Bitdefender XDR Sensor for MDR (Add-On) Identity

Cosa include il sensore Bitdefender XDR per MDR (componente aggiuntivo) Identity?

Sensore Active Directory – Raccoglie gli eventi dei controller di dominio per il rilevamento degli attacchi.
Sensore Entra ID – Monitora gli accessi al cloud, gli utenti e le autorizzazioni delle app.
Sensore Microsoft Intune – Tiene traccia della proprietà dei dispositivi, delle modifiche alle politiche e alle app.
Azioni di risposta relative all’identità – Disattiva un account o forza la reimpostazione della password.
Copertura SOC MDR – Gli analisti di Bitdefender monitorano i dati telemetrici relativi all’identità 24 ore su 24.
Importante – Non è inclusa la protezione degli endpoint; è richiesta una licenza base di GravityZone.

Quali sono i principali vantaggi di Bitdefender XDR Sensor for MDR (Add-On) Identity?

Si tratta di un’estensione di licenza che integra i dati di telemetria di Active Directory, Microsoft Entra ID e Microsoft Intune in GravityZone XDR, dove vengono gestiti centralmente dal GravityZone Control Center e monitorati dal Centro Operativo di Sicurezza MDR di Bitdefender. Bitdefender lo indica come GravityZone XDR Sensor for MDR – Identity, mentre la console continua a mostrare i componenti come sensore Active Directory e sensore Azure AD; il secondo nome risale a prima che Azure Active Directory venisse rinominato Microsoft Entra ID.
Console centrale – Tutti i rilevamenti relativi alle identità compaiono nel GravityZone Control Center.
Rilevamento degli attacchi Kerberos – Segnala attacchi di forza bruta, furti di ticket e tentativi di replay.
Rilevamento di controller non autorizzati – Individua gli aggressori che registrano un controller di dominio non autorizzato.
Analisi degli accessi al cloud – Rileva gli accessi provenienti da regioni e località insolite.
Azioni preapprovate – Gli analisti SOC possono isolare gli account senza attendere l’approvazione.
Incidenti correlati – Eventi relativi all’identità integrati con l’attività degli endpoint in un’unica cronologia.

A quali dimensioni aziendali è adatto Bitdefender XDR Sensor for MDR (Add-On) Identity?

Il fattore determinante in questo caso non è il numero di dipendenti, ma se l’identità costituisce una vera superficie di attacco: un dominio Windows, un tenant di Microsoft 365 o entrambi. Un’azienda con pochi account Entra ID e senza controller di dominio trae scarsi vantaggi da un sensore dedicato all’identità, oltre a un SOC gestito. A partire dal momento in cui sono presenti account con privilegi, diverse sedi o un controller di dominio on-premise, l’identità diventa il percorso più realistico che un aggressore può seguire per passare da un laptop compromesso all’intera rete.

Bitdefender XDR Sensor for MDR (Add-On) Identity soddisfa i requisiti della legislazione svizzera in materia di sicurezza informatica?

L’obbligo di segnalazione previsto dalla legge sulla sicurezza dell’informazione (LSI) modificata si applica ai gestori di infrastrutture critiche in Svizzera; si tratta di una questione legata al settore piuttosto che alle dimensioni dell’azienda. Le organizzazioni interessate devono segnalare un attacco informatico all’Ufficio federale per la sicurezza informatica (BACS) entro 24 ore dalla sua scoperta. Tale termine rappresenta il problema pratico che questo add-on aiuta a risolvere: la telemetria delle identità proveniente da Active Directory e Microsoft Entra ID mostra quali account sono stati utilizzati, quando e da dove, consentendo così a una prima segnalazione di indicare un account specifico e una finestra temporale concreta, anziché un vago sospetto. Poiché il sensore invia i dati al SOC MDR di Bitdefender, il rilevamento e la valutazione iniziale non dipendono dal fatto che qualcuno del proprio team noti un allarme alle due del mattino. Ciò che il prodotto non fornisce è il processo di segnalazione in sé: non è presente alcun modello di rapporto BACS, né il monitoraggio delle scadenze, né una valutazione volta a stabilire se un determinato incidente sia effettivamente soggetto a segnalazione. Il presente testo costituisce un’informazione di carattere generale e non una consulenza legale; per chiarire se la vostra organizzazione sia soggetta all’obbligo di segnalazione, è necessario rivolgersi al proprio consulente legale.

Bitdefender XDR Sensor for MDR (Add-On) Identity soddisfa i requisiti della legislazione europea in materia di sicurezza informatica?

Nessun prodotto software garantisce di per sé la conformità alla direttiva NIS 2, poiché la direttiva riguarda le misure organizzative, la governance e la responsabilità del management piuttosto che gli strumenti. La direttiva NIS 2 richiede che i soggetti interessati dispongano di misure relative alla gestione degli incidenti, all’analisi dei rischi, alla continuità operativa, alla sicurezza della catena di approvvigionamento, alle politiche di controllo degli accessi e all’autenticazione a più fattori, con organi di gestione responsabili della loro supervisione. Questo add-on contribuisce concretamente a due di queste categorie: la gestione degli incidenti, attraverso il rilevamento e la classificazione 24 ore su 24 degli attacchi all’identità da parte del SOC di Bitdefender, e il controllo degli accessi, attraverso la visibilità sulle modifiche ai gruppi con privilegi, sulle registrazioni di applicazioni con autorizzazioni eccessive e sugli accessi da luoghi insoliti. Non apporta alcun contributo alla continuità operativa, al backup, alla valutazione dei fornitori o alla documentazione di governance, e non implementa l’autenticazione a più fattori, che la direttiva menziona esplicitamente tra le misure richieste. I soggetti interessati dovrebbero considerarlo come un singolo controllo di rilevamento all’interno di un sistema di gestione più ampio, non come un pacchetto di misure NIS 2.

Bitdefender XDR Sensor for MDR (Add-On) Identity è utile per i questionari di sicurezza dei grandi clienti?

Sì, per una serie ristretta ma frequente di domande. Consente di rispondere che i sistemi di identità sono monitorati per rilevare attacchi, che il monitoraggio è attivo 24 ore su 24, 7 giorni su 7 tramite un SOC esterno anziché solo durante l’orario d’ufficio, che le modifiche agli account privilegiati vengono rilevate e che un account compromesso può essere disabilitato o costretto a reimpostare la password da una console centrale. Non risponde a domande relative a crittografia, gestione delle patch, backup e ripristino, sviluppo sicuro del software, valutazione dei fornitori, formazione sulla sensibilizzazione o stato delle certificazioni, e un questionario che richieda prove di tali aspetti risulterà comunque incompleto. Il modo più economico per colmare tali lacune è solitamente passare a un’edizione superiore o aggiungere un ulteriore sensore all’interno della stessa famiglia GravityZone, poiché in tal modo le risposte provengono da un’unica console e da un’unica fonte di reportistica; mescolare diversi fornitori crea una seconda serie di prove che dovrete riconciliare manualmente ogni volta che un cliente lo richiede.

La perdita di dati è costosa: in che modo i backup aiutano a evitare interruzioni di servizio.
Spiega perché il solo rilevamento non ripristina i dati e come la pianificazione dei backup colmi la lacuna di ripristino lasciata aperta da questo componente aggiuntivo.

Qual è la differenza tra l’Identity Sensor per MDR e l’Identity Sensor XDR standard?

La differenza determinante non sta in ciò che il sensore raccoglie, ma in chi esamina i dati raccolti. Entrambe le varianti raccolgono la stessa telemetria relativa alle identità da Active Directory, Microsoft Entra ID e Microsoft Intune, ed entrambe segnalano gli incidenti nello stesso GravityZone Control Center. Il sensore di identità XDR standard presuppone che sia il vostro team a valutare tali incidenti e a decidere la risposta. La variante MDR è destinata alle aziende già iscritte al servizio MDR di Bitdefender, in cui il SOC di Bitdefender monitora i dati di telemetria relativi alle identità nell’ambito del servizio gestito e può intervenire tramite azioni preapprovate. Scegliere la variante MDR senza un servizio MDR attivo comporta il pagamento di una copertura gestita che non è possibile utilizzare.

Quali limitazioni è necessario conoscere prima dell’acquisto?

Si tratta di una licenza per sensori, non di un prodotto di protezione: rileva e segnala gli attacchi all’identità ma non blocca il malware, e richiede una licenza di base GravityZone attiva e compatibile. La categoria dei sensori di identità copre esclusivamente le piattaforme di identità Microsoft, ovvero Active Directory, Microsoft Entra ID e Microsoft Intune; le categorie dei sensori sono concesse in licenza separatamente, pertanto l'acquisto di Identity non garantisce alcuna copertura per la rete, il cloud o le applicazioni di produttività. Le azioni di risposta contro Active Directory richiedono almeno un controller di dominio online su cui sia in esecuzione Bitdefender Endpoint Security Tools con il modulo EDR abilitato, il che significa che è necessario accettare la presenza di un agente su un controller di dominio. Per quanto riguarda il cloud, per forzare la reimpostazione di una password è necessario che l’applicazione Entra registrata detenga il ruolo di Amministratore Utenti; per intervenire sugli account amministrativi è richiesto il ruolo di Amministratore Globale, mentre le autorizzazioni per gli utenti a rischio dipendono da una licenza Microsoft Entra ID P2, il cui costo a carico di Microsoft spesso coglie di sorpresa gli acquirenti.

Il miglior antivirus? Perché Windows Defender da solo non basta
Spiega dove finisce la sicurezza integrata di Windows e dove iniziano i livelli dedicati di rilevamento e risposta.

Domande frequenti su Bitdefender XDR Sensor for MDR (componente aggiuntivo) Identità

Il componente aggiuntivo funziona senza un Active Directory locale?

Sì. I sensori Entra ID e Intune utilizzano una connessione diretta tra GravityZone e il proprio tenant Microsoft, configurata tramite una registrazione dell’app con autorizzazioni Microsoft Graph, e non richiedono alcun software da parte dell’utente. Solo il sensore Active Directory dipende da un agente, poiché legge gli eventi direttamente dal controller di dominio.

Il SOC di Bitdefender può disabilitare un account senza prima chiedere il vostro consenso?

Solo nell’ambito delle azioni pre-approvate che avete accettato in anticipo come parte del servizio MDR. Si tratta di misure di contenimento definite, come l’isolamento di un host o la neutralizzazione di un account, che gli analisti possono eseguire immediatamente in modo che la risposta non sia ritardata da una chiamata di approvazione durante la notte. Qualsiasi azione al di fuori di tale elenco concordato viene segnalata ai vostri referenti anziché essere eseguita.