Capacità distintiva della sicurezza degli endpoint di Barracuda Managed XDR: Regole personalizzate di rilevamento EDR

Come il team di ingegneri del centro operativo di sicurezza (SOC) di Barracuda trasforma le tecniche di ransomware del mondo reale in rilevamenti proattivi e contenimenti automatizzati e anticipati.

Aspetti principali

• Il ransomware spesso si muove più velocemente di quanto l'EDR preconfigurato possa rilevare. Molti attacchi raggiungono rapidamente la crittografia, lasciando poco tempo per rispondere se il rilevamento avviene troppo tardi.
• Le regole STAR personalizzate rilevano il ransomware prima nella catena di attacco. Il SOC di Barracuda costruisce rilevamenti STAR basati su tecniche di ransomware del mondo reale per individuare l'attività pre-crittografia.
• Il rilevamento precoce consente un contenimento e un'interruzione più rapidi. I rilevamenti ad alta fiducia possono attivare un contenimento automatico per fermare il progresso dell'attaccante mentre il SOC risponde.

Perché una "buona protezione degli endpoint" non è sufficiente contro i ransomware moderni

I gruppi di ransomware non vincono perché i difensori non hanno strumenti. Vincono perché comprimono il tempo. Accesso iniziale, escalation dei privilegi, elusione della difesa, raccolta delle credenziali, movimento laterale, sabotaggio dei backup e crittografia possono svolgersi in poche ore, a volte anche meno. Se la tua soluzione di sicurezza per endpoint avvisa solo quando il payload inizia a crittografare, sei già in ritardo e diretto verso problemi.

La soluzione pratica è una rilevazione precoce. Sembra fantastico, ma è più facile a dirsi che a farsi.

Un elemento chiave che distingue la sicurezza degli endpoint Managed XDR sono le regole STAR su misura progettate dal nostro SOC.

Barracuda Managed XDR Endpoint Security è un'offerta di sicurezza degli endpoint gestita da SOC che sfrutta SentinelOne Complete, una piattaforma di rilevamento e risposta degli endpoint di eccellenza. Di conseguenza, i clienti ottengono la forte protezione di base di una soluzione leader di rilevamento e risposta degli endpoint (EDR). E questo è solo l'inizio. I clienti ricevono anche un livello di servizio gestito da Barracuda che offre un'ingegneria di rilevamento continuo, flussi di lavoro automatizzati di risposta alle minacce, intelligence sulle minacce e telemetria dalle nostre operazioni XDR più ampie.

Il livello di servizio è un aspetto fondamentale perché trasforma le capacità grezze dell'EDR in risultati. È qui che il SOC di Barracuda e i suoi ingegneri di sicurezza degli endpoint lavorano insieme per aumentare la protezione con rilevamenti più precoci e affidabili e un'interruzione più rapida delle attività di ransomware, in modo che la tua organizzazione possa contenere la minaccia prima e evitare un incidente doloroso e costoso.

Una grande parte di questo vantaggio deriva dalla combinazione della capacità Storyline Active Response (STAR) di SentinelOne con l'esperienza SOC di Barracuda. STAR consente ai team di trasformare le query di visibilità profonda in regole personalizzate che valutano la telemetria degli endpoint man mano che viene raccolta, attivando avvisi e, quando configurati, azioni di risposta automatizzate.

Il nostro team di Ingegneria della Sicurezza degli Endpoint del SOC sviluppa, affina ed espande continuamente rilevamenti personalizzati STAR per ransomware e altri malware ad alto impatto. Questi rilevamenti su misura sono progettati a partire da tecniche reali osservate direttamente dal SOC, incluse le metodologie utilizzate da alcuni dei gruppi di minaccia più noti, e sono supportati da costante ricerca sulle minacce. Il team quindi fornisce in modo proattivo questi nuovi e significativi rilevamenti STAR per aiutare a proteggere i clienti della Sicurezza degli Endpoint Managed XDR contro le minacce emergenti e le tattiche degli attaccanti in evoluzione man mano che appaiono in natura.

In pratica, questo significa che il SOC di Barracuda cerca i passaggi pre-impatto ripetibili che gli operatori di ransomware tendono a compiere. Questi segnali si manifestano durante la messa in scena, l'indebolimento della difesa, il movimento laterale e l'interruzione del backup. Il SOC quindi traduce questi schemi in rilevamenti che possono attivarsi in anticipo e innescare il contenimento prima di qualsiasi rilevamento EDR preconfigurato.

Esempi di regole STAR personalizzate Barracuda (e cosa cercano)

Le regole STAR personalizzate sono ciò che distingue la Managed XDR Endpoint Security dalle implementazioni solo EDR. Si tratta di rilevamenti progettati dal SOC che Barracuda costruisce sopra SentinelOne per individuare comportamenti legati al ransomware prima dell'impatto e, quando necessario, attivare il contenimento automatico. Ecco un insieme rappresentativo di esempi.

1. Regola di Rilevamento Precoce Disruption/Wiper Handala Iraniano
   Rileva azioni in fase iniziale associate alle operazioni dirompenti del team di hacker Handala, inclusa l'esecuzione guidata da script - ad esempio, PowerShell codificato. Progettato per aiutare a individuare attività che altrimenti si confonderebbero con il normale comportamento amministrativo, consentendo un contenimento più rapido prima della cancellazione del sistema, della distruzione del backup e dell'esposizione dei dati.
2. Akira Ransomware Early Detection Rule
   Prende di mira schemi comportamentali specifici e artefatti in fase iniziale associati a intrusioni in stile Akira, consentendo azioni preventive, tra cui il contenimento della rete prima della crittografia. Esempi di minacce in stile Akira includono il sideloading DLL, attività di bring your own vulnerable driver (BYOVD) e tentativi di compromettere host VMware ESXi.
3. Regola di Rilevamento Precoce del Ransomware Cephalus
   Rileva catene di esecuzione coerenti con i loader di ransomware che utilizzano il sideloading di DLL, dove un eseguibile legittimo viene utilizzato per caricare una DLL dannosa. Progettato per generare segnali nelle prime fasi del ciclo di vita dell'attacco e attivare il contenimento automatico della rete quando la fiducia è alta.
4. Interrogazione DNS di ConnectWise ScreenConnect per TLD sospetto
   Segnala un'attività DNS sospetta relativa a ScreenConnect che può indicare un accesso remoto dannoso e punti d'appoggio nelle prime fasi spesso utilizzati prima del dispiegamento di ransomware.
5. Krueger EDR Evasion Rule
   Rileva tentativi di manipolare le politiche di controllo delle applicazioni endpoint, incluso l'abuso osservato del Windows Defender Application Control (WDAC), per aggirare le difese degli endpoint. Attiva il contenimento automatico della rete quando vengono rilevati segnali critici.
6. Play Ransomware Regola di Rilevamento Precoce
   Si concentra sui passaggi di preparazione iniziale osservati negli attacchi in stile Play, inclusi i tentativi di sopprimere le soluzioni EDR, la manomissione del firewall e i vettori di escalation dei privilegi.
7. Regola Indicatore Ransomware
   Serve come segnale di allerta precoce di comportamenti simili a ransomware, inclusi attacchi fileless lanciati da un dispositivo remoto. Progettato per ridurre il tempo di permanenza, limitare il movimento laterale e guadagnare tempo per il contenimento e la rimedio.

Dal rilevamento all'interruzione: contenimento automatizzato a livello organizzativo

Il rilevamento precoce è utile solo se si può agire rapidamente per superare la minaccia. Quando si attiva una regola STAR personalizzata ad alta affidabilità, Managed XDR Endpoint Security può eseguire una risposta automatizzata alle minacce, in particolare il contenimento della rete degli endpoint interessati, per rallentare o fermare immediatamente i progressi dell'attaccante.

Risultato finale

L'EDR pronto all'uso è un buon primo passo, ma gli attori delle minacce operano regolarmente nel divario tra "sospetto" e "confermato malevolo". Barracuda Managed XDR Endpoint Security colma quel divario traducendo continuamente le indagini in prima linea su ransomware e altri malware in regole STAR personalizzate, quindi abbinando quelle rilevazioni con Automated Threat Response in tempo reale e una guida alla triage, indagine, contenimento e rimedio guidata dal SOC 24/7.

Se stai valutando opzioni EDR, MDR o XDR e SentinelOne è già nella tua lista di candidati, due domande che devi porti sono:

1. Ho le competenze in materia di cybersecurity necessarie per gestire correttamente la sicurezza degli endpoint quotidianamente, rispondere alle minacce e gestire gli incidenti?
2. Chi farà l'ingegneria del rilevamento continuo oltre la protezione standard per tenere il passo con l'evoluzione degli strumenti e delle tattiche dei ransomware degli attori delle minacce?

Con Barracuda Managed XDR Endpoint Security, non ottieni solo la protezione degli endpoint all'avanguardia di SentinelOne. Ottieni anche gli esperti di cybersecurity potenziati da SOC di Barracuda per gestire la piattaforma, indagare e rispondere agli avvisi e costruire, ottimizzare e rendere operative le rilevazioni STAR che possono identificare il ransomware in anticipo e aiutare a fermarlo prima della crittografia.

Ulteriori letture

• SentinelOne: Scheda tecnica della soluzione Storyline Active Response (STAR)
• CISA: #StopRansomware: Play Ransomware (AA23-352A, rivisto il 4 giugno 2025)
• CISA: #StopRansomware: Akira Ransomware (AA24-109A, ultimo aggiornamento 13 nov 2025)