L’antivirus tradizionale riconosce i file che già sa essere pericolosi, confrontandoli con un elenco di minacce note. L’EDR (Endpoint Detection and Response) guarda invece come si comporta il software sul computer: se un programma inizia a cifrare centinaia di file o a disattivare i backup, lo blocca anche se quel file non è mai stato visto prima.
Perché la differenza conta
Gli attacchi moderni sono costruiti apposta per non somigliare a niente di conosciuto: file diversi per ogni vittima, oppure nessun file — solo strumenti legittimi di Windows usati in modo ostile. Contro questo un controllo basato su elenchi di minacce note parte in ritardo.
Cosa aggiunge l’EDR
- Rilevamento comportamentale: conta la sequenza di azioni, non la firma del file.
- Risposta automatica: isola il PC dalla rete nel momento in cui rileva l’attacco, prima che raggiunga i server.
- Ricostruzione dell’accaduto: registra cosa è successo, da dove è partito e cosa ha toccato. È l’unico modo per sapere davvero se l’incidente è chiuso.
- Rollback: in diversi casi riporta indietro le modifiche fatte dal malware.
Serve anche a un’azienda piccola?
La domanda giusta non è quante postazioni hai, ma cosa succede se si fermano tutte. Un’azienda di dieci persone che lavora solo sul gestionale e sulla posta ha lo stesso problema di una da cento: gli attacchi automatizzati non scelgono il bersaglio per dimensione, scelgono chi ha una porta aperta.
Antivirus o EDR, quindi?
Non sono alternative: l’EDR di fatto include le funzioni dell’antivirus e ci aggiunge il monitoraggio e la risposta. Se stai valutando il rinnovo delle licenze, il confronto sensato è fra un antivirus gratuito o consumer e una protezione gestita, dove qualcuno legge gli allarmi. Uno strumento che segnala un attacco alle tre di notte senza nessuno che lo guardi vale la metà.
Come lo impostiamo: antivirus professionale per aziende. Per capire da dove si entra nella tua rete: vulnerability assessment.