Microsoft Defender potrà isolare i sistemi compromessi in modo autonomo

Microsoft sta introducendo una nuova funzionalità in Defender per Endpoint che permette di isolare automaticamente le workstation sospette di essere compromesse. Questo meccanismo è progettato per contenere gli attacchi, limitare i danni e accelerare la risposta agli incidenti. L'isolamento automatico disconnette il dispositivo dalla rete aziendale ma mantiene la comunicazione con Microsoft Defender per Endpoint per monitoraggio e raccolta dati.

Microsoft sta testando una nuova funzionalità in Defender per Endpoint: la piattaforma sarà in grado di isolare automaticamente le workstation se sospetta una compromissione. In questo modo, gli sviluppatori si aspettano di impedire agli aggressori di sviluppare attacchi all’interno della rete e di guadagnare tempo per i team di sicurezza delle informazioni.

La funzionalità è attualmente disponibile in modalità di test di anteprima e funziona come parte del meccanismo di interruzione automatica degli attacchi. Questo insieme di misure protettive è progettato per contenere automaticamente gli attacchi, limitare i danni e accelerare la risposta agli incidenti.

Gli sviluppatori affermano che se Defender for Endpoint decide che il dispositivo è compromesso, verrà automaticamente messo in modalità isolamento. Un host di questo tipo viene disconnesso dalla rete aziendale e da altri sistemi, ma continua a comunicare con il servizio Microsoft Defender for Endpoint (per monitorare ulteriormente lo stato della macchina e raccogliere dati di telemetria).

Come spiega Microsoft, l’isolamento automatico è progettato per ridurre il rischio di ulteriori danni, rendere più difficile lo spostamento laterale agli aggressori e prevenire fughe di dati e diffusione di ransomware nella rete.

Se necessario, i professionisti di sicurezza saranno in grado di rimuovere manualmente il contenimento una volta completata l’indagine e risolti i rischi.

Microsoft sviluppa meccanismi di contenimento automatico degli attacchi da diversi anni.

Ad esempio, nel giugno 2022, gli sviluppatori hanno aggiunto la possibilità di isolare manualmente i dispositivi Windows compromessi bloccando le connessioni in entrata e in uscita. Il supporto per l’isolamento dei sistemi Linux è apparso in modalità test all’inizio del 2023 ed è diventato generalmente disponibile nell’autunno dello stesso anno.

Va da se che questi meccanismi sono da una parte ottimi per poter agire in modo molto veloce e bloccare il percorso agli attaccanti, ma se le intelligenze artificiali che le alimentino andassero in allucinazione, il tutto potrebbe trasformarsi nel blocco di PDL che di fatto non erano state compromesse da nessun thret actors.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response