EDR vs antivirus: le differenze e quando serve l'EDR

L'antivirus blocca il malware che riconosce, confrontandolo con le caratteristiche di minacce note. L'EDR (Endpoint Detection and Response) registra in modo continuo cosa succede su pc e server, segnala i comportamenti sospetti e permette di indagare e reagire, per esempio isolando la macchina. L'antivirus da solo non basta più quando servono visibilità dopo un blocco, rilevamento degli attacchi senza malware e capacità di risposta. Non sono alternativi: il primo previene, il secondo rileva ciò che passa.

Di seguito le differenze una per una, dove si colloca l'EPP, cosa chiedono le misure NIS2 sugli endpoint e le domande da fare prima di decidere. Se cerchi il confronto fra EDR, XDR e MDR, è in un articolo a parte: EDR, XDR e MDR: le differenze.

Le due definizioni, dalle fonti

Il glossario del NIST, che riprende la guida SP 800-83 Rev. 1 (luglio 2013), definisce il software antivirus come un programma che monitora un computer o una rete per identificare tutti i principali tipi di malware e prevenire o contenere gli incidenti che ne derivano.

Per l'EDR lo stesso glossario registra solo la sigla, senza una definizione propria. Una definizione istituzionale chiara è quella del memorandum M-22-01 dell'Office of Management and Budget statunitense (8 ottobre 2021), che dà attuazione all'Executive Order 14028: l'EDR combina il monitoraggio e la raccolta continui, in tempo reale, dei dati degli endpoint (workstation, telefoni, server) con capacità di analisi e di risposta automatica basata su regole. Il memorandum aggiunge che, rispetto agli strumenti di sicurezza tradizionali, l'EDR offre la visibilità che serve per rispondere a minacce avanzate come il malware polimorfico, le APT e il phishing.

Le definizioni dei vendor variano nei dettagli e nei nomi commerciali. Queste due bastano per vedere dove passa il confine: l'antivirus nasce per identificare e fermare il malware, l'EDR per osservare l'endpoint nel tempo e permettere di agire.

EDR vs antivirus: le differenze che contano

1. Come decide che qualcosa è malevolo

Secondo NIST (SP 800-83 Rev. 1, sezione 3.4.1) l'antivirus rileva il malware soprattutto cercando le caratteristiche di esemplari già noti: è molto efficace sul noto, meno sul malware confezionato su misura. La stessa sezione raccomanda anche di monitorare il comportamento delle applicazioni più esposte, come posta e browser, quindi il confine non è netto: un antivirus moderno guarda anche alcuni comportamenti.

L'EDR sposta il peso sulle sequenze di eventi: quale processo ne ha avviato un altro, con quale riga di comando, con quale utente, verso quale indirizzo di rete. Una singola azione può essere normale; la catena intera può non esserlo.

2. Cosa resta dopo il blocco

Dall'antivirus si ottiene un esito: file bloccato, messo in quarantena, disinfettato o cancellato. Dall'EDR si ottiene una cronologia degli eventi sull'host, che serve a rispondere alle domande che seguono ogni incidente: da dove è entrato, cosa ha eseguito, quali altre macchine ha contattato, se è ancora presente. Per quanto tempo quei dati restano disponibili dipende dal prodotto e dalla licenza, ed è una delle prime cose da chiedere.

3. Gli attacchi senza un file da bloccare

Se un attaccante entra con credenziali valide e usa strumenti già presenti nel sistema, come PowerShell o WMI, all'antivirus manca l'oggetto da riconoscere: il file è legittimo e firmato. È la tecnica descritta in LOLBins e living off the land, e si vede solo dal comportamento, cioè dal tipo di dato che l'EDR raccoglie.

4. Cosa si può fare da remoto

Le azioni tipiche dell'antivirus, nell'elenco NIST, sono disinfettare i file, metterli in quarantena o cancellarli. L'EDR aggiunge azioni sull'intera macchina: isolarla dalla rete, terminare un processo, raccogliere evidenze, cercare lo stesso indicatore su tutti gli endpoint. M-22-01 cita esplicitamente l'accesso agli EDR per attività di threat hunting proattivo, cioè la ricerca di attacchi che nessun alert ha ancora segnalato.

5. Chi ci deve lavorare

Un antivirus ben gestito richiede amministratori che lo tengano aggiornato e verifichino che sia attivo e configurato su ogni host: NIST raccomanda una gestione centralizzata e un monitoraggio continuo di questo tipo. Un EDR produce in più alert e dati da interpretare, e quindi richiede analisti. Non a caso M-22-01 chiede alle agenzie di assicurarsi che gli EDR abbiano risorse e personale adeguati, e un finanziamento che copra lo strumento per tutta la sua vita utile.

E l'EPP? La zona di mezzo

EPP (Endpoint Protection Platform) e NGAV (next-generation antivirus) sono termini di mercato, non categorie definite da una norma. Indicano in genere la prevenzione gestita da una console centrale, con policy uniformi e funzioni in più rispetto all'antivirus classico: controllo delle applicazioni, dei dispositivi rimovibili, del firewall locale, analisi del comportamento per bloccare prima dell'esecuzione.

Il punto pratico è che lo stesso agente può portare sia la prevenzione sia l'EDR, con moduli o licenze separati. Per questo il confronto utile non è fra nomi di prodotto ma fra funzioni attive: la console registra la telemetria e permette di isolare un host, o si limita a bloccare? Meglio saperlo prima di un incidente che durante. Per il quadro completo dei livelli di protezione degli endpoint c'è endpoint protection in azienda.

Quando l'antivirus non basta più

NIST considera l'antivirus una necessità per prevenire gli incidenti da malware, ma scrive nella stessa sezione che non può fermarli tutti, e che non eccelle contro le minacce mai viste prima. La sezione 2.3 della guida aggiunge che, quando l'attaccante prepara un attacco diverso per ogni vittima, i controlli basati in gran parte sulle firme non riescono a stare al passo. E la sezione 4.3.2 osserva che il malware che compromette il sistema operativo può disattivare proprio l'antivirus, soprattutto negli ambienti in cui gli utenti hanno più controllo sulle proprie macchine.

Nella pratica conviene valutare l'EDR quando si verifica almeno una di queste condizioni:

• Ci sono server esposti o accessi remoti che, se compromessi, darebbero a un attaccante un punto di partenza dentro la rete.
• Un incidente va ricostruito, per un'indagine interna, un'assicurazione, un audit o una notifica all'autorità: senza telemetria si ricostruisce poco.
• Le credenziali privilegiate sono il rischio principale, perché chi le usa non ha bisogno di malware.
• Dopo un blocco nessuno sa dire cosa sia successo prima e dopo: è il segnale che manca visibilità, non prevenzione.

Vale anche il contrario: un EDR acceso e mai consultato aggiunge poco a una prevenzione ben gestita. La scelta dello strumento va insieme alla scelta di chi lo presidia.

Cosa chiede la NIS2 sugli endpoint

Per i soggetti NIS italiani il riferimento sono le misure di sicurezza di base della determinazione ACN 379907/2025 (allegato 1 per i soggetti importanti, allegato 2 per gli essenziali, con testo identico su questo punto). La misura DE.CM-09, al punto 1, chiede che siano presenti, aggiornati, mantenuti e configurati in modo adeguato "sistemi di protezione dei punti terminali (endpoint) per il rilevamento del codice malevolo", fatte salve motivate e documentate ragioni normative o tecniche. Il punto 2 chiede di adottare e documentare le procedure collegate.

La misura non nomina antivirus, EPP o EDR. Accanto c'è però la DE.CM-01, che per almeno i sistemi informativi e di rete rilevanti chiede "strumenti tecnici per rilevare tempestivamente gli incidenti significativi". La scelta fra antivirus ed EDR resta quindi dell'azienda, ma va motivata sul rischio e documentata, e deve reggere la domanda su come si rileva in tempo un incidente.

L'EDR rende quanto chi lo guarda

L'antivirus lavora in gran parte da solo: blocca, mette in quarantena, registra. L'EDR invece sposta il lavoro sulle persone, perché i suoi alert vanno letti, distinti dai falsi positivi e seguiti da una decisione, anche di notte e nel weekend. Le strade sono due: un team interno con copertura continua e l'autorità di isolare una macchina, oppure un servizio gestito che lo fa al posto tuo, come descritto in MDR: cos'è e quando serve. Per il quadro su chi presidia la sicurezza e con quali processi, il punto di partenza è cos'è un SOC.

Cinque domande prima di decidere

1. Su quante macchine l'agente è installato e attivo, compresi i server esposti e i sistemi più vecchi?
2. La licenza in uso include rilevamento e risposta, o solo prevenzione?
3. Dopo un blocco, riusciamo a ricostruire cosa è successo prima e dopo, e per quanto tempo restano i dati?
4. Chi riceve gli alert fuori orario, e chi è autorizzato a isolare un host senza aspettare?
5. Un utente, o un malware con privilegi elevati, può disattivare l'agente? NIST raccomanda che gli utenti non possano disattivarlo né cambiarne le impostazioni critiche.

In sintesi

L'antivirus identifica e ferma il malware noto; l'EDR registra il comportamento degli endpoint, rileva ciò che non ha una firma e permette di indagare e reagire. Il primo è prevenzione, il secondo è visibilità e risposta, e possono convivere nello stesso agente o in due prodotti affiancati. Le misure ACN per la NIS2 non impongono una categoria, ma chiedono rilevamento del codice malevolo e rilevamento tempestivo degli incidenti, con procedure documentate. La differenza vera, alla fine, la fa chi legge gli alert.

Se vuoi capire cosa copre oggi la protezione dei tuoi endpoint e chi ne segue gli alert, puoi partire dai nostri servizi di cybersecurity.