La suite Microsoft Defender XDR (in passato “Microsoft 365 Defender”) è la piattaforma di Extended Detection and Response che unifica il rilevamento e la risposta alle minacce attraverso endpoint, identità, email e applicazioni cloud. Il valore chiave per l’esame è il concetto di correlazione dei segnali: invece di analizzare ogni allarme in isolamento, Defender XDR mette in relazione eventi provenienti da domini diversi e li raggruppa in incidents (incidenti) all’interno di un unico portale, il Microsoft Defender portal (security.microsoft.com).

Microsoft Defender for Endpoint

Microsoft Defender for Endpoint protegge i dispositivi (endpoint): PC Windows, macOS, Linux, oltre a iOS e Android. È la soluzione di Endpoint Detection and Response (EDR) della suite e copre l’intero ciclo di vita della minaccia sul device.

Funzioni principali:

  • Threat & Vulnerability Management: individua vulnerabilità e configurazioni deboli sui dispositivi.
  • Attack surface reduction: riduce le superfici d’attacco sfruttabili.
  • Next-generation protection: antivirus/antimalware basato su Microsoft Defender Antivirus.
  • EDR e Automated Investigation and Remediation (AIR): rileva comportamenti sospetti e può isolare o rimediare in automatico.

Se lo scenario parla di laptop, server o telefoni compromessi da malware, la risposta è Defender for Endpoint.

Microsoft Defender for Identity

Microsoft Defender for Identity rileva minacce basandosi sui segnali dell’Active Directory Domain Services (AD DS) on-premises (e ambienti ibridi). Usa un sensore installato sui domain controller per monitorare il traffico e identificare comportamenti anomali.

È specializzato nel riconoscere tecniche tipiche degli attacchi identity-based:

  • Ricognizione dell’ambiente.
  • Movimento laterale tra i sistemi.
  • Compromissione del dominio (es. Pass-the-Hash, Pass-the-Ticket, Golden Ticket).

Attenzione alla distinzione: Defender for Identity si occupa dell’AD on-premises, mentre la protezione delle identità cloud in Microsoft Entra ID è compito di Microsoft Entra ID Protection, un servizio separato.

Microsoft Defender for Office 365

Microsoft Defender for Office 365 protegge gli strumenti di email e collaborazione: Exchange Online, Microsoft Teams, SharePoint e OneDrive. Difende dalle minacce veicolate da messaggi e allegati:

  • Phishing e business email compromise.
  • Malware negli allegati, tramite Safe Attachments (analisi in ambiente sandbox).
  • URL dannosi, tramite Safe Links (verifica del link al momento del clic).

Include inoltre strumenti di threat investigation, automated response e attack simulation training per formare gli utenti.

Microsoft Defender for Cloud Apps

Microsoft Defender for Cloud Apps è il Cloud Access Security Broker (CASB) della suite. Fornisce visibilità e controllo sulle applicazioni SaaS utilizzate in azienda:

  • Cloud Discovery: individua lo Shadow IT, cioè le app cloud usate senza approvazione IT.
  • Information protection: applica policy sui dati che risiedono nelle app cloud.
  • Threat protection e app governance sul comportamento degli utenti nelle app.

Se lo scenario chiede di scoprire quali app SaaS usano i dipendenti o di controllare l’accesso ad app cloud di terze parti, la risposta è Defender for Cloud Apps.

Il portale unificato

Tutti questi servizi confluiscono nel Microsoft Defender portal, dove i segnali dei quattro domini vengono correlati in incidents che raccontano l’intera catena d’attacco. Il portale integra anche Advanced Hunting (query proattive con linguaggio KQL) e, negli scenari più recenti, Microsoft Sentinel come SIEM.

Trappole tipiche d’esame

  • Scenario: minacce che sfruttano il tuo Active Directory on-premises con movimento laterale → Microsoft Defender for Identity (non for Endpoint, non Entra ID Protection).
  • Scenario: individuare lo Shadow IT e le app SaaS non approvate → Microsoft Defender for Cloud Apps (il CASB).
  • Scenario: allegato email potenzialmente malevolo da analizzare in sandbox → Microsoft Defender for Office 365 con Safe Attachments (non for Endpoint).
  • Scenario: rilevamento e risposta (EDR) su un portatile o server infetto → Microsoft Defender for Endpoint.
  • Scenario: dove vedi tutti gli incidenti correlati tra endpoint, identità, email e app in un’unica vista → nel Microsoft Defender portal di Defender XDR (attenzione a non confonderlo con Microsoft Defender for Cloud, che protegge invece le risorse e i workload in Azure/multicloud).