Microsoft Defender XDR (Extended Detection and Response) è la suite di sicurezza di Microsoft 365 che unifica il rilevamento e la risposta alle minacce attraverso i quattro domini principali dell’ambiente digitale: email, endpoint, identità e applicazioni cloud. L’idea chiave — molto richiesta all’esame — è che i singoli servizi Defender non lavorano in isolamento: condividono i segnali e li correlano automaticamente in un unico incident all’interno del portale Microsoft Defender (security.microsoft.com).

I workload della suite

Defender for Office 365

Protegge i canali di collaborazione: email (Exchange Online), Microsoft Teams, SharePoint e OneDrive. Gestisce phishing, malware, link e allegati malevoli tramite funzioni come Safe Links e Safe Attachments. Include inoltre l’Attack Simulation Training, che invia campagne di phishing simulate per addestrare gli utenti.

  • Scenario tipico: “gli utenti ricevono email di phishing con link pericolosi” → Defender for Office 365.

Defender for Endpoint

È la soluzione EDR (Endpoint Detection and Response) per i dispositivi: Windows, macOS, Linux, iOS e Android. Offre riduzione della superficie d’attacco, protezione next-gen, automated investigation and remediation e Threat and Vulnerability Management.

  • Scenario tipico: “rilevare e rispondere a minacce sui laptop aziendali” → Defender for Endpoint.

Defender for Identity

Protegge le identità on-premises, in particolare Active Directory Domain Services (AD DS) e Active Directory Federation Services. Usa i segnali dai domain controller per individuare attacchi come lateral movement, pass-the-hash e reconnaissance.

  • Attenzione: riguarda l’AD on-premises, non la protezione di Microsoft Entra ID (quella è gestita da Entra ID Protection).

Defender for Cloud Apps

È il CASB (Cloud Access Security Broker) di Microsoft. Dà visibilità e controllo sulle app SaaS, individuando lo shadow IT (app cloud non approvate usate dai dipendenti) e applicando policy di sessione e di accesso.

  • Scenario tipico: “scoprire quali applicazioni cloud non autorizzate usano i dipendenti” → Defender for Cloud Apps.

Defender for Business

È la versione pensata per le PMI (fino a 300 utenti), inclusa in Microsoft 365 Business Premium. Porta capacità di tipo enterprise-grade (soprattutto EDR per endpoint) con configurazione semplificata e assistita, senza richiedere un team di sicurezza dedicato.

  • Scenario tipico: “piccola azienda che vuole protezione endpoint senza complessità” → Defender for Business.

Come lavorano insieme

Il valore di XDR sta nella correlazione cross-domain. Un attacco reale raramente tocca un solo dominio: un utente clicca un link di phishing (Office 365), il malware compromette il portatile (Endpoint), l’attaccante ruba credenziali e si muove lateralmente (Identity) e infine esfiltra dati verso un’app cloud (Cloud Apps).

Defender XDR raccoglie questi segnali separati e li unifica in un unico incident, mostrando l’intera catena d’attacco. Grazie all’automated investigation and response (AIR) può contenere la minaccia automaticamente (isolando un dispositivo, bloccando un utente) e i dati confluiscono in Microsoft Sentinel (il SIEM/SOAR) per analisi più ampie.

Regola pratica: Defender = protezione dei workload Microsoft 365; Microsoft Sentinel = SIEM cloud che aggrega segnali da qualsiasi fonte, anche non Microsoft.

Trappole tipiche d’esame

  • “Proteggere le caselle email da phishing e allegati pericolosi” → Defender for Office 365 (non Defender for Endpoint).
  • “Rilevare attacchi sui domain controller Active Directory on-premises” → Defender for Identity (occhio: non è la protezione di Microsoft Entra ID nel cloud).
  • “Individuare applicazioni cloud non autorizzate (shadow IT)” → Defender for Cloud Apps (il CASB), non Defender for Endpoint.
  • “Un’azienda con meno di 300 dipendenti vuole EDR semplice e conveniente” → Defender for Business, tipicamente via Microsoft 365 Business Premium.
  • “Vedere l’intera catena d’attacco correlata in un unico incident” → è il valore di Microsoft Defender XDR nel suo complesso; se serve aggregare log anche da fonti non-Microsoft, la risposta è Microsoft Sentinel.