Bitdefender GravityZone Endpoint Detection and Response Add-On

Cosa comprende il componente aggiuntivo Bitdefender GravityZone Endpoint Detection and Response?

Sensore EDR – Registra l’attività dei processi, dei file e della rete su ciascun endpoint.
Incident Advisor – Riepilogo in linguaggio semplice di ciò che è accaduto e del perché.
Analisi delle cause alla radice – Traccia l’incidente fino al suo punto di ingresso.
Azioni di risposta – Isolamento dell’endpoint, terminazione dei processi e sessioni shell remote.
Ricerca e lista di blocco – Ricerca degli indicatori e loro blocco su tutti gli endpoint.
Importante – Non dispone di un proprio antivirus e richiede una licenza di base.

Quali sono i principali vantaggi del componente aggiuntivo Bitdefender GravityZone Endpoint Detection and Response?

L’add-on estende una licenza GravityZone esistente con funzionalità di rilevamento, indagine e risposta, gestite dallo stesso Control Center cloud dei moduli di prevenzione. In precedenza, Bitdefender commercializzava questa componente come add-on GravityZone Ultra (EDR).

Nessuna seconda console – I rilevamenti compaiono accanto agli avvisi antivirus che già consultate.
Correlazione tra endpoint – Collega gli eventi su più macchine in un unico incidente.
Triage più rapido – I riepiloghi scritti degli incidenti sostituiscono la ricostruzione manuale dei log.
Risposta guidata – Suggerisce misure di contenimento per il personale senza esperienza SOC.
Cronologia degli incidenti – GravityZone conserva i registri degli incidenti per novanta giorni.
Mappatura MITRE – Tattiche e tecniche etichettate per i successivi rapporti di audit.

Il miglior antivirus? Perché Windows Defender da solo non basta
Spiega dove si ferma la prevenzione basata su firme e comportamenti: è proprio questa la lacuna che un livello EDR è chiamato a colmare.

Per aziende di quali dimensioni è adatto il componente aggiuntivo Bitdefender GravityZone Endpoint Detection and Response?

In questo caso, la dimensione dell’azienda conta meno di altri due fattori: se si dispone già di una licenza base di GravityZone e se all’interno dell’organizzazione c’è qualcuno che si occuperà effettivamente di un incidente quando si verificherà. L’add-on genera risultati che richiedono una decisione umana, quindi è vantaggioso laddove un amministratore interno o un fornitore di servizi sia responsabile della sicurezza a titolo ufficiale.

L'add-on Bitdefender GravityZone Endpoint Detection and Response soddisfa i requisiti della legislazione svizzera in materia di sicurezza informatica?

In Svizzera l’obbligo di segnalazione si applica ai gestori di infrastrutture critiche, non a tutte le aziende; pertanto, la prima domanda da porsi è se la propria organizzazione rientri effettivamente nel campo di applicazione. Ai sensi della legge sulla sicurezza dell’informazione (LSI) modificata, tali gestori devono segnalare un attacco informatico all’Ufficio federale per la sicurezza informatica (BACS) entro 24 ore dalla sua scoperta. Una segnalazione entro 24 ore richiede fatti concreti piuttosto che impressioni, ed è proprio questo il contributo concreto di questo add-on: il registro degli incidenti mostra quale endpoint è stato colpito, quale processo ha dato inizio alla catena di eventi e a che ora, in modo che sia possibile rispondere alle domande senza dover prima ricostruire i log grezzi. Ciò che non fa è stabilire se un evento sia soggetto a segnalazione, redigere la segnalazione stessa o monitorare i sistemi su cui non è installato alcun agente, come i dispositivi di rete, la maggior parte delle apparecchiature OT e i dispositivi mobili. Inoltre, non è in grado di indicare se i dati personali siano usciti dall’azienda, il che costituisce una valutazione separata con obblighi propri. Il presente testo non costituisce una consulenza legale; per chiarire se la vostra azienda sia soggetta all’obbligo di segnalazione, è necessario rivolgersi a un consulente qualificato.

L’add-on Bitdefender GravityZone Endpoint Detection and Response soddisfa i requisiti della legislazione europea in materia di sicurezza informatica?

Nessun prodotto rende un’azienda conforme alla direttiva NIS 2, poiché la direttiva riguarda misure organizzative, governance e segnalazione piuttosto che funzionalità software. La direttiva NIS 2 richiede analisi dei rischi, gestione degli incidenti, continuità operativa, sicurezza della catena di approvvigionamento e procedure per verificare se le misure scelte funzionino effettivamente. Questo add-on supporta la categoria della gestione degli incidenti in modo dimostrabile: rileva l’attività dopo che la prevenzione ha fallito, conserva le registrazioni degli incidenti per novanta giorni e offre azioni di contenimento che possono essere intraprese prima che uno specialista esterno sia sul posto. Non supporta la continuità operativa, poiché non esegue né il backup né il ripristino dei dati, e non contribuisce in alcun modo alla sicurezza della catena di fornitura né alla governance. Gli obblighi di rendicontazione, le scadenze e la supervisione sono definiti da ciascuno Stato membro al momento del recepimento della direttiva; pertanto, ciò che il prodotto fornisce sono prove a sostegno di un processo che la vostra organizzazione deve ancora definire autonomamente.

L’add-on Bitdefender GravityZone Endpoint Detection and Response è d’aiuto per i questionari sulla sicurezza richiesti dai grandi clienti?

In parte, e la distinzione è abbastanza prevedibile da poter essere pianificata di conseguenza. Domande a cui risponde tramite un’esportazione dalla console: se l’attività degli endpoint viene monitorata oltre l’antivirus basato su firme, se i rilevamenti vengono analizzati a livello centrale, per quanto tempo vengono conservati i dati relativi agli incidenti, se un endpoint compromesso può essere isolato dalla rete e quali persone specificatamente autorizzate possono attivare tale azione. Domande a cui non risponde: livello di patch delle applicazioni di terze parti, stato della crittografia del disco, copertura dei dispositivi mobili, protezione delle caselle di posta e conservazione dei log per tutto ciò che l’agente dell’endpoint non rileva. Se un questionario non soddisfa questi punti, la soluzione più economica è solitamente un altro componente aggiuntivo della stessa famiglia, come Patch Management o Full Disk Encryption, oppure il passaggio a Business Security Enterprise. Inserire un secondo fornitore significa avere una seconda console, una seconda serie di esclusioni e un secondo contatto per l’assistenza, il che comporta un dispendio di tempo amministrativo superiore al risparmio solitamente ottenuto dalla differenza di prezzo delle licenze.

Qual è la differenza tra GravityZone Business Security Premium e GravityZone Business Security Enterprise?

La differenza fondamentale è che Business Security Enterprise include già la componente EDR, mentre Business Security e Business Security Premium no. L’acquisto di questo componente aggiuntivo ha quindi senso solo se abbinato a una licenza di base priva di EDR; aggiungerlo a Business Security Enterprise comporterebbe la duplicazione di una funzionalità già in vostro possesso. In precedenza, Bitdefender commercializzava lo stesso componente come componente aggiuntivo GravityZone Ultra (EDR), e lo stesso Business Security Enterprise era precedentemente denominato GravityZone Ultra; questo spiega perché entrambi i vecchi nomi compaiano ancora in preventivi e tabelle comparative meno recenti. La prevenzione funziona allo stesso modo in tutte e tre le opzioni, quindi la scelta riguarda la profondità di rilevamento e la licenza di cui si dispone già, non l’efficacia con cui viene bloccato il malware.

Quali limitazioni è necessario conoscere prima dell’acquisto?

In GravityZone Cloud questo add-on non può funzionare da solo; richiede una licenza di base che fornisca il livello di prevenzione, e Bitdefender commercializza un prodotto EDR autonomo separato per le organizzazioni che desiderano mantenere l’antivirus di un altro fornitore. Gli incidenti vengono conservati per novanta giorni, ma l’accesso agli eventi grezzi sottostanti dipende da un add-on separato, l’EDR Data Retention, venduto in varianti da 90, 180 e 365 giorni, che rappresenta la causa più comune di un acquisto successivo inaspettato. Su Linux il sensore EDR funziona solo su versioni del kernel e distribuzioni supportate, utilizzando auditd sui sistemi più datati e kprobes su quelli moderni; pertanto, è opportuno verificare la compatibilità di un parco macchine Linux con l’attuale elenco di supporto prima dell’implementazione, piuttosto che dopo. Inoltre, il modulo aggiuntivo non copre nulla al di fuori dell’agente endpoint: non applica patch a software di terze parti, non gestisce la crittografia del disco, non protegge le caselle di posta, non include dispositivi mobili e non esegue il backup né il ripristino di alcun dato. Infine, la console è un servizio cloud in esecuzione su diverse istanze separate di GravityZone; pertanto, se la posizione dei dati è importante per i vostri clienti o revisori, verificate con il vostro rivenditore su quale istanza è stato creato il vostro tenant.

La perdita di dati è costosa: in che modo i backup aiutano a evitare interruzioni di servizio.
Tratta l’aspetto del ripristino che nessun prodotto EDR gestisce e spiega perché il rilevamento e il backup sono due voci distinte nel budget dedicato alla sicurezza.

Domande frequenti su Bitdefender GravityZone Endpoint Detection and Response Add-On

Possiamo mantenere il nostro attuale antivirus e aggiungere solo questo componente?

Non con questo add-on in GravityZone Cloud, poiché la licenza prevede l’utilizzo in combinazione con un prodotto Bitdefender di base che fornisce la prevenzione. Bitdefender offre un prodotto EDR autonomo separato proprio per questa situazione, in cui il sensore viene installato accanto a una piattaforma endpoint di terze parti esistente. Si tratta di un acquisto diverso, quindi controlla il tipo di prodotto sul preventivo prima di ordinare.

È possibile affidare il monitoraggio a Bitdefender in un secondo momento?

Sì, e il componente aggiuntivo EDR è il prerequisito per farlo. Bitdefender MDR richiede la presenza di EDR, quindi le aziende che iniziano con il componente aggiuntivo e in seguito si rendono conto che nessuno ha tempo di esaminare gli incidenti possono passare al servizio gestito senza sostituire l’agente o la console.