha già vinto. Ciò di cui avete davvero bisogno è un sistema che veda attraverso tutti quei domini e dica questi avvisi sono collegati. Ecco il quadro completo. Ecco cosa fare. Questo è esattamente ciò per cui è stato creato Microsoft Defender XDR. Cos'è Defender XDR? L'ombrello. Allora definiamo cosa sia effettivamente questa cosa. Microsoft Defender XDR è quella che viene definita una piattaforma di rilevamento e risposte estesi.

È un nome lungo, lo capisco, ma il concetto di base è semplicissimo. Questo sistema raccoglie segnali da tutto Microsoft 365, dai tuoi endpoint, email, account utente e app cloud, unendoli in un'unica visuale. XDR sta per Extended Detection and Response. La parola più importante è Extended perché non si tratta più solo di computer. Copre email, identità, applicazioni cloud e molto altro. La differenza è come guardare una sola telecamera di sicurezza rispetto a controllare ogni telecamera di un edificio da un unico schermo. Ottieni il quadro completo invece di un piccolo fermetto. Ecco ciò che sorprende la maggior parte delle versioni. Defender XDR non è un prodotto nuovo di zecca che devi andare a comprare. È più simile a un livello unificante che si pone sopra gli strumenti di sicurezza che potresti già possedere. Pensalo come al centro di comando che ho menzionato prima. I singoli prodotti Defender, Defender for Endpoint, Defender for Office 365, Defender for Identity, Defender for Cloud Apps e gli strumenti di gestione delle vulnerabilità sono come telecamere di sicurezza che sorvegliano stanze diverse.

Defender XDR è l'operatore seduto davanti allo schermo principale che unisce i puntini tra tutti loro, che è... Quindi cosa fa esattamente? Raccoglie automaticamente gli avvisi da tutti quei singoli Defender. Poi raggruppa gli avvisi correlati in qualcosa chiamato incidente. Quindi invece di 10 allarmi separati che potrebbero essere correlati ottieni un unico incidente che racconta l'intera storia. L'e-make ha dato inizio all'attacco, il dispositivo infettato, l'account compromesso, tutto in unico posto, proprio davanti a te. E questa parte coglie le persone sorprese. Non acquisti Defender XDR come una voce separata. È incluso il Microsoft 365 E5 e fa parte anche del componente aggiuntivo di sicurezza E5. Se hai Microsoft 365 Business Premium o E3 con determinati componenti aggiuntivi, potresti già avere accesso ad alcune delle sue funzionalità senza nemmeno saperlo. Parleremo meglio delle licenze più tardi, ma il concetto è semplice.

Se stai già pagando per Microsoft 365, potresti essere molto più vicino a questa protezione di quanto pensi. I 5 componenti Analizziamo i 5 elementi che compongono il sistema, perché Defender XDR sembra astratto finché non capisci cosa lo alimenta. Per primo, Defender for Endpoint. Questo protegge i dispositivi, Windows, Mac, Linux e persino i telefoni cellulari. È la versione moderna dell'antivirus, ma va ben oltre. Invece di limitarsi a cercare file dannosi noti, osserva i comportamenti sospetti. Se un programma inizia a comportarsi in modo strano, critografando file, connettendosi a server sconosciuti o modificando le impostazioni di sistema, Defender for Endpoint lo segnale. Può eseguire indagini automaticamente e se necessario isolare completamente quel dispositivo dalla rete. Con un clic la macchina viene tagliata fuori da tutti. Il prossimo è Defender for Office 365. Questo protegge le tue email e i tuoi strumenti di collaborazione.

Blocca email di phishing, allegati dannosi e link non sicuri prima che raggiungano la posta in arrivo, ma analizza anche messaggi Teams, file SharePoint e Storage OneDrive alla ricerca di minacce. Quindi se qualcuno condivide un file pericoloso in una chat di gruppo, questo lo intercetta. Poi abbiamo Defender for Identity. Questo tiene sotto controllo la tua infrastruttura di identità. Se utilizzi un Active Directory locale, il sistema che gestisce account utente e password in ufficio, Defender for Identity lo monitora per rilevare attività sospette. Rileva il furto di credenziali quando un attaccante ruba una password e prova a usarla al tro. Individua i movimenti laterali quando qualcuno passa da un account all'altro e segnala l'escalation dei privilegi quando un utente normale tenta improvvisamente di ottenere diritti di amministratore. Queste sono esattamente le tecniche usate dagli attaccanti una volta entrati nella tua rete.

Il quarto elemento è Defender for Cloud Apps. Ti offre visibilità su tutte le applicazioni cloud usate dal tuo personale, sia quelle approvate che quelle non approvate. scopre lo shadow IT, ovvero i servizi a cui il tuo team si è iscritto senza informare l'azienda. Rileva comportamenti insoliti come un utente che scarica migliaia di file alle due del mattino e può bloccare app rischiose o controllare quali dati vengono condivisi tramite esse. L'ultimo è la gestione delle vulnerabilità. Questa è integrata in Defender for Endpoint ma merita una menzione a parte. Analizza continuamente i tuoi dispositivi alla ricerca di patch di sicurezza mancanti e configurazioni deboli e altre esposizioni. Poi ti fornisce un elenco prioritario di cosa correggere per primo. Quindi invece di indovinare quali aggiornamenti contano di più ti dice esattamente quali vulnerabilità sono più probabili a essere sfruttate.

Ora ecco il concetto chiave. Ognuno di questi prodotti esisteva indipendentemente prima dell'arrivo di Defender XDR. Microsoft li ha creati separatamente nel corso degli anni poi qualcuno ha posto una domanda intelligente. E se lavorassero tutti insieme? Esattamente ciò che rende possibile Defender XDR. È il collante che trasforma 5 buoni prodotti in un unico potente sistema. Come lavorano insieme? Lascia che ti guidi attraverso uno scenario reale così puoi vedere come si svolge. Uno dei tuoi dipendenti ricevono i mail di fischi. Sembra provenire dal suo capo che gli chiede di revisionare un documento. Defender for Office 3SS5 potrebbe non segnalarla perché il link sembra legittimo. Quindi il dipendente clicca, digita la password su quella che sembra una vera pagina di accesso Microsoft e l'attaccante ora possiede le sue credenziali. Nel giro di pochi minuti Defender for Identity individua lo stesso utente che effettua l'accesso ad un paese mai visitato prima.

Mentre Defender for Endpoint rileva un processo sospetto sul portatile che tenta di connettersi a un server esterno. Ora pensa a cosa succede senza XDR. Ricevi tre avvisi separati. Uno dalla sicurezza e-mail, uno dal monitoraggio dell'identità e uno dalla protezione degli endpoint. Ognuno è una console diversa con un accesso diverso. Tutti in sicurezza cerca manamente di capire se sono collegati. In ogni caso, l'attaccante continua a penetrare nella tua rete mentre loro cercano. Con Defender XDR l'intero processo è automatico. La piattaforma unisce i punti. Riconosce che l'email, lo strano accesso e il processo insolito fanno tutti parte di un'unica catena di attacco. Crea un singolo incidente con una cronologia. Lo apri e vedi l'intera storia. L'accesso e l'attività del dispositivo, tutto disposto in ordine. E non ti dice solo cosa è successo. Defender XDR può anche agire. A seconda delle tue impostazioni, puoi isolare automaticamente il dispositivo compromesso dalla rete, reimpostare la password dell'utente o bloccare gli accessi da quella posizione sospetta.

Tutto in pochi minuti senza che nessuno debba aprire un ticket o fare una chiamata. Pensala come una squadra di specialisti. Un vigile del fuoco, un paramedico, un agente di polizia, tutti che fanno capo o un unico coordinatore. Il coordinatore ascolta ciascuno di loro, individua lo schema e mette in atto la risposta giusta prima ancora che chiunque altro si renda conto del problema. Non si tratta di comodità. Si tratta di velocità. Gli attaccanti possono nascondersi all'interno della rete per giorni prima che qualcuno se ne accorna. Con XDR quella finestra si riduce a ore o addirittura a minuti. E nella sicurezza il tempo è l'unica cosa che non recuperi mai. Cosa fa effettivamente per te? Quindi cosa significa tutto questo, Bozzella? Rendiamolo come. Innanzitutto, meno avvisi da inseguire. Quando Defender XDR aggruppa gli avvisi correlati in incidenti, il tuo team non vede 100 allarmi separati ogni giorno.

Ricevono forse 10 storie chiare, ognuna con contesto, prove a un passaggio successivo consigliato. Lavorano su minacce reali invece di inseguire fantasmi. Poi ci sono indagini più rapide. Dalla vista dell'incidente vedi l'intero attacco come una cronologia. Clicca su qualsiasi elemento, il dispositivo, l'account utente, l'email e ottieni maggiori dettagli senza lasciare la scheda. Tutto ciò di cui hai bisogno è proprio lì. Nessun salto tra le console, nessun copia e incolla. Forse la vittoria più grande è la pulizia automatizzata. Se la minaccia è evidente, Defender XDR gestisce la risoluzione in autonomia. Elimina l'email dannosa dalla posta in arrivo di tutti, rimuove il file infetto dal dispositivo e annulla persino le modifiche al registro apportato dall'attaccante. Pensalo come un sistema di sicurezza che si pulisce da solo. Non devi mandare qualcuno a pulire il sistema si occupa di tutto.

Poi c'è l'approccio proattivo dove brilla la gestione delle vulnerabilità. Invece di limitarsi a reagire, Defender XDR ti aiuta a prevenire le attacche. Scansiona costantemente i tuoi dispositivi alla ricerca di patch mancanti, password deboli e configurazioni errate. Ottieni un elenco prioritario di cosa correggere per primo, basato sulle vulnerabilità più facilmente sfruttabili. Niente più tentativi, solo un piano d'azione chiaro. E c'è un aspetto che molti trascurano. Defender XDR funziona su più piattaforme, non solo su Windows. Copre anche Mac, Linux, iOS e Android. Se la tua azienda usa dispositivi misti, sei comunque protetto. Ecco un caso reale. Abbiamo collaborato con un partner che gestisce la sicurezza per un'azienda di media. Prima di XDR, il tempo medio di risposta agli incidenti era di circa 4 ore. Dopo averlo attivato e configurato le regole di risposta automatica, è sceso a circa 20 minuti.

La differenza non è stata un team più numeroso, sistema che ha collegato i punti per loro. Quindi questo è l'impatto pratico. Meno avvisi, indagini più rapide, pulizia automatizzata e prevenzione proattiva. Non si tratta solo di avere strumenti migliori, ma strumenti che lavorano insieme affinché il tuo team possa concentrarsi su ciò che conta davvero. Connessione e vero potere sta nell'integrazione. Abbiamo analizzato i 5 componenti, ma il punto è che il vero valore non risiede in nessuno di essi singolarmente, bensì nel modo in cui si integrano. Quando Defender for Endpoint rileva il download di un file, Defender for Identity rileva un cambio password da una posizione insolita e Defender for Cloud Apps nota l'upload di dati su un servizio di storage personale. Da soli sono solo punti dati e un segnale su una dashboard. Ma insieme raccontano una storia. Quella storia è chiara. L'account di qualcuno è compromesso.

I dati stanno lasciando la tua organizzazione. La maggior parte delle persone pensa che la sicurezza significa acquistare il miglior antivirus o il miglior filtro email. È ciò che l'industria ci insegna da decenni. Ma la realtà è che la sicurezza non riguarda un singolo prodotto, ma è collegare i punti su tutto ciò che accade nel tuo ambiente. Defender XDR collega quei punti automaticamente così il tuo team non deve unire tutto manualmente. C'è un effetto moltiplicatore qui facile da non notare. Quando un componente di Defender rileva qualcosa di nuovo tale intelligenza viene trasmessa a tutti gli altri. Lascia che ti faccio un esempio concreto. Supponiamo che Defender for Endpoint rilevi un nuovo tipo di malware su uno dei tuoi dispositivi. Quell'informazione non resta isolata. Defender for Office 365 inizia subito a scansionare le email in arrivo alla ricerca dello stesso malware e Defender for Identity monitora eventuali segnali di furto delle credenziali.

Il rilevamento in un punto rafforza la protezione ovunque. È un livello di coordinamento che semplicemente non puoi ottenere acquistando strumenti separati da fornitori diversi. Avresti bisogno di un team dedicato solo per far funzionare le integrazioni. Ecco perché Microsoft può competere con aziende come CrowdStrike e Palo Alto nel settore XDR non perché un singolo componente di Defender sia drasticamente migliore dell'equivalente della concorrenza ma perché l'integrazione in Microsoft 365 è nativa integrata direttamente nella piattaforma. Anche altri fornitori possono integrare i propri prodotti ma non sarà mai fluido come quando tutto proviene dalla stessa azienda e condivido lo stesso modello datico. Chi ne trae maggior vantaggio? Se la tua azienda utilizza Microsoft 365 e disponi già di parte di questa infrastruttura. Passare E5 o aggiungere il componente aggiuntivo di sicurezza E5 sblocca l'intera esperienza Defender XDR.

Per le aziende più piccole Microsoft 365 Business Premium offre un solido sottoinsieme di queste funzionalità. Il punto è che potresti non dover acquistare un nuovo stack di sicurezza completa. Potrebbe bastare attivare ciò che già possiedi. Non ti chiave? Cosa dovresti fare? Concludiamo con tre passi concreti che puoi intraprendere a partire da oggi. Primo passo Controlla le tue licenze La cosa più semplice che puoi fare Fai nell'interfaccia di amministrazione di Microsoft 365 controlla i tuoi abbonamenti e vedi cosa stai pagando? Hai E5 E3 con il componente aggiuntivo di sicurezza Business Premium? Questo ti dice a quali funzionalità di Defender hai già accesso e potresti rimanere sorpreso da ciò che hai incluso. Secondo passo se hai la licenza giusta abilita Defender XDR Non è sempre attivo per impostazione predefinita Vai su security.microsoft.com Trova la sezione delle impostazioni e attiva l'esperienza unificata per incidenti La documentazione Microsoft indica che richiede circa 10 minuti Non è necessario configurare tutto subito Attivare il motore di correlazione inizia a darti una visibilità migliore fin da subito Terzo passo Inizia con gli obiettivi più semplici Distribuisce Defender for Endpoint su tutti i tuoi dispositivi se non l'hai già fatto Se utilizzi Intune hai un'operazione semplice Abilita le polisi di sicurezza predefinite di Defender for Office 365 Esistono una policy standard e una rigorosa Entrambe bloccano la maggior parte delle minacce mail comuni fin da subito Poi dai un'occhiata alla dashboard di gestione delle vulnerabilità Ti mostrerà le tue esposizioni più critiche e ti dirà esattamente cosa risolvere per prima Un avvertimento Non cercate di fare tutto subito Ogni componente aggiunge protezione ma aumenta anche la complessità Iniziate con un elemento prendete confidenza e poi aggiungete il successivo Cercare di attivare tutto il primo giorno e la ricetta per la frustrazione Se potete fare una sola cosa attivate i criteri predefiniti di Defender for Office 365 L'email rimane il principale metodo usato dagli aggressori per entrare in organizzazione Bloccare queste minacce al gateway è la mossa più efficace che potete fare Una volta operativi usate la dashboard di Microsoft Secure Score per monitorare i progressi Fornisce un elenco di azioni consigliate e mostra come non ha migliori il vostro livello di sicurezza È come una lista di cose da fare che si stabilisce in ordine di progettazione Se non sapete cosa avete o da dove iniziare rivolgetevi al vostro provider IT o partner Microsoft Possono controllare le vostre licenze aiutarvi a impostare le protezioni e ottimizzare i costi e sicurezza Dunque questo è Microsoft Defender XDR Non è un singolo prodotto che si acquista già pronto È un livello di sicurezza unificato che collega le vostre protezioni in un sistema intelligente Il vero valore deriva da come questi componenti lavorano insieme Comunicano tra loro automatizzano le risposte e riducono il tempo a disposizione degli aggressori Iniziate con un controllo delle licenze poi abilitate le funzioni di VA Avete già a disposizione più protezioni di quanto pensiate Grazie per l'ascolto Se vi è stato utile condividetelo con chi sta cercando di orientarsi nella sicurezza Microsoft Alla prossima