Gli EDR non sono invincibili

Hai già sentito parlare di 𝐄𝐃𝐑-𝐅𝐫𝐞𝐞𝐳𝐞? Probabilmente no, ed è proprio questo il problema.
Il 20 settembre 2025 il security researcher 𝐓𝐰𝐨𝐒𝐞𝐯𝐞𝐧𝐎𝐧𝐞𝐓𝐡𝐫𝐞𝐞 ha dimostrato come sia possibile “congelare” antivirus ed EDR sfruttando esclusivamente componenti legittimi di Windows: nessun exploit kernel, nessun driver vulnerabile, solo funzionalità native usate a proprio vantaggio. In particolare, una funzione di diagnostica di Windows può essere abusata per mettere temporaneamente in pausa l’endpoint protection, consentendo all’attaccante di muoversi senza essere visto.

Essendo la prima linea di difesa, l’EDR diventa inevitabilmente anche il primo bersaglio nel costante gioco del gatto e del topo tra attaccanti e difensori. Quando la prima linea perde visibilità, spesso le organizzazioni perdono la capacità di rilevare gli attori malevoli in tempo reale: proof-of-concept come questo possono rapidamente essere riadattati in arma dai criminali, allo stesso modo di tecniche BYOVD (Bring Your Own Vulnerable Driver) già sfruttate da gruppi ransomware.

Il punto non è “potenziare ancora l’EDR” fino all’inverosimile: ogni endpoint protection and response, per quanto sofisticato, può essere aggirato. La vera resilienza nasce da un’architettura stratificata, dove ogni livello compensa i limiti dell’altro. È qui che la 𝐃𝐞𝐜𝐞𝐩𝐭𝐢𝐨𝐧 𝐓𝐞𝐜𝐡𝐧𝐨𝐥𝐨𝐠𝐲 gioca un ruolo fondamentale: rappresenta uno dei pochi approcci a mantenere efficacia anche quando la prima linea è compromessa.

In breve, come funziona la deception:
– esche che simulano file contenenti credenziali o dati sensibili;
– account e credenziali apparentemente con privilegi elevati;
– sistemi-trappola indistinguibili da quelli reali.

Se un attaccante, convinto di aver silenziato le difese, interagisce con queste esche, genera alert ad altissima fedeltà: sono comportamenti incompatibili con un utilizzo legittimo. Questo significa che, anche se l’EDR è “congelato”, un’esca ben posizionata continua a produrre segnali affidabili e immediati.

In IMQ Intuity riteniamo che la resilienza sia il frutto di un’architettura stratificata, in cui ogni layer compensa i limiti del precedente.
È su questa idea che stiamo sviluppando una piattaforma di deception capace di assicurare continuità e visibilità anche quando la prima linea di protezione si arresta.

Se la tua prima linea di difesa fallisce, qual è il tuo piano di riserva? Noi crediamo che la risposta sia nella deception. Contattaci per scoprire di più 👉 https://lnkd.in/dJftrzsV