Le minacce moderne non colpiscono un solo bersaglio: un attacco tipico inizia con un’email di phishing, prosegue con il furto di credenziali, si muove lateralmente tra i dispositivi e infine tocca i dati nelle app cloud. Se ogni segnale resta confinato nel suo strumento isolato, il team di sicurezza vede solo tessere staccate di un mosaico. Microsoft Defender XDR nasce proprio per ricomporre quel mosaico.

Che cos’è un XDR

XDR sta per Extended Detection and Response: una soluzione che estende il concetto di rilevamento e risposta oltre il singolo dominio, correlando automaticamente i segnali provenienti da più superfici d’attacco. A differenza di un antivirus che guarda solo l’endpoint o di un filtro anti-phishing che guarda solo la posta, un XDR raccoglie e mette in relazione la telemetria di endpoint, identità, email e collaborazione, e app cloud in un’unica piattaforma.

Microsoft Defender XDR è la suite di Microsoft che realizza questo approccio. Tutto viene gestito dal portale Microsoft Defender (security.microsoft.com), la console unificata da cui l’analista indaga, assegna priorità e risponde.

Il valore rispetto a soluzioni isolate

Con strumenti separati (silos), un analista deve accedere a più console, esportare dati, incrociarli manualmente e ricostruire da sé la sequenza dell’attacco. Questo genera alert fatigue: centinaia di avvisi scollegati, molti dei quali sono in realtà pezzi dello stesso incidente.

Un XDR risolve il problema perché:

  • Correla i segnali tra domini diversi, mostrando la catena d’attacco completa (kill chain).
  • Riduce il rumore raggruppando avvisi correlati invece di presentarli singolarmente.
  • Accelera la risposta con automazione (automated investigation and response) che può, ad esempio, isolare un dispositivo o mettere in quarantena un’email compromessa.
  • Offre un’unica esperienza di indagine, indipendentemente da dove sia partita la minaccia.

L’incidente unificato

Il concetto chiave da ricordare è quello di incidente (incident). Un alert è un singolo avviso (“rilevato malware su questo PC”). Un incidente è invece l’aggregazione automatica di tutti gli alert correlati che appartengono allo stesso attacco, raccolti in un unico caso.

Esempio: un’email di phishing (segnale email) porta un utente a inserire le credenziali (segnale identità), l’attaccante accede a un dispositivo ed esegue codice malevolo (segnale endpoint) e infine scarica file da SharePoint (segnale app cloud). Defender XDR non mostra quattro allarmi scollegati, ma un solo incidente che riunisce l’intera storia, con la timeline, gli asset coinvolti e le azioni consigliate. L’analista vede il quadro completo in un colpo d’occhio.

I servizi della suite (anteprima)

Defender XDR è un ombrello che coordina più servizi specializzati, ciascuno responsabile di un dominio. Li approfondiremo nell’unità successiva, ma in sintesi:

  • Microsoft Defender for Endpoint — protezione di dispositivi e server.
  • Microsoft Defender for Office 365 — protezione di email e strumenti di collaborazione.
  • Microsoft Defender for Identity — rilevamento di minacce basate su identità on-premises (Active Directory).
  • Microsoft Defender for Cloud Apps — visibilità e controllo sulle app cloud (CASB).

Ciascuno alimenta il portale con la propria telemetria; è la correlazione tra questi flussi a produrre l’incidente unificato.

Trappole tipiche d’esame

  • Scenario: devi correlare avvisi provenienti da endpoint, email e identità in un’unica indagine → la risposta è Microsoft Defender XDR (soluzione XDR), non un singolo Defender for Endpoint.
  • Scenario: un attacco tocca più domini e vuoi vedere tutti gli avvisi correlati raggruppati insieme → cerchi un incident nel portale Microsoft Defender, non i singoli alert.
  • Scenario: domanda su “quale portale si usa per gestire la suite Defender XDR?” → Microsoft Defender portal (security.microsoft.com), da non confondere con il portale Microsoft Purview (compliance) o con Microsoft Sentinel (SIEM).
  • Scenario: ti chiedono la differenza tra XDR e SIEM → l’XDR (Defender XDR) è nativo e focalizzato sui workload Microsoft con correlazione automatica; il SIEM (Microsoft Sentinel) raccoglie log da qualsiasi fonte, anche di terze parti, per un’analisi centralizzata. Sono complementari.
  • Scenario: serve ridurre l’alert fatigue e velocizzare il triage → il valore di un XDR con incidenti unificati e automazione, non l’aggiunta di ennesimi strumenti isolati.