Malwarebytes Endpoint Detection & Response

Cosa include Malwarebytes Endpoint Detection & Response?

Console cloud Nebula – Gestione centralizzata di policy, gruppi e reportistica per ogni endpoint gestito.
Monitoraggio delle attività sospette – Rilevamento comportamentale allineato al framework MITRE ATT&CK.
Ripristino in caso di ransomware – Ripristina i file Windows crittografati fino a sette giorni prima.
Tre modalità di isolamento – Isolamento di rete, di processo e del desktop, manuale o automatico.
Active Response Shell – Shell di comando remota per Windows, macOS e Linux.
Importante – La gestione delle patch, la crittografia delle unità e il filtraggio DNS sono moduli separati.

Quali sono i principali vantaggi di Malwarebytes Endpoint Detection & Response?

Malwarebytes ha trasferito i propri prodotti aziendali al marchio ThreatDown nel novembre 2023, pertanto questo prodotto appare come ThreatDown Endpoint Detection & Response nella documentazione attuale del fornitore. Installa un unico agente per dispositivo ed è gestito centralmente, nella console Nebula per una singola organizzazione o nella console multi-tenant OneView utilizzata dai fornitori di servizi.

Un unico agente – Prevenzione, rilevamento e risposta sono integrati in un unico programma di installazione.
Rollback anziché ripristino – Annulla i danni causati dal ransomware senza aprire un set di backup.
Contenimento più rapido – Gli avvisi critici possono isolare automaticamente un dispositivo.
Visibilità sulla causa principale – I grafici dei processi mostrano come è effettivamente iniziata l’infezione.
Rimedio remoto – Pulizia e ispezione dei dispositivi dell’ufficio domestico tramite Internet.
Prove per gli audit – I registri di rilevamento rimangono disponibili per 365 giorni.

Il miglior antivirus? Perché Windows Defender da solo non basta
Spiega dove si ferma la protezione integrata in Windows e perché le aziende aggiungono un secondo livello gestito centralmente.

Per aziende di quali dimensioni è adatto Malwarebytes Endpoint Detection & Response?

In questo caso, le dimensioni dell’azienda contano meno del settore di attività e dell’organico. Gli obblighi di segnalazione in Svizzera dipendono dal settore, non dal numero di dipendenti, mentre la questione pratica per l’EDR è se all’interno dell’organizzazione ci sia qualcuno che legga e valuti gli avvisi generati dal sistema.

Malwarebytes Endpoint Detection & Response soddisfa i requisiti della legislazione svizzera in materia di sicurezza informatica?

L’obbligo di segnalazione previsto dalla legge riveduta sulla sicurezza dell’informazione si applica ai gestori di infrastrutture critiche, pertanto la maggior parte delle normali aziende svizzere è interessata indirettamente, in qualità di fornitori, piuttosto che direttamente. I soggetti interessati sono tenuti a segnalare un attacco informatico all’Ufficio federale per la sicurezza informatica (BACS) entro 24 ore dalla sua scoperta, il che significa che i fatti devono essere raccolti entro lo stesso giorno lavorativo. Questo prodotto fornisce parte di tale materiale: la vista delle attività sospette registra quando il comportamento è stato rilevato per la prima volta, quali processi e file sono stati coinvolti e quali tecniche MITRE ATT&CK sono state attivate; inoltre, i registri di rilevamento rimangono accessibili per 365 giorni. Non copre il resto dell’obbligo. Non è presente alcun modulo di segnalazione, né una gestione dei casi, né un flusso di lavoro per la notifica al BACS, né alcuna visibilità al di fuori dell’endpoint; pertanto, gli incidenti che si verificano su firewall, apparecchiature di rete, servizi cloud o sistemi OT non appariranno affatto in questa console. La presente descrizione non costituisce un parere legale; è necessario verificare con un consulente qualificato quali obblighi si applicano alla propria organizzazione.

Malwarebytes Endpoint Detection & Response soddisfa i requisiti della legislazione europea in materia di sicurezza informatica?

Nessun prodotto rende un’organizzazione conforme alla direttiva NIS 2, poiché la direttiva riguarda la responsabilità gestionale, l’analisi dei rischi e i processi documentati, non le funzionalità del software. La NIS 2 richiede una serie di misure di gestione del rischio che includono la gestione degli incidenti, la continuità operativa e la gestione dei backup, la sicurezza della catena di approvvigionamento, il controllo degli accessi e la gestione delle identità, la gestione delle vulnerabilità, la crittografia e la formazione del personale in materia di consapevolezza. Questo prodotto contribuisce in modo concreto a due di queste categorie: la gestione degli incidenti, attraverso il rilevamento comportamentale, l’isolamento degli endpoint e la correzione remota, e la gestione delle vulnerabilità in senso parziale, poiché la valutazione delle vulnerabilità e l’applicazione delle patch sono moduli separati piuttosto che parte della funzione EDR. Le restanti categorie non sono trattate. Il backup e il ripristino, il controllo delle identità e degli accessi, l’autenticazione a più fattori, la crittografia al di là del modulo di crittografia delle unità Windows con licenza separata, la valutazione dei fornitori e la formazione degli utenti devono essere trattati altrove, e la sola telemetria degli endpoint non soddisferà un revisore che chieda come viene testata la continuità operativa.

Malwarebytes Endpoint Detection & Response è utile per i questionari di sicurezza dei grandi clienti?

Sì, per il capitolo dedicato agli endpoint, e solo per quel capitolo. Risponde alle domande relative alla copertura anti-malware gestita su tutte le workstation e i server, al rilevamento comportamentale che va oltre le firme, alla capacità di isolare un dispositivo compromesso, all’accesso forense remoto tramite la shell di risposta, alla ricerca proattiva delle minacce su trenta giorni di eventi degli endpoint e a una cronologia dei rilevamenti conservata per 365 giorni che può essere esportata come prova. Non risponde alle domande che solitamente si trovano accanto a quelle. L’autenticazione a più fattori, il monitoraggio delle identità, il backup e il ripristino testato, l’installazione delle patch con uno SLA, la crittografia del disco su qualsiasi dispositivo diverso dalle workstation Windows e solo con il modulo separato, il filtraggio delle e-mail e del phishing, gestione dei dispositivi mobili, test di penetrazione e monitoraggio 24 ore su 24, 7 giorni su 7 da parte di analisti designati sono tutti aspetti che esulano dal suo ambito, così come la domanda su dove vengano elaborati i dati della console, che dovrebbe essere sottoposta per iscritto al fornitore prima della firma del contratto. Laddove le lacune sono rilevanti dal punto di vista commerciale, passare a un livello superiore all’interno della stessa famiglia è solitamente la soluzione più economica rispetto all’aggiunta di un secondo fornitore: la gestione delle patch, la crittografia delle unità, il filtraggio DNS, la sicurezza mobile e il servizio di rilevamento gestito sono tutti amministrati dalla stessa console e dallo stesso agente, mentre un secondo prodotto comporta un secondo agente, una seconda console e una seconda serie di esclusioni da gestire.

Qual è la differenza tra Endpoint Protection ed Endpoint Detection & Response?

La differenza fondamentale sta in ciò che accade dopo che qualcosa è riuscito a passare: Endpoint Protection blocca e mette in quarantena, mentre Endpoint Detection & Response registra inoltre ciò che il processo ha fatto e consente di annullarlo. Entrambe utilizzano lo stesso agente e la stessa console, quindi l’aggiornamento consiste in una modifica della licenza e delle politiche piuttosto che in una nuova distribuzione. Endpoint Protection è la soluzione ideale quando un amministratore desidera semplicemente bloccare e rimuovere il malware. Endpoint Detection & Response è la soluzione ideale quando è necessario capire come è iniziata un’infezione, isolare un dispositivo in pochi minuti o recuperare file già crittografati.

Test: Programmi antivirus: I migliori programmi antivirus per Windows 2025
Confronta gli attuali prodotti antivirus per Windows e mostra dove finisce la pura prevenzione e dove iniziano il rilevamento e la risposta.

Quali limitazioni è bene conoscere prima dell’acquisto?

Il rollback del ransomware è una funzionalità esclusiva di Windows, il cui intervallo è configurabile da uno a sette giorni (con tre giorni come impostazione predefinita), pertanto un dispositivo Mac o Linux beneficia del rilevamento e dell’isolamento, ma non del recupero dei file. Anche l’isolamento presenta differenze tra le piattaforme: l’isolamento di rete e dei processi funziona in linea di massima, mentre l’isolamento del desktop, la modalità che blocca l’accesso dell’utente allo schermo, è presente solo su Windows, e l’isolamento dei processi non è disponibile su macOS 10.13 e 10.14. La ricerca con Flight Recorder, la funzione che consente di ripercorrere gli eventi relativi a processi, file, registro e rete degli ultimi trenta giorni, è disattivata per impostazione predefinita e deve essere abilitata nella policy; è opportuno verificarne l’attivazione durante la fase pilota piuttosto che nel corso di un incidente. Le installazioni Server Core e le VDI non persistenti non sono supportate; tutti i dispositivi Linux vengono considerati server indipendentemente dal loro ruolo, e il monitoraggio comportamentale sui server è un’opzione separata della politica che aggiunge carico alla macchina. La console stessa è disponibile solo su cloud: Nebula per una singola organizzazione e OneView per i fornitori di servizi che gestiscono più clienti; non esiste una variante on-premise, quindi la sede di elaborazione dei dati è determinata dal fornitore e non dall’utente.

La perdita di dati è costosa: come i backup aiutano a evitare interruzioni di servizio.
Spiega perché il rollback e il backup risolvono problemi diversi e in quali casi un piano di ripristino richiede comunque un vero e proprio backup.

Domande frequenti su Malwarebytes Endpoint Detection & Response

Il rollback in caso di ransomware sostituisce un backup?

No. Il rollback opera a partire da una cache conservata sull’endpoint stesso, limitata da una quota configurabile di spazio libero su disco e da una dimensione massima dei file, pertanto i file che superano tale dimensione non vengono mai copiati. Se il dispositivo viene cancellato, rubato o il suo disco si guasta, la cache va persa, motivo per cui il rollback accorcia i tempi di ripristino dopo un evento di crittografia ma non elimina la necessità di un backup separato.

I server sono coperti allo stesso modo delle workstation?

Sì, lo stesso agente funziona su Windows Server e sulle distribuzioni Linux supportate, e ogni dispositivo Linux viene considerato come un server nella console indipendentemente dalla sua funzione. Il monitoraggio comportamentale sui server è abilitato tramite un apposito interruttore di policy, e il rollback su un server richiede inoltre che tale interruttore sia attivo. Le installazioni Server Core non sono supportate.

È possibile inoltrare i rilevamenti a un SIEM?

Sì, gli eventi relativi alle minacce possono essere inviati in formato CEF a un server syslog o a un SIEM, ed è disponibile anche un’integrazione dedicata per Google Chronicle. Il percorso syslog richiede che un endpoint Windows venga designato come dispositivo di comunicazione e, se non riesce a raggiungere la console, memorizza solo i dati delle ultime 24 ore; pertanto, un'interruzione prolungata comporterà una lacuna nei dati esportati.