EPP vs EDR: Cisco Secure Endpoint

Il limite dell’antivirus tradizionale

Un EPP (Endpoint Protection Platform) nasce con un obiettivo: prevenire l’esecuzione di codice malevolo prima che comprometta l’host. Antivirus signature-based, antimalware, host firewall e controllo dispositivi lavorano su una logica di verdetto istantaneo: il file viene analizzato al momento dell’accesso e classificato come pulito o malevolo. Il problema è che questa decisione è puntuale e definitiva: se al tempo T0 il file risulta sconosciuto (disposition unknown) o pulito, viene lasciato passare e nessuno lo riesamina più. Contro malware zero-day, fileless o polimorfico, la sola prevenzione è strutturalmente insufficiente.

Un EDR (Endpoint Detection and Response) cambia paradigma: registra continuamente l’attività dell’endpoint (processi, file, connessioni di rete, chiamate) e la correla nel tempo per rilevare comportamenti sospetti, indagare e rispondere. Non sostituisce la prevenzione, la completa con visibilità e reazione post-esecuzione.

Cisco Secure Endpoint

Cisco Secure Endpoint (ex AMP for Endpoints) unifica capacità EPP ed EDR in un unico connettore cloud-managed, alimentato dalla threat intelligence di Cisco Talos. Le sue funzioni cardine per l’esame:

• Retrospective security: è la feature distintiva. Secure Endpoint mantiene lo storico di ogni file “visto” (identificato dall’hash SHA-256). Quando la disposition di quell’hash cambia nel cloud — da unknown/clean a malicious grazie a nuova intelligence Talos o all’analisi dinamica — il sistema ri-classifica retroattivamente il file e genera un alert su tutti gli endpoint dove era già transitato, anche giorni prima. Un antivirus tradizionale, avendo già emesso un verdetto, non farebbe nulla.
• Indicators of Compromise (IOC): pattern comportamentali e artefatti (chiavi di registro, processi, connessioni) che segnalano una compromissione probabile, correlati per alzare la severità di un incidente.
• Dynamic file analysis con Secure Malware Analytics (ex Threat Grid): i file unknown vengono detonati in sandbox cloud per osservarne il comportamento reale, produrre un threat score e aggiornare la disposition — che è poi ciò che innesca la retrospective security.
• Device trajectory (e File trajectory): ricostruzione visuale della catena degli eventi su un host — quale processo ha creato/eseguito cosa, con quali file e connessioni — per rispondere a “paziente zero”, propagazione e root cause.
• Outbreak control: strumenti di contenimento come custom detections (blacklist per hash), application blocking/allow lists, IP block list e la possibilità di mettere l’host in isolamento di rete o di quarantena dei file. Quando la retrospective ri-classifica un file, la quarantena può scattare automaticamente sugli endpoint interessati.

Come si incastra nell’esame SCOR

Nei quesiti 350-701, riconosci lo scenario dalla domanda funzionale, non dal nome del prodotto:

• “Serve rilevare un malware che era sconosciuto all’ingresso ma è stato riconosciuto dopo” → retrospective security di Secure Endpoint.
• “Serve capire come il malware si è propagato e quale processo l’ha introdotto” → device/file trajectory.
• “Serve detonare un file sospetto in ambiente isolato per un verdetto comportamentale” → Secure Malware Analytics (sandbox).
• “Serve bloccare subito un hash su tutta la flotta senza attendere una signature” → custom detection / outbreak control.

# Concetto: la disposition di un hash è globale e mutabile nel tempo
SHA-256: a1b2...  T0 → unknown  (file eseguito, consentito)
                  T1 → malicious (Talos/sandbox aggiornano il verdetto)
                  T1 → alert retrospettivo + quarantena automatica

Trappole tipiche d’esame

• Scenario: un file era pulito all’ingresso e viene poi giudicato malevolo; serve un alert sugli host già toccati → Risposta giusta: retrospective security di Secure Endpoint. Un antivirus tradizionale EPP non riesamina file con verdetto già emesso.
• Scenario: chiedono chi fornisce la threat intelligence che aggiorna le disposition → Cisco Talos, non “il motore antivirus locale”.
• Scenario: “detonare/analizzare dinamicamente un file unknown in sandbox” → Secure Malware Analytics (ex Threat Grid), non “device trajectory” (che è solo visibilità/forensics, non analisi del file).
• Scenario: distinguono EPP da EDR → l’EDR aggiunge detection e response continue e retroattive; l’EPP resta prevenzione puntuale. Attenzione a risposte che presentano l’EDR come “un antivirus più aggiornato”: è un errore concettuale.
• Scenario: “isolare l’host o bloccare immediatamente un hash su tutta la flotta” → funzioni di outbreak control / endpoint isolation, non “creare una nuova signature e attendere il push”.