Nel panorama attuale della cybersecurity, i servizi MDR (Managed Detection and Response) rappresentano una delle soluzioni più avanzate per proteggere le infrastrutture IT da minacce sempre più sofisticate e dannose.
Un dato che ben fotografa la situazione arriva dal Rapporto Clusit 2025: “nel 2024 in Italia si sono registrati 357 incidenti informatici di alta gravità, tra quelli noti. Addirittura, 1/10 degli attacchi a livello mondiale”.
Tuttavia, nonostante si parli molto di MDR, sono ancora in pochi a comprenderne l’effettiva utilità ed efficacia. In questo articolo, analizzeremo in dettaglio le cinque funzionalità essenziali che un sistema MDR deve possedere per garantire una protezione realmente efficace contro le minacce informatiche moderne.
Fonte: Osservatorio Cyberoo 2025.
Indice degli argomenti
Che cos’è realmente un servizio MDR
Prima di addentrarci nelle funzionalità chiave, è importante chiarire che cosa si intende per MDR, coerentemente anche con la definizione data da Gartner. Come spiega Luca Bonora, Cybersecurity Evangelist di Cyberoo: “I servizi MDR forniscono da remoto le moderne funzionalità di Security Operations Center (SOC) per rilevare e analizzare, indagare e rispondere attivamente alle minacce. È la capacità di un vendor di erogare contemporaneamente sia ciò che è software sia ciò che è servizio”.
Un elemento distintivo dei servizi MDR rispetto ad altre soluzioni di sicurezza è proprio l’integrazione tra software proprietario e servizi erogati dal medesimo fornitore. Come evidenzia Bonora, questa perfetta integrazione consente di creare una sinergia unica: “L’intero è maggiore della somma delle parti, come diceva Aristotele”, permettendo soluzioni personalizzate e perfettamente adattabili alle esigenze specifiche di ciascuna azienda.
Dunque, nella scelta di un servizio MDR che sia realmente efficace nell’identificazione e nella risposta alle cyber minacce occorre, sostanzialmente, prendere in considerazioni cinque funzionalità principali.
Monitoraggio continuo 24/7 dell’infrastruttura
Il monitoraggio attivo h24 tutto l’anno è un elemento imprescindibile per l’efficacia di qualsiasi servizio MDR. Anche nelle aziende che operano principalmente durante il giorno, sono numerosi i servizi critici che restano attivi senza interruzioni. Come sottolinea Bonora: “Oggi non esiste più un’azienda che non abbia servizi h24. Ci sono aziende che lavorano 8-10 ore al giorno perché hanno orari diurni, però poi servizi di posta elettronica, servizi cloud, servizi VPN sono sempre attivi. Quindi, ormai da molti anni, non è più ipotizzabile un servizio diverso da h24, 365 giorni l’anno”.
Un sistema MDR avanzato monitora costantemente l’intera infrastruttura IT, che oggi è tipicamente composta da:
- sedi distribuite geograficamente,
- diversi data center,
- servizi ibridi (on-premises e cloud),
- utenti in mobilità e in smart working.
L’obiettivo è, dunque, rilevare anomalie e potenziali minacce in tempo reale, molto prima che possano trasformarsi in incidenti con conseguenze gravi per l’organizzazione.
Threat Detection avanzata, basata su AI e analisi comportamentale
La capacità di distinguere tra normali attività di rete e potenziali minacce è fondamentale per un servizio MDR. Le piattaforme più avanzate utilizzano intelligenza artificiale e machine learning per riconoscere comportamenti anomali.
Bonora identifica due approcci complementari: “Da un lato noi conosciamo tattiche, tecniche e procedure tipiche di una certa tipologia d’attacco. Quindi, sappiamo riconoscerla nel momento in cui la vediamo. Dall’altro, c’è il tema legato al machine learning: devo avere degli strumenti che mi permettano di imparare quelli che sono i comportamenti tipici accettabili all’interno di un’azienda”.
Questo doppio approccio è cruciale perché:
- le tecniche d’attacco standard possono essere riconosciute in qualsiasi azienda.
- i comportamenti normali variano significativamente da un’organizzazione all’altra.
L’intelligenza artificiale permette di creare modelli comportamentali personalizzati per ciascuna azienda, incrementando drasticamente l’efficacia del rilevamento e riducendo i falsi positivi.
Fonte: Osservatorio Cyberoo 2025.
Risposta gestita agli incidenti
Un elemento distintivo dei servizi MDR è poi la capacità non solo di rilevare le minacce, ma anche di rispondere attivamente con azioni concrete di mitigazione e risoluzione.
In questo senso, è essenziale distinguere tra attacco e incidente: “Nella Cyber Kill Chain ci sono 7 fasi che descrivono l’attività malevola e un attaccante, più o meno, le segue tutte. Ognuna di queste fasi è parte dell’attacco stesso. Solo in fondo a questa catena di attacco succede l’incidente, dove per incidente intendiamo il momento effettivo in cui avviene la compromissione di un servizio, dell’azienda, un furto di informazioni o, più in generale, qualcosa che possa compromettere il business”, sottolinea Luca Bonora.
Un servizio MDR efficace interviene nelle fasi iniziali dell’attacco, prima che questo si trasformi in un incidente. Come spiega ancora Bonora: “Abbiamo l’obiettivo di riconoscere l’attacco il prima possibile. Nel momento in cui si è sotto attacco ma non è ancora avvenuto l’incidente, attraverso un’attività che possiamo chiamare di remediation è possibile proporre alla catena del soccorso un’attività di contenimento e di intervento per bloccare l’attacco in corso”.
In caso di incidente conclamato, la velocità di risposta diventa cruciale. Secondo i dati forniti da Cyberoo nel suo Osservatorio 2025, mentre la media mondiale per il ripristino delle operazioni dopo un incidente è di circa 22 giorni, con un servizio MDR avanzato, l’I-SOC è in grado di ridurre drasticamente i tempi a circa 5,4 giorni.
Fonte: Osservatorio Cyberoo 2025.
Integrazione con Threat Intelligence globale e settoriale
Un servizio MDR realmente efficace non può limitarsi al monitoraggio interno dell’infrastruttura, ma deve integrare informazioni provenienti da fonti esterne, analizzando le minacce emergenti nel panorama globale della cybersecurity.
Bonora evidenzia l’importanza di questo aspetto: “Non è possibile pensare di alzare il livello di sicurezza di un’azienda senza un occhio particolarmente attento a ciò che succede in Internet. Immaginiamo che in questo momento all’interno di un blog nel Dark Web vengano trovati dati aziendali in vendita. Ciò significa che siamo già stati attaccati, colpiti e affondati ma, semplicemente, non lo sappiamo”.
Fonte: Osservatorio Cyberoo 2025.
È qui che torna utile la threat intelligence per coprire diversi aspetti:
- Monitoraggio del dark web per identificare dati compromessi.
- Analisi delle vulnerabilità emergenti nel settore specifico dell’azienda.
- Valutazione della supply chain, poiché molti attacchi arrivano attraverso fornitori con livelli di sicurezza inferiori.
- Attenzione ai VIP aziendali, spesso bersagli privilegiati anche sui loro dispositivi personali.
Funzionalità opzionali di un sistema MDR
I provider MDR di fascia alta, come Cyberoo, offrono oltre a quelle già viste anche funzionalità aggiuntive che elevano ulteriormente il livello di protezione.
Struttura di risposta multilivello
Cyberoo implementa un sistema multilivello per la gestione delle segnalazioni: “Il nostro servizio di Security Operations Center si chiama I-SOC (Intelligence SOC) ed è suddiviso in quattro livelli. Il primo livello è svolto dall’intelligenza artificiale, lo chiamiamo “livello zero”. Gli altri tre livelli hanno un nome proprio: il livello uno si chiama i-SOC, il livello due Hyper SOC, il livello tre è Alfa SOC”.
Questa struttura consente di gestire efficacemente l’alert fatigue, uno dei problemi principali dei sistemi di sicurezza:
- Il livello zero (AI) aiuta a dare una dimensione corretta agli allarmi e fa un primo enrichment automatico.
- Il livello uno si occupa di gestire i falsi positivi e di fare la parte di triage completando l’enrichment del caso.
- Il livello due gestisce le casistiche in cui ci sono elementi sospetti da approfondire, si occupa del supporto tecnico del primo livello e scala le segnalazioni verso il terzo livello in caso di incidente accertato o sospetto tale, oppure per tuning e supporto.
- Il terzo livello accerta gli incidenti raccogliendo quante più informazioni possibili e li gestisce direttamente con il team di incident response, studia costantemente i trend e le minacce per elaborare nuove detection e fare tuning con il team di R&D, infine supporta gli altri livelli del SOC.
Agnosticità tecnologica
Un altro elemento distintivo dei sistemi MDR avanzati è la capacità di integrarsi con l’infrastruttura esistente. “Come Cyberoo siamo completamente agnostici”, tiene a precisare Luca Bonora. “L’agnosticità nasce da un concetto molto semplice: noi entriamo in casa del cliente a fronte del fatto che l’azienda ha già tutta una serie di investimenti fatti, di prodotti in uso. Noi diciamo: nessun problema, quello che hai lo utilizziamo cercando di sfruttarlo il più possibile per capire eventuali comportamenti anomali”.
Questa flessibilità permette di massimizzare gli investimenti già effettuati dall’azienda, garantendo al contempo un livello di protezione superiore.
Come scegliere il servizio MDR giusto per la propria azienda
La scelta di un provider MDR è una decisione strategica che dovrebbe basarsi su diversi fattori:
- Cambiare l’ordine delle domande. Come suggerisce Bonora: “La prima delle domande che un’azienda si dovrebbe fare è: come mi accorgo di essere sotto attacco? Oggi la maggior parte delle persone che incontro mi dice: ‘Devo capire che cosa fare, devo capire come sono fatto, devo fare un assessment’. Ma se il tuo assessment ti serve perché l’obiettivo finale è alzare il tuo livello di sicurezza, non è il modo giusto per cominciare”.
- Preparazione ai processi di risposta. Un sistema MDR efficace deve aiutare l’organizzazione a strutturare processi chiari di risposta agli incidenti: “Strutturare i giusti processi vuol dire porsi le giuste domande in tempo, prima che sia troppo tardi. Questo vuol dire che quando gli attaccanti cercano di entrare in azienda, possiamo intervenire velocemente e neutralizzarli in tempo zero, perché sappiamo già cosa fare”, aggiunge ancora Bonora.
- Conformità normativa. Con l’entrata in vigore di normative come NIS2 e DORA, la scelta del provider giusto diventa ancora più cruciale per garantire la conformità e ridurre i tempi di risposta agli incidenti.
Una nuova frontiera nella protezione delle infrastrutture IT
Un servizio MDR è dunque un ecosistema integrato che unisce tecnologie avanzate e competenze specialistiche per affrontare in modo proattivo la complessità delle minacce informatiche odierne. A fare la differenza non è solo l’adozione di questa soluzione, ma la capacità di implementarla con criteri rigorosi, assicurandosi che includa tutte le componenti operative e strategiche necessarie per garantire la migliore difesa possibile.
Come ricorda Bonora: “La promessa del 100% della sicurezza non c’è, questo è fuori discussione. La promessa che Cyberoo fa è quella di poterci migliorare tutti i giorni, di essere sempre più bravi, di riuscire a essere sempre più efficaci”. Affidarsi a un servizio MDR dotato di queste 5 funzionalità chiave non è più un’opzione, ma una necessità per qualsiasi organizzazione che voglia tutelare efficacemente il proprio business e i propri dati.
Articolo realizzato in collaborazione con Cyberoo.
