Il compromesso nascosto nei servizi di Managed Detection and Response

Quando gli MSP valutano un servizio MDR, la conversazione parte quasi sempre dalle stesse domande: come funziona il vostro SOC e quanto velocemente riuscite a intervenire? Sono aspetti importanti, ma non chiariscono un elemento determinante per l'efficacia del servizio: quanta visibilità ha il provider sugli ambienti dei clienti e su quali componenti può effettivamente intervenire. Un SOC operativo 24 ore su 24, 7 giorni su 7, che monitora soltanto una parte dell'infrastruttura non garantisce una protezione adeguata. Rischia piuttosto di trasmettere ai clienti un falso senso di sicurezza.

Il monitoraggio continuo aiuta le organizzazioni ad affrontare minacce che non conoscono pause, ma se il SOC riceve dati limitati o privi di contesto, non può gestire efficacemente tutti i rischi. Pensiamo alla prospettiva di un analista: se le uniche informazioni disponibili sono gli alert degli endpoint, una minaccia che entra attraverso un'identità compromessa, si sposta lateralmente nella rete ed esfiltra dati tramite un'applicazione cloud può apparire come tre eventi distinti e di bassa priorità. Correlando questi segnali, invece, emerge un attacco in corso. Se rimangono isolati, diventano soltanto rumore. La qualità del rilevamento dipende quindi dalla qualità e dalla completezza dei dati disponibili.

L'efficacia di un servizio MDR dipende dai dati che riesce a monitorare

Endpoint, rete, identità e cloud offrono ciascuno una prospettiva diversa. Un'attività apparentemente ordinaria può assumere un significato completamente differente quando viene correlata con segnali provenienti da altri livelli dell'infrastruttura.

Ad esempio, un alert considerato di bassa priorità in un sistema potrebbe indicare un attacco se analizzato insieme ad altri segnali. Disporre di dati di telemetria pertinenti e correlati tra diverse tecnologie di sicurezza consente agli analisti di ricostruire la sequenza degli eventi e intervenire. Senza informazioni complete, alcuni segnali potrebbero passare inosservati, le indagini rallentare e l'incidente essere individuato soltanto dopo che si è già propagato.

Come scegliere il provider MDR più adatto

I servizi MDR adottano generalmente uno di due approcci. Alcuni privilegiano la profondità di analisi, concentrandosi su un insieme ristretto di tecnologie, spesso sugli endpoint. Questo permette di sviluppare competenze altamente specialistiche, ma può limitare la visibilità sull'ambiente IT complessivo. Il problema è che gli ambienti gestiti dagli MSP raramente sono così uniformi. I clienti utilizzano firewall di produttori diversi, differenti strumenti di protezione degli endpoint e vari provider di identità. Un servizio focalizzato esclusivamente su uno stack tecnologico specifico rischia quindi di lasciare lacune nella copertura non appena un cliente utilizza soluzioni differenti da quelle supportate.

Altri provider MDR privilegiano invece l'ampiezza della copertura, adottando un modello best of breed. Raccolgono e monitorano dati provenienti da un'ampia gamma di prodotti, consentendo di proteggere ambienti eterogenei e valorizzare gli strumenti già in uso. Per quanto questo approccio possa sembrare vantaggioso, è importante verificare cosa consentano realmente le integrazioni. Alcune si limitano a raccogliere alert, senza acquisire i dati di telemetria grezzi. Il risultato è un flusso di notifiche prive del contesto necessario per correlare gli eventi tra diversi livelli di sicurezza o eseguire direttamente azioni di risposta attraverso il servizio. Una copertura ampia, basata su integrazioni superficiali, non equivale a una reale visibilità.

Ciò che serve è una combinazione di entrambi gli approcci: integrazioni capaci di coprire le diverse tecnologie utilizzate dai clienti e sufficientemente approfondite da permettere agli analisti di comprendere cosa sta accadendo e intervenire.

Un servizio MDR moderno ed efficace dovrebbe quindi unire la profondità di analisi necessaria per interpretare gli eventi all'ampiezza e alla flessibilità indispensabili per proteggere ambienti eterogenei. Questa flessibilità permette agli MSP di offrire servizi di monitoraggio e risposta coerenti, senza imporre a tutti i clienti l'adozione dello stesso stack di sicurezza o dover sviluppare competenze specialistiche su ogni singolo prodotto.

Quando profondità, ampiezza e flessibilità lavorano insieme, l'MDR diventa molto più di un servizio di monitoraggio 24/7. Offre la visibilità e il contesto necessari per identificare le minacce nell'intero ambiente IT, analizzarle in modo efficiente e rispondere con maggiore sicurezza, consentendo agli MSP di supportare le diverse infrastrutture tecnologiche su cui i clienti fanno affidamento.

Sette domande che ogni MSP dovrebbe porsi

Un buon servizio MDR deve rispondere sia alle esigenze operative degli MSP sia alla varietà degli ambienti che gestiscono. Prima di scegliere un provider, è utile porsi sette domande fondamentali.

1. Quale parte dell'ambiente IT potete monitorare?

Verifica quali fonti di dati sono coperte dal servizio e dove potrebbero rimanere aree prive di visibilità.

2. Quanto sono approfondite le vostre integrazioni?

Accertati che le integrazioni contribuiscano concretamente al rilevamento e alla risposta alle minacce, senza introdurre latenze, interrompersi in seguito agli aggiornamenti software dei vendor o generare un numero eccessivo di alert.

3. Siete in grado di correlare le attività tra diversi livelli di sicurezza?

Valuta se il servizio correla i dati provenienti da strumenti nativi e di terze parti per ricostruire l'intera catena di attacco e fornire il contesto necessario.

4. Come riducete l'affaticamento da alert e i falsi positivi?

Comprendi in che modo il servizio filtra le segnalazioni non rilevanti, correla gli eventi e stabilisce le priorità degli incidenti, evitando che il team venga sommerso da alert di scarsa importanza.

5. Quanto rapidamente potete intervenire quando viene rilevata una minaccia?

Confronta gli SLA del provider con gli impegni che hai già assunto nei confronti dei clienti. Se i tempi di risposta non coincidono, sarai tu a doverne rispondere, anche alle due di notte.

6. Il servizio può essere scalato su ambienti cliente differenti?

Verifica che sia disponibile una reale gestione multi-tenant, che sia possibile strutturare offerte di servizio su più livelli e che i report destinati ai clienti possano riportare il tuo brand oppure quello del provider.

La scalabilità, infatti, non significa soltanto riuscire a gestire più endpoint, ma anche adattarsi al modello operativo di un MSP.

7. Come funziona il modello di fatturazione?

Assicurati che la struttura dei costi, per endpoint, per cliente oppure a tariffa fissa, ti permetta di definire prezzi prevedibili e proteggere i margini man mano che i clienti crescono, prima ancora di inserire il servizio in una proposta commerciale.

L'MDR non consiste semplicemente nell'offrire una copertura 24/7 o nel supportare il maggior numero possibile di tecnologie. Il suo valore risiede nella visibilità e nel contesto necessari per rilevare, analizzare e contrastare le minacce negli ambienti dei clienti. Senza questa visibilità, anche gli analisti più esperti rischiano di non individuare segnali critici.

Quando valutano un provider MDR, gli MSP dovrebbero quindi andare oltre la disponibilità del servizio, gli SLA e i costi, per comprendere quanto dell'ambiente IT possa essere effettivamente monitorato e analizzato.

Il provider giusto combina capacità di analisi approfondite, ampia copertura e flessibilità nel supportare le tecnologie che i clienti utilizzano oggi e che potrebbero adottare in futuro.

Un servizio MDR adeguato non si limita a proteggere i clienti, ma rende anche più solida e sostenibile la tua attività di sicurezza gestita. Tempi di risposta più rapidi su cui puoi fare affidamento, SLA che puoi garantire con sicurezza ai clienti, meno escalation notturne che mettono sotto pressione il tuo team e report capaci di dimostrare il valore dei tuoi servizi in termini comprensibili per i clienti.

È questo il vero vantaggio di una visibilità completa: non soltanto un rilevamento più efficace, ma anche un servizio di sicurezza gestita più solido e sostenibile nel tempo.