La sicurezza dell’endpoint parte dal presupposto che l’host è l’ultima linea di difesa: quando il perimetro di rete viene aggirato (VPN, laptop mobile, minaccia interna), sono le protezioni native del sistema operativo e gli agent di sicurezza a fare la differenza. Il CCST Cybersecurity chiede di sapere quale controllo attivare su ciascun OS e di distinguere l’antivirus tradizionale dall’EDR.
Host-based firewall
Il firewall host filtra il traffico in ingresso/uscita del singolo dispositivo, indipendentemente dal firewall di rete. Serve a contenere il movimento laterale: anche dietro un edge firewall, un host compromesso non deve poter raggiungere liberamente i vicini.
| Sistema operativo | Firewall nativo |
|---|---|
| Windows | Windows Defender Firewall (regole inbound/outbound per profilo Domain/Private/Public) |
| macOS | Application Firewall (System Settings) + pf (packet filter) |
| Linux | nftables/iptables, gestiti da frontend come ufw o firewalld |
Concetto chiave: la policy di default dovrebbe essere deny-all in ingresso e consentire solo le porte necessarie. Su Linux, ufw default deny incoming implementa esattamente questo principio.
OS hardening
L’hardening riduce la superficie d’attacco prima ancora che una minaccia arrivi:
- Patch management: applicare aggiornamenti di sicurezza; le vulnerabilità note non patchate sono il vettore più sfruttato.
- Least privilege: account utente standard, non amministratore, per l’uso quotidiano; su Windows lo UAC intercetta l’elevazione.
- Disabilitare servizi e porte inutili: ogni servizio in ascolto è una potenziale via d’ingresso.
- Full-disk encryption: BitLocker (Windows), FileVault (macOS), LUKS (Linux) proteggono i dati se il dispositivo viene rubato.
- Secure Boot e TPM per garantire l’integrità della catena di avvio.
Feature di sicurezza native
Windows — Microsoft Defender Antivirus (real-time protection), Microsoft Defender Firewall, SmartScreen, Controlled Folder Access (anti-ransomware) e AppLocker/WDAC per l’application control.
macOS — Gatekeeper verifica firma e notarizzazione delle app; XProtect è l’antimalware signature-based integrato; SIP (System Integrity Protection) impedisce la modifica di file di sistema anche a root; FileVault per la cifratura.
Linux — SELinux e AppArmor implementano il Mandatory Access Control confinando i processi; permessi POSIX e sudo per il privilege management; auditd per il logging.
Antivirus tradizionale vs EDR
Questo confronto è il cuore dell’unità.
L’antivirus signature-based confronta i file con un database di firme note. È efficace e leggero contro malware conosciuto, ma è reattivo: se non esiste ancora una firma, non rileva nulla.
L’EDR (Endpoint Detection and Response) — come Cisco Secure Endpoint — aggiunge:
- Telemetria comportamentale continua: monitora processi, chiamate di sistema, connessioni di rete e modifiche al registro, non solo i file.
- Detection basata su comportamento/IOC anziché sole firme: individua pattern sospetti (es. un documento Office che lancia PowerShell che si connette a un host esterno).
- Response: isolamento dell’host dalla rete, kill del processo, quarantena, retrospezione (ricostruzione della catena d’attacco).
- Threat hunting e integrazione con la threat intelligence (Cisco Talos).
| Aspetto | Antivirus tradizionale | EDR |
|---|---|---|
| Metodo | Firme di file noti | Comportamento + firme + IOC |
| Approccio | Reattivo | Proattivo/continuo |
| Fileless / zero-day | Scarsa efficacia | Rileva via anomalie |
| Response | Blocco/quarantena file | Isola host, kill process, indaga |
| Visibilità | Puntuale (scan) | Continua (telemetria) |
Perché conta: minacce fileless e zero-day
Una minaccia fileless vive in memoria e abusa di strumenti legittimi (PowerShell, WMI, macro) senza scrivere un file su disco: non c’è nulla che l’AV signature-based possa “scansionare”. Uno zero-day sfrutta una vulnerabilità senza firma esistente. In entrambi i casi solo la telemetria comportamentale dell’EDR — che nota la sequenza anomala di azioni — riesce a rilevare e a rispondere.
Trappole tipiche d’esame
- Scenario: un attacco usa macro che lanciano PowerShell in memoria, senza scrivere file su disco → l’antivirus signature-based non rileva la minaccia; serve l’EDR con analisi comportamentale.
- Scenario: exploit di una vulnerabilità appena scoperta (zero-day) senza firma disponibile → l’AV tradizionale è cieco; la detection basata su comportamento/anomalie dell’EDR è la risposta corretta.
- Scenario: bisogna impedire il movimento laterale di un host già compromesso nella LAN → attivare l’host-based firewall con policy deny-inbound, non affidarsi al solo firewall di rete.
- Scenario: un laptop rubato contiene dati sensibili → la protezione è la full-disk encryption (BitLocker/FileVault/LUKS), non l’antivirus.
- Scenario: su macOS occorre bloccare l’esecuzione di app non firmate/non notarizzate → è compito di Gatekeeper, non del firewall.
- Scenario: dopo il rilevamento serve isolare l’endpoint dalla rete e ricostruire la catena d’attacco → capability tipica dell’EDR (es. Cisco Secure Endpoint), non dell’AV classico.