Cosa include ThreatDown Powered by Malwarebytes Advanced Corporate?

Console cloud Nebula – Gestione centralizzata delle politiche, distribuzione e reportistica per tutti gli endpoint.
Rilevamento e risposta sugli endpoint – Monitoraggio delle attività sospette, isolamento degli endpoint e sandbox cloud.
Ripristino in caso di ransomware – Ripristina i file crittografati o modificati fino a sette giorni prima.
Gestione delle patch – Esegue la scansione alla ricerca di vulnerabilità, quindi applica le patch ai sistemi operativi e alle applicazioni.
Ricerca gestita delle minacce – Gli analisti del fornitore segnalano gli avvisi critici fornendo indicazioni per la risoluzione.
Importante – I server e tutti gli endpoint Linux richiedono il componente aggiuntivo Server Protection.

Quali sono i principali vantaggi di ThreatDown Powered by Malwarebytes Advanced Corporate?

Advanced è il secondo dei quattro pacchetti ThreatDown, la linea aziendale lanciata da Malwarebytes nel novembre 2023 per sostituire i precedenti prodotti per endpoint Malwarebytes for Business; pertanto, gli acquirenti che cercano ancora quel nome finiranno qui. Ogni endpoint viene gestito dalla console Nebula basata su cloud, mentre i fornitori di servizi gestiti utilizzano invece la console multi-tenant OneView.

Un unico agente – Un unico agente leggero copre protezione, EDR e applicazione delle patch.
Rollback anziché reimaging – Ripristina i file crittografati senza dover ricostruire la workstation.
Applicazione delle patch senza strumenti aggiuntivi – Risolve le vulnerabilità individuate dalla scansione, da un’unica console.
Meno code di avvisi – La funzione Managed Threat Hunting inoltra solo i rilevamenti critici.
Controllo del firewall dell’host – Regole in entrata e in uscita impostate centralmente in base alle policy.
Controllo di dispositivi e applicazioni – Accesso USB e applicazioni indesiderate bloccati in base alle policy.

Perché Windows Defender da solo non basta
Spiega dove si ferma la protezione integrata in Windows e cosa aggiunge un prodotto di gestione degli endpoint oltre a ciò.

A quale dimensione aziendale è adatto ThreatDown Powered by Malwarebytes Advanced Corporate?

La versione Advanced è pensata per un piccolo team IT che non dispone di personale dedicato alla sicurezza; per questo motivo, la valutazione degli avvisi viene affidata al fornitore anziché a un analista interno. La tabella sottostante mostra quali obblighi si applicano tipicamente a ciascuna dimensione e quando questo pacchetto smette di essere sufficiente da solo.

ThreatDown Powered by Malwarebytes Advanced Corporate soddisfa i requisiti della legislazione svizzera in materia di sicurezza informatica?

La legge sulla sicurezza dell’informazione, nella sua versione aggiornata, obbliga i gestori di infrastrutture critiche a segnalare gli attacchi informatici all’Ufficio federale per la sicurezza informatica (BACS) entro 24 ore dalla loro scoperta, il che significa che la maggior parte delle aziende al di fuori dei settori designati non è affatto soggetta a tale obbligo. Per un’azienda che rientra nell’ambito di applicazione, la questione pratica è se sia in grado di rilevare un incidente e descriverlo accuratamente entro tale lasso di tempo. Advanced supporta proprio questa parte: il monitoraggio delle attività sospette e la mappatura MITRE ATT&CK definiscono l’incidente, l’isolamento degli endpoint lo limita mentre si redige il rapporto e la console Nebula esporta un registro con data e ora di ciò che è stato rilevato e di come l’agente ha reagito. Ciò che non fa è monitorare il vostro ambiente al posto vostro, poiché il monitoraggio 24 ore su 24, 7 giorni su 7, è disponibile solo a partire dal pacchetto Elite e non rileva affatto i vostri server o le macchine Linux a meno che non venga acquistato il componente aggiuntivo Server Protection, che è proprio dove solitamente ha inizio un incidente. Inoltre, Nebula conserva i dati di rilevamento solo per un periodo limitato; pertanto, se dovete produrre prove mesi dopo, l’esportazione dei syslog o dei dati SIEM deve essere configurata in anticipo anziché a posteriori. Quanto sopra descrive le funzionalità del prodotto e non costituisce consulenza legale; per chiarire se la vostra organizzazione sia soggetta all’obbligo di segnalazione, dovrete rivolgervi al vostro consulente legale.

ThreatDown Powered by Malwarebytes Advanced Corporate soddisfa i requisiti della legislazione europea in materia di sicurezza informatica?

Nessun prodotto software rende un’azienda conforme alla direttiva NIS 2, poiché la conformità viene valutata in base alla vostra organizzazione e ai suoi processi piuttosto che in base alla licenza in vostro possesso. La direttiva NIS 2 richiede alle entità dei settori interessati di attuare misure di gestione del rischio in materia di gestione degli incidenti, continuità operativa, sicurezza della catena di approvvigionamento, gestione e divulgazione delle vulnerabilità, igiene informatica di base e formazione del personale, controllo degli accessi e politiche sull’uso della crittografia. Advanced contribuisce direttamente a tre di questi aspetti: la gestione degli incidenti tramite il rilevamento EDR, l’isolamento degli endpoint e la correzione automatizzata; la gestione delle vulnerabilità tramite scansioni programmate con valutazioni di gravità CVSS seguite dall’applicazione di patch ai sistemi operativi e alle applicazioni di terze parti; e la “cyberigiene” tramite regole del firewall host gestite centralmente, il blocco delle applicazioni e il controllo dei dispositivi USB. Non contribuisce in alcun modo alla valutazione della catena di fornitura, al controllo degli accessi e all’autenticazione a più fattori, alla formazione del personale o alla documentazione di governance che un revisore chiederà di visionare; inoltre, la copertura della posta elettronica e delle identità costituisce un’estensione separata piuttosto che una componente del pacchetto. La continuità operativa è l’aspetto più spesso frainteso in questo contesto: il rollback da ransomware di sette giorni ripristina i file su un endpoint protetto, ma non è un backup e non lo sostituisce.

ThreatDown Powered by Malwarebytes Advanced Corporate è d'aiuto per i questionari di sicurezza dei grandi clienti?

Sì, per la sezione dedicata agli endpoint, e risponde bene a tale sezione. È possibile dimostrare la protezione dal malware su ogni dispositivo gestito, una funzionalità EDR specifica con azioni di isolamento e risposta, una cadenza di patch documentata che copre i sistemi operativi e le applicazioni di terze parti, il controllo dei supporti rimovibili, elenchi di applicazioni consentite e negate, una politica di firewall host gestita centralmente e l’esportazione dei log verso un SIEM in formato CEF. Dal punto di vista del fornitore, Malwarebytes pubblica una certificazione ISO 27001 per il proprio sistema di gestione della sicurezza delle informazioni e mette a disposizione, previa firma di un accordo di riservatezza (NDA), un rapporto SOC 2 che copre le domande relative alla garanzia del fornitore, incentrate sul produttore piuttosto che sull’utente. Gli aspetti su cui non fornisce risposte sono altrettanto specifici: autenticazione a più fattori e gestione delle identità, filtraggio delle e-mail, backup e ripristino di emergenza, classificazione dei dati, crittografia di server e dispositivi macOS, test di penetrazione, monitoraggio 24 ore su 24, 7 giorni su 7, e qualsiasi domanda che richieda una piattaforma di gestione on-premise o in modalità air-gap, poiché Nebula è esclusivamente cloud. La conservazione prolungata dei log rappresenta, nel migliore dei casi, una risposta parziale, poiché la conservazione nativa di Nebula è limitata e qualsiasi esigenza oltre tale limite dipende dal proprio SIEM. Per colmare le lacune, passare al piano Elite all’interno della stessa famiglia è normalmente più economico e semplice che integrare l’MDR di un secondo fornitore nel piano Advanced; inoltre, Server Protection, Mobile Security, Email Security e ITDR sono tutti disponibili come componenti aggiuntivi nella stessa console; il backup e l’autenticazione a più fattori, tuttavia, dovranno provenire da altre fonti.

Qual è la differenza tra ThreatDown Core e ThreatDown Advanced?

La differenza fondamentale riguarda l’applicazione delle patch: Core esegue la scansione alla ricerca di vulnerabilità ma non può installare gli aggiornamenti, quindi i risultati finiscono nell’elenco delle attività da svolgere di qualcuno invece di essere risolti automaticamente. Advanced aggiunge la gestione delle patch a quella stessa scansione, insieme al ripristino in caso di ransomware e alla ricerca gestita delle minacce (Managed Threat Hunting); ecco perché il fornitore commercializza i livelli come Core Next-Gen AV, Advanced EDR ed Elite MDR. Il passaggio da Advanced a Elite offre una sola cosa: analisti che monitorano la console 24 ore su 24 al posto del proprio team. La copertura per server e dispositivi mobili è esclusa da tutto questo e viene fatturata come componente aggiuntivo in ogni livello, quindi non influisce mai sulla scelta del livello.

I migliori programmi antivirus per Windows 2025
Confronta i livelli di protezione disponibili per Windows e ti aiuta a valutare quale sia effettivamente necessario per il tuo ambiente.

Quali limitazioni dovresti conoscere prima dell’acquisto?

La sorpresa più costosa riguarda l’ambito di copertura: i server non sono inclusi nel pacchetto e, poiché Nebula considera ogni macchina Linux come un server, anche un singolo computer Linux attiva il componente aggiuntivo Server Protection. La posizione dei dati è importante per gli acquirenti svizzeri ed europei: esiste un data center europeo per Nebula, ma il fornitore ne limita l’uso agli account creati dopo il 3 agosto 2026, quindi la maggior parte degli account esistenti opera nel data center standard ed è necessario verificare quale sia quello applicabile prima di firmare qualsiasi contratto contenente una clausola sulla residenza dei dati. La piattaforma di gestione è esclusivamente cloud in entrambi i casi, senza opzioni on-premise o air-gapped, il che esclude il prodotto laddove un questionario richieda strumenti di sicurezza ospitati localmente. Anche la copertura della piattaforma è disomogenea a un esame più approfondito: Application Block funziona solo su Windows e non su macOS; le installazioni di Windows Server Core e le VDI non persistenti non sono supportate; inoltre, la crittografia delle unità gestita centralmente impone l’uso di BitLocker sulle workstation Windows, lasciando che macOS e i server vengano crittografati in altro modo. Infine, considerate il rollback da ransomware entro sette giorni come una misura di contenimento dei danni piuttosto che come una strategia di ripristino, e pianificate in anticipo le esclusioni per Exchange, SQL Server e i ruoli dei controller di dominio, per i quali il fornitore indica che sono necessarie.

La perdita di dati è costosa: in che modo i backup aiutano a evitare interruzioni
Spiega perché il ripristino dei file su un endpoint non equivale a un backup e quali sono gli elementi necessari per un piano di ripristino efficace.

Domande frequenti su ThreatDown con tecnologia Malwarebytes Advanced Corporate

Quali sistemi operativi supporta l’agente endpoint?

L’agente funziona su Windows 11 e Windows 10, compreso Windows 11 su processori ARM tramite un programma di installazione separato, e su macOS con processori sia Intel che Apple Silicon. È supportato anche Linux, ma ogni endpoint Linux viene considerato come un server e richiede quindi il componente aggiuntivo Server Protection. I dispositivi Chromebook, Android, iOS e iPadOS sono coperti solo tramite il componente aggiuntivo Mobile Security.

Per quanto tempo vengono conservati i dati di rilevamento nella console?

I risultati delle scansioni delle vulnerabilità vengono archiviati e visualizzati per un massimo di 90 giorni su tutti gli endpoint, mentre i dati relativi ai rilevamenti e alle attività sospette vengono conservati in modo nativo solo per un periodo limitato. Se è necessaria una conservazione più lunga a fini di audit o come prova, gli eventi possono essere inoltrati in formato CEF a un server syslog o inviati a un SIEM come Microsoft Sentinel o Google Security Operations, che deve essere configurato prima di aver bisogno dei registri piuttosto che in seguito.

Come viene distribuito il software su una rete esistente?

L’implementazione utilizza un unico programma di installazione MSI che può essere eseguito manualmente, distribuito in modo silenzioso tramite riga di comando o tramite Microsoft Intune, SCCM, Criteri di gruppo o uno strumento RMM come Datto o SolarWinds. È inoltre disponibile uno strumento integrato di rilevamento e distribuzione per individuare i dispositivi non gestiti presenti sulla rete. Ogni agente appena installato esegue automaticamente una scansione e invia i risultati alla console entro circa 30 minuti.