La realtà moderna delle reti
Non molto tempo fa, la "rete" era facile da immaginare: data center e ambienti campus con un perimetro definito. Quel mondo non esiste più. Oggi, la rete moderna abbraccia data center, forza lavoro remota, piattaforme SaaS, cloud , dispositivi IoT e OT e, cosa più importante, identità che legano tutto insieme.
Questa espansione ha trasformato la superficie di attacco in un unico gigantesco ecosistema ibrido e interconnesso. E gli aggressori si sono adattati. Non ragionano più in termini di "endpoint", "cloud" o "identità", ma vedono un'unica grande superficie unificata da infiltrarsi, attraversare e sfruttare.
Ecco perché oggi il 40% delle violazioni coinvolge più domini e gli autori dei ransomware riescono a muoversi lateralmente in meno di 48 minuti. La conclusione è semplice: se continuiamo a difenderci in modo isolato, saremo sempre in ritardo.
La sfida SOC
La maggior parte delle organizzazioni ha investito molto in strumenti: EDR per gli endpoint, SIEM/SOAR per la correlazione dei log e i flussi di lavoro e ora XDR per la "piattaformizzazione". Questi investimenti sono necessari, ma non sufficienti. Perché?
Perché i team SOC sono sommersi dagli avvisi. I team ricevono quasi 4.000 avvisi al giorno, ma meno dell'1% è effettivamente rilevante. Gli analisti dedicano quasi tre ore al giorno solo alla gestione degli avvisi, mentre gli avversari si muovono lateralmente in meno di un'ora.
Questo è il "dilemma dei difensori". Gli strumenti sono rumorosi, isolati e ottimizzati per la conformità o la prevenzione, non per il rilevamento in tempo reale dei comportamenti furtivi degli aggressori. Ecco perché molti responsabili SOC mi dicono: "È solo questione di tempo prima che ci sfugga qualcosa".
Perché l'EDR non è sufficiente
L'EDR rimane fondamentale. Tuttavia, non è mai stato progettato per coprire tutto. Considerate quanto segue:
- Lacune nella copertura: gli agenti EDR non possono funzionare su dispositivi non gestiti, IoT, OT o sistemi di appaltatori terzi. Tuttavia, gli aggressori prendono di mira deliberatamente questi punti ciechi.
- Bypass ed elusione: l'EDR viene regolarmente disabilitato o eluso. Le valutazioni del Red Team della CISA hanno dimostrato come gli aggressori utilizzino la manomissione dei driver, il montaggio dei dischi VM o strumenti di rimozione degli hook per accecare endpoint .
- Abuso di identità: quando gli aggressori effettuano il "login" invece di "hackerare", l'EDR spesso non rileva alcuna attività dannosa. Abuso di privilegi, furto di token OAuth, delega della casella di posta: queste attività non sembrano malware, ma sono una miniera d'oro per gli aggressori.
- Punti ciechi della rete: EDR vede ciò che accade sull'host. Non vede il traffico est-ovest tra i sistemi, i tunnel crittografati o i pivot laterali tra i domini.
In parole povere: se ti affidi esclusivamente all'EDR, non riesci a vedere gran parte di come si svolgono gli attacchi moderni.
Perché SIEM e SOAR non sono sufficienti
Le piattaforme SIEM e SOAR promettono visibilità centralizzata e flussi di lavoro automatizzati. Tuttavia, dipendono dalla qualità dei dati acquisiti. Se i dati in entrata sono di scarsa qualità, anche quelli in uscita lo saranno.
- Volume contro valore: i SIEM acquisiscono migliaia di eventi di log ogni giorno, ma alla maggior parte manca il contesto necessario per distinguere quelli benigni da quelli dannosi.
- Latenza: la correlazione basata sui log è reattiva e lenta. Quando i segnali vengono collegati, gli aggressori hanno già cambiato obiettivo.
- Complessità: la gestione delle regole e dei playbook richiede molto lavoro. I SOC spesso dedicano più tempo alla messa a punto che alle indagini.
SIEM/SOAR sono necessari per la conformità e l'orchestrazione. Tuttavia, non sostituiscono il rilevamento in tempo reale basato sul comportamento.
Dove si inserisce l'XDR
L'XDR è emerso come risposta alla proliferazione degli strumenti. Se implementato correttamente, promette l'integrazione tra endpoint, rete, cloud e identità. Tuttavia, la maggior parte delle offerte "XDR" attualmente disponibili sono semplicemente ecosistemi di fornitori che estendono le loro funzionalità EDR o SIEM di base. Ciò significa che permangono gli stessi punti ciechi e silos.
L'XDR senza una rete ad alta fedeltà e un segnale di identità è semplicemente un EDR con un nuovo nome. E senza quel segnale, l'XDR continua a rincorrere gli avvisi invece di individuare gli attacchi.
Perché l'NDR è essenziale per i SOC moderni
È qui che entra in gioco il Network Detection and Response (NDR). Le moderne piattaforme NDR, come Vectra AI, sono progettate appositamente per ipotizzare compromissioni e rilevare ciò che altri strumenti non riescono a individuare:
- Copertura senza agenti: NDR offre visibilità su dispositivi non gestiti, IoT/OT, cloud e identità, ovunque endpoint non possano arrivare.
- Rilevamento comportamentale: invece di basarsi sulle firme, NDR utilizza l'intelligenza artificiale per rilevare i metodi utilizzati dagli aggressori, come tunnel nascosti, abuso di privilegi e movimenti laterali, anche quando gli aggressori utilizzano credenziali valide.
- Visibilità del traffico est-ovest: NDR ispeziona le comunicazioni interne dove gli aggressori vivono dopo aver compromesso il sistema, rivelando attività di ricognizione, persistenza ed esfiltrazione.
- Riduzione del rumore: il filtro NDR Vectra AIelimina fino al 99% dei falsi allarmi, consentendo agli analisti di concentrarsi solo sulle progressioni degli attacchi convalidate e prioritarie.
- Risposta integrata: NDR si integra con SIEM, SOAR ed EDR, attivando in tempo reale l'isolamento dell'host, il ripristino delle credenziali o il blocco del firewall.
Pensateci in questo modo: l'EDR cerca di impedire agli aggressori di entrare. L'NDR li blocca una volta che sono già entrati. Insieme, costituiscono i due lati della difesa moderna.
Combinazione di NDR, EDR e SIEM: un approccio ibrido alla visibilità SOC
La triade SOC Visibility — SIEM, EDR e NDR — rimane il modello migliore per una copertura completa. Ogni strumento ha un ruolo specifico:
- SIEM/SOAR per conformità, aggregazione e orchestrazione.
- EDR per endpoint dettagliata endpoint e contenimento.
- NDR per il rilevamento in tempo reale su rete, cloud e identità, dove gli aggressori si nascondono effettivamente dopo aver compromesso il sistema.
La differenza oggi è che l'NDR non è più facoltativo. È il livello mancante che completa l'architettura di rilevamento del SOC.
Risultati reali con NDR
Le organizzazioni che aggiungono NDR ai propri stack EDR, SIEM e SOAR riportano costantemente miglioramenti misurabili:
- ROI del 391% con un ritorno sull'investimento in sei mesi.
- Il 52% in più di minacce identificate in un tempo inferiore del 37%.
- Riduzione del 99% del rumore degli allarmi e aumento del 40% dell'efficienza SOC.
- Riduzione dei tempi medi di inattività (MTTD) e dei tempi medi di riparazione (MTTR) da giorni a ore.
Non si tratta di affermazioni di marketing. Sono i risultati ottenuti da clienti reali che hanno imparato a proprie spese che gli endpoint e i log da soli non sono sufficienti.
Conclusione: perché l'NDR non è più facoltativo
Le reti moderne richiedono difese moderne. Gli aggressori agiscono rapidamente, sfruttano le risorse disponibili e approfittano dei punti deboli in modi che gli strumenti tradizionali non sono in grado di rilevare.
L'EDR è necessario, ma non è sufficiente. SIEM/SOAR sono strumenti preziosi, ma non sono motori di rilevamento. L'XDR promette integrazione, ma senza NDR è incompleto.
NDR è l'unica tecnologia che offre la copertura, la chiarezza e il controllo necessari per individuare e bloccare gli attacchi moderni su tutta la rete ibrida.
Se volete proteggere la vostra organizzazione dal diventare il prossimo caso di violazione dei dati, non potete permettervi di considerare l'NDR come un optional. È essenziale.
Fonti
- Vectra AI, Stato dell'arte del rilevamento e della risposta alle minacce nel 2024: il dilemma dei difensori
- Vectra AI, Rapporto sull'efficienza del rilevamento e della risposta alle minacce 2024
- Vectra AI, Sintesi della ricerca: Ridurre il rumore, aumentare le minacce (2025)
- Vectra AI, Il caso del rilevamento e della risposta di rete (2025)
- Vectra AI, 5 motivi per cui l'EDR non è sufficiente (2025)
- CrowdStrike, Rapporto sulle minacce globali 2025
- IBM, Rapporto sul costo delle violazioni dei dati 2024
- IDC, Il valore commerciale di Vectra AI 2025)