// Glossario IT
EDR (Endpoint Detection and Response)
Uno strumento di sicurezza che monitora il comportamento degli endpoint in tempo reale, per rilevare e rispondere a minacce che un antivirus tradizionale non riconoscerebbe.
Voce curata da Luciano Blancato, IT Manager a Catania · aggiornata il
Cos'è
Un EDR (Endpoint Detection and Response) monitora continuamente il comportamento di server e workstation, registrando processi, connessioni di rete e modifiche al sistema, per riconoscere pattern sospetti anche quando non corrispondono a una firma di malware già nota. Permette inoltre di rispondere direttamente dall'endpoint stesso: isolarlo dalla rete, terminare un processo, ripristinare file cifrati.
Perché conta
A differenza di un antivirus tradizionale, pensato principalmente per bloccare minacce già conosciute, un EDR è progettato per rilevare comportamenti anomali anche da minacce mai viste prima, incluse tecniche living off the land che non installano alcun file malevolo identificabile. È ormai considerato uno strumento di base per qualunque azienda che voglia una difesa realistica contro il ransomware moderno.
In pratica
Va installato su tutti gli endpoint, server compresi: una macchina senza agente è un punto cieco. Serve qualcuno che guardi gli avvisi, internamente o tramite un servizio MDR, e la possibilità di isolare un dispositivo da remoto in pochi minuti. Riferimento: NIST, definizione di endpoint detection and response.