Perché le difese host-based
Il perimetro di rete non basta più: traffico cifrato end-to-end (TLS), laptop fuori sede, dispositivi mobili e movimenti laterali interni rendono l’endpoint spesso l’unico punto in cui l’attività malevola diventa osservabile. Le tecnologie host-based operano direttamente sul sistema operativo, dove vedono processi, chiamate di sistema, file e memoria che un sensore di rete non raggiunge.
Il ventaglio di controlli host-based
Host-based firewall
Filtra il traffico in ingresso/uscita del singolo host in base a regole su IP, porta e protocollo. Agisce a livello di rete/trasporto: non ispeziona il contenuto applicativo né riconosce malware. Complementa, non sostituisce, l’antimalware.
Antivirus / Antimalware
Rileva codice malevolo confrontando file e processi con firme (hash, pattern di byte, regole YARA). È l’approccio signature-based: rapido e a bassi falsi positivi, ma cieco verso minacce zero-day e malware polimorfico/fileless finché la firma non esiste.
HIDS e HIPS
Sono la coppia più insidiosa dell’esame:
| HIDS | HIPS | |
|---|---|---|
| Ruolo | rileva e segnala | rileva e blocca inline |
| Posizione | passivo, fuori dal flusso | attivo, in linea |
| Rischio | eventi non fermati | falsi positivi bloccano attività legittima |
| Esempio | OSSEC, file integrity, analisi log | agente che termina il processo |
Un HIDS monitora log, integrità dei file e comportamento e genera un alert; l’azione resta all’analista. Un HIPS aggiunge l’enforcement: intercetta l’attività e la interrompe prima che completi.
Application allowlist / blocklist
- Allowlist (whitelisting): gira solo ciò che è esplicitamente approvato; tutto il resto è negato per default. È il modello più sicuro, ideale su sistemi a funzione fissa (POS, ambienti OT/SCADA).
- Blocklist: nega solo ciò che è noto malevolo. Più flessibile, ma inefficace contro l’ignoto.
Sandboxing
Esegue un file sospetto in un ambiente isolato e strumentato per osservarne il comportamento reale (file creati, chiavi di registro, connessioni C2) senza rischio per la produzione. È detonation dinamica: efficace contro lo zero-day, ma i malware evoluti usano tecniche di sandbox evasion (sleep prolungati, rilevamento di artefatti VM).
Signature-based vs behavioral sull’endpoint
- Signature-based: “questo file corrisponde a qualcosa di noto e cattivo?” — reattivo, richiede aggiornamenti costanti delle firme.
- Behavioral / analisi comportamentale: “questo processo si sta comportando in modo malevolo?” — osserva sequenze di azioni (un documento Office che avvia uno script che scarica ed esegue un binario). Cattura minacce fileless e living-off-the-land, dove non c’è alcun file da firmare.
EDR e Cisco Secure Endpoint
L’EDR (Endpoint Detection and Response) non sostituisce l’antivirus: lo ingloba e aggiunge tre capacità assenti nell’AV tradizionale:
- Visibilità e registrazione continua dell’attività dell’endpoint (processi, connessioni, modifiche a file): telemetria persistente, non solo la scansione di un file al momento dell’accesso.
- Detection comportamentale e retrospettiva: correla gli eventi nel tempo. Cisco Secure Endpoint con Retrospective Security e Device/File Trajectory ricostruisce a posteriori dove un file è transitato quando un verdetto passa da “clean” a “malicious”.
- Response: isolamento dell’host dalla rete, kill del processo, quarantena e threat hunting centralizzato da console.
In sintesi: l’AV risponde “questo file è malevolo?”; l’EDR risponde “cosa è successo su questo endpoint, come si è propagato e come lo contengo ora?”.
Trappole tipiche d’esame
- “Rileva e avvisa senza fermare l’attacco” → HIDS; “blocca l’attività in linea prima che completi” → HIPS. La parola chiave è inline/prevent (HIPS) contro detect/alert (HIDS).
- “Protezione contro malware zero-day / fileless sull’endpoint” → EDR o analisi behavioral/sandboxing, non l’antivirus signature-based, che richiede una firma preesistente.
- “Cosa aggiunge l’EDR rispetto all’AV tradizionale?” → visibilità continua + response (isolamento, rollback, hunting), non semplicemente “firme migliori”.
- “Solo le applicazioni approvate possono essere eseguite” → application allowlist, non blocklist: la blocklist nega soltanto il noto-cattivo.
- “Determinare in sicurezza il comportamento di un file sconosciuto” → sandboxing (detonation), non l’host-based firewall, che filtra porte/IP e non comprende il malware.