EDR o antivirus? Differenze e scelta giusta per la tua PMI

Un antivirus blocca i file malevoli che riconosce. Un EDR (Endpoint Detection and Response) osserva in continuo cosa succede su PC, server e dispositivi, riconosce i comportamenti sospetti anche quando il file è sconosciuto e permette di isolare la macchina, ricostruire l’attacco e rispondere. La differenza vera sta qui: l’antivirus risponde alla domanda “questo file è noto come pericoloso?”, l’EDR alla domanda “cosa sta facendo questo dispositivo, e perché?”. Per una PMI che oggi è un bersaglio concreto del ransomware, la scelta non è tra uno e l’altro, ma su quanta visibilità e capacità di risposta servono, e su chi le gestisce.

TL;DR

• L’antivirus previene: confronta file e processi con minacce conosciute e li blocca prima che si eseguano. È la base, non il punto di arrivo.
• L’EDR rileva e risponde: registra l’attività degli endpoint, individua comportamenti anomali (anche di attacchi mai visti) e consente di isolare un PC, fermare un processo, ricostruire la catena dell’attacco.
• L’XDR estende l’EDR oltre l’endpoint: e-mail, identità, rete, cloud. Serve quando l’attacco si muove tra più superfici.
• Senza qualcuno che legge gli allarmi, l’EDR rende poco: se non avete un SOC interno, un servizio gestito (MDR) trasforma la tecnologia in protezione reale.
• NIS2 e ACN chiedono protezione endpoint su tutti gli asset, integrata con procedure di risposta agli incidenti: la tecnologia da sola non basta.

Indice

• Cosa fa davvero un antivirus
• Cosa fa un EDR, in pratica
• Antivirus ed EDR a confronto
• Un esempio: lo stesso attacco visto da due strumenti
• XDR ed EDR: dove finisce l’uno e inizia l’altro
• Cosa chiedono NIS2 e l’ACN
• Come scegliere: sei criteri per una PMI
• Il nostro punto di vista
• Come vi accompagniamo
• Domande frequenti
• Fonti

Cosa fa davvero un antivirus

L’antivirus tradizionale nasce per un compito preciso: impedire che un file malevolo conosciuto venga eseguito. Funziona principalmente per firme, cioè impronte digitali di malware già catalogato, affiancate nelle versioni più recenti da euristiche e da qualche analisi comportamentale di base. Le soluzioni più evolute di questa famiglia vengono chiamate EPP (Endpoint Protection Platform): stessa logica, prevenzione all’ingresso, con più strati di controllo.

I punti di forza sono chiari:

• Costo e semplicità: si installa, si aggiorna, lavora in autonomia.
• Efficacia sulle minacce comuni: virus, worm, trojan diffusi, allegati malevoli già noti.
• Basso carico operativo: non richiede un analista che interpreti i dati.

Il limite è strutturale. L’antivirus decide in un istante, file per file: blocca o lascia passare. Se l’attaccante usa strumenti legittimi già presenti nel sistema (PowerShell, strumenti di amministrazione remota, credenziali rubate), non c’è nessun file “cattivo” da riconoscere. E quando qualcosa passa, l’antivirus non vi dice da dove è entrato, cosa ha toccato e dove si trova adesso. Vi mostra al massimo un elenco di file bloccati.

È il motivo per cui molti attacchi ransomware moderni non iniziano con il ransomware: iniziano con un accesso, un movimento laterale silenzioso, l’esfiltrazione dei dati. La cifratura arriva per ultima, quando il danno è già fatto.

Cosa fa un EDR, in pratica

Un EDR installa un agente su ogni endpoint che raccoglie telemetria continua: processi avviati, connessioni di rete, modifiche al registro, accessi ai file, comandi eseguiti. Questi dati vengono analizzati, spesso con modelli di analisi comportamentale, per individuare sequenze sospette anche quando nessun singolo evento è di per sé malevolo.

Le capacità tipiche si dividono in tre blocchi.

Rilevamento

L’EDR riconosce schemi di comportamento: un documento Word che lancia uno script, un utente amministrativo che alle tre di notte cifra centinaia di file, un processo che tenta di disattivare i backup. Non serve che il malware sia già catalogato.

Indagine

Ogni allarme è collegato alla sua storia: da quale e-mail è partito, quale processo ha generato quale altro, su quali macchine si è propagato. È ciò che permette di capire cosa è successo prima, durante e dopo il rilevamento, invece di sapere solo che un file è stato messo in quarantena.

Risposta

Dalla console si può isolare un PC dalla rete mantenendo il collegamento con l’EDR, terminare processi, eliminare file, in molti casi annullare modifiche. Alcune azioni possono essere automatizzate: se un endpoint mostra un comportamento da ransomware, viene isolato in pochi secondi, senza attendere l’intervento umano.

Il rovescio della medaglia è operativo: un EDR produce molti avvisi, e qualcuno deve leggerli, distinguere i falsi positivi e decidere. Per questo, come vedremo, la domanda “EDR sì o no” va sempre accompagnata da “chi lo gestisce”.

Antivirus ed EDR a confronto

Una precisione utile: la maggior parte degli EDR attuali include anche le funzioni di prevenzione dell’antivirus. Nella pratica, quindi, “passare all’EDR” significa aggiungere rilevamento e risposta sopra la prevenzione, non togliere qualcosa.

Un esempio: lo stesso attacco visto da due strumenti

Prendiamo uno scenario tipico, costruito a scopo illustrativo, in una PMI manifatturiera con 60 postazioni e due server.

1. Lunedì, ore 9:40. Un impiegato dell’ufficio acquisti apre una fattura in PDF ricevuta da un indirizzo che sembra quello di un fornitore. Il link scarica uno script.
2. Lunedì, ore 9:41. Lo script usa strumenti nativi di Windows per scaricare un programma di accesso remoto legittimo.
3. Martedì e mercoledì. L’attaccante raccoglie credenziali, si sposta verso il server del gestionale e copia all’esterno i dati di clienti e commesse.
4. Venerdì, ore 23:00. Parte la cifratura dei file condivisi e dei backup raggiungibili dalla rete.

Con il solo antivirus, è possibile che nessuno dei primi tre passaggi generi un allarme: nessun file corrisponde a una firma nota. Il problema emerge il lunedì successivo, quando i file non si aprono più.

Con un EDR monitorato, il passaggio 2 (un PDF che genera uno script che scarica uno strumento di accesso remoto) è un comportamento classico da segnalare. Il PC può essere isolato già lunedì mattina, l’analista vede da quale e-mail è partito tutto e verifica se altre caselle l’hanno ricevuta. Il danno resta confinato a una postazione.

La differenza non sta nella qualità del blocco, ma nel tempo: l’EDR accorcia il periodo in cui l’attaccante agisce senza essere visto. Ed è proprio in quei giorni di silenzio che si decide l’esito di un attacco.

XDR ed EDR: dove finisce l’uno e inizia l’altro

È la domanda che segue subito, ed è anche la più cercata. L’EDR guarda gli endpoint. L’XDR (Extended Detection and Response) monitora gli endpoint insieme ad altri asset, come uffici remoti, dispositivi IoT, e in genere posta elettronica, identità, rete e ambienti cloud, correlando i segnali provenienti da tutte queste fonti.

In concreto:

• L’EDR vede che su un PC un processo sospetto si è connesso a un server esterno.
• L’XDR collega quell’evento all’e-mail di phishing ricevuta poco prima, all’accesso anomalo dello stesso utente al cloud aziendale e al traffico insolito sul firewall, presentando un unico incidente invece di quattro allarmi separati.

Molte piattaforme XDR sono costruite proprio sulle fondamenta di un EDR: non sono strumenti concorrenti, ma livelli successivi della stessa scala di maturità. Se volete approfondire come valutarle, abbiamo raccolto i criteri nella nostra review delle piattaforme XDR aziendali in 7 criteri, mentre il confronto con il SIEM, lo strumento che centralizza e analizza i log, è nel nostro articolo su SIEM e XDR a confronto.

E l’MDR?

Antivirus, EDR e XDR sono tecnologie. L’MDR (Managed Detection and Response) è un servizio: un team esterno che monitora EDR o XDR 24 ore su 24, analizza gli allarmi e interviene. Come sottolinea TechTarget, sia i sistemi EDR sia quelli XDR possono essere gestiti da un fornitore esterno: per un’azienda senza un Security Operations Center interno è spesso l’unico modo per sfruttare davvero la telemetria raccolta.

Cosa chiedono NIS2 e l’ACN

La scelta non è solo tecnica. Per le aziende che rientrano nel perimetro NIS2, e come buona pratica per tutte le altre, l’Agenzia per la Cybersicurezza Nazionale indica di garantire l’installazione e l’aggiornamento di una soluzione di sicurezza endpoint su tutti gli asset, cioè PC, server e smartphone, citando esempi come antivirus, antimalware, UTM e firewall di nuova generazione. Nello stesso documento la protezione tecnica è affiancata da misure organizzative e procedure di risposta agli incidenti.

Tradotto: la norma non vi obbliga a comprare un EDR, ma vi chiede di saper rilevare e gestire un incidente. Con il solo antivirus, dimostrare di avere visibilità su cosa è accaduto durante un attacco è molto difficile. Con un EDR, i dati per ricostruire l’evento ci sono. Se state valutando gli obblighi della vostra azienda, partite dalla nostra guida su cosa prevede la NIS2 e da quella operativa sull’adeguamento NIS2 per le PMI.

C’è poi un dato che ridimensiona l’idea che “tanto attaccano solo i grandi”. Secondo l’Operational Summary dell’ACN sul primo semestre 2025, il 95% degli attacchi ransomware ha colpito soggetti a minor criticità, mentre solo il 5% ha riguardato soggetti con obblighi NIS. Il bersaglio prevalente è proprio il tessuto di aziende che non si considerano obiettivi rilevanti.

Allo stesso tempo, l’ACN ricorda che la proporzionalità conta: il Direttore Generale Bruno Frattasi, nell’intervista al Sole 24 Ore, osserva che “non si può chiedere ad un piccolo comune gli stessi standard di Bankitalia”. Nella stessa intervista ribadisce che pagare un riscatto è controproducente e che la difesa passa anche dalla denuncia e dalla cultura della sicurezza. Il principio vale per le imprese: il livello di protezione va calibrato sull’analisi del rischio, non sull’ultima tecnologia disponibile.

Come scegliere: sei criteri per una PMI

Non esiste una risposta valida per tutti. Esiste però un metodo per arrivarci.

1. Mappate cosa dovete proteggere. Quanti endpoint, quali server, quali sistemi critici (gestionale, MES, macchine connesse, posta). Un’azienda con 15 PC in ufficio e un’azienda con una linea produttiva interconnessa hanno esigenze diverse. Un assessment di cybersecurity è il punto di partenza più solido.
2. Valutate l’impatto di un fermo. Se un giorno di blocco del gestionale o della produzione costa più di un anno di licenze e servizio, l’antivirus da solo è una scommessa.
3. Chiedetevi chi leggerà gli allarmi. Con un IT interno di una o due persone, un EDR non gestito rischia di diventare un generatore di notifiche ignorate. In quel caso conviene un EDR con servizio MDR.
4. Verificate gli obblighi normativi. Rientrate nel perimetro NIS2? Siete fornitori di soggetti NIS2 che vi chiederanno garanzie? La capacità di rilevare e documentare un incidente diventa un requisito di fatto.
5. Considerate le altre superfici. Se le minacce principali passano da e-mail, account cloud e accessi remoti, ragionate già in ottica XDR, o almeno in un EDR integrabile con le altre fonti. I log vanno conservati e organizzati: lo spieghiamo nella guida al log management per la NIS2.
6. Non dimenticate il piano B. Nessuno strumento di rilevamento sostituisce un backup isolato e testato. La regola di riferimento è nella nostra guida al backup 3-2-1 in azienda.

In sintesi, l’antivirus (meglio se di classe EPP) resta adeguato per realtà molto piccole, con pochi dispositivi, nessun sistema critico e dati di valore limitato. Per una PMI con produzione, dati di clienti e fornitori, accessi remoti e obblighi verso la filiera, l’EDR monitorato è oggi il livello di partenza ragionevole, con l’XDR come evoluzione naturale quando l’infrastruttura cresce.

Il nostro punto di vista

Nel nostro lavoro con le PMI italiane, soprattutto manifatturiere, vediamo spesso lo stesso schema: si acquista uno strumento, lo si installa, e ci si sente protetti. Poi arriva il primo incidente e si scopre che nessuno aveva definito chi deve fare cosa, in quale ordine, con quali priorità.

Per noi la domanda “EDR o antivirus” è legittima ma incompleta. La tecnologia di rilevamento deve entrare in un disegno più ampio: analisi del rischio, procedure di risposta, backup, formazione delle persone, conformità a GDPR, ISO 27001 e NIS2. Un EDR senza procedure resta un investimento a metà. Un antivirus ben gestito, dentro un processo chiaro e con backup affidabili, a volte protegge meglio di uno strumento avanzato lasciato a sé stesso.

In fabbrica c’è anche un tema specifico: macchine, PLC e sistemi di produzione connessi allargano la superficie di attacco ben oltre i PC dell’ufficio. Chi digitalizza la produzione deve progettare la sicurezza insieme alla digitalizzazione, non dopo. Il vero bivio non è tra uno strumento e un altro, ma tra un’innovazione subita e una guidata con consapevolezza. Noi scegliamo la seconda.

— Ufficio

Come vi accompagniamo

Ingenia supporta le PMI con servizi di cybersecurity e sicurezza informatica per aziende: audit, adeguamento a NIS2, ISO 27001 e GDPR, protezione dei dati, con un approccio integrato con la digitalizzazione dei processi produttivi e gestionali. Se state decidendo tra antivirus, EDR o un livello superiore, partiamo dalla vostra infrastruttura reale per definire la protezione proporzionata al vostro rischio. Per le aziende del territorio, abbiamo raccolto indicazioni pratiche anche sulla consulenza NIS2 in Campania.

Domande frequenti

Cosa sono gli EDR?

Gli EDR (Endpoint Detection and Response) sono soluzioni di sicurezza che monitorano in continuo l’attività di PC, server e dispositivi mobili. Rilevano comportamenti sospetti anche di minacce sconosciute, permettono di indagare sull’origine di un attacco e di rispondere isolando il dispositivo o bloccando i processi. Di solito includono anche le funzioni di prevenzione di un antivirus.

L’EDR sostituisce l’antivirus?

Nella maggior parte dei casi sì, perché gli EDR moderni integrano già la componente di prevenzione. Non è però un semplice cambio di prodotto: l’EDR aggiunge rilevamento e risposta, che richiedono qualcuno in grado di gestire gli allarmi. Senza questa parte, il vantaggio si riduce molto.

Qual è la differenza tra XDR ed EDR?

L’EDR protegge e osserva gli endpoint. L’XDR estende la stessa logica ad altre fonti, come e-mail, identità, rete e cloud, e correla i segnali per riconoscere attacchi che si spostano tra più sistemi. Molte piattaforme XDR nascono proprio da un EDR come componente centrale.

Un antivirus basta per essere conformi alla NIS2?

L’ACN indica tra le misure una soluzione di sicurezza endpoint aggiornata su tutti gli asset, e l’antivirus rientra tra gli esempi citati. La NIS2 però chiede anche capacità di gestione e notifica degli incidenti, che con il solo antivirus sono difficili da dimostrare. La valutazione va fatta sul vostro caso, partendo da un’analisi del rischio.

Serve un SOC interno per usare un EDR?

No. Per una PMI è spesso più sostenibile affidarsi a un servizio MDR, cioè un team esterno che monitora l’EDR 24 ore su 24 e interviene in caso di incidente. Quello che serve internamente è un referente e una procedura chiara di risposta.

Fonti

• TechTarget: EDR vs. XDR vs. MDR, differenze e vantaggi
• ACN: indicazioni di sicurezza per professionisti IT
• ACN: Operational Summary, primo semestre 2025
• ACN: intervista del Direttore Generale Bruno Frattasi al Sole 24 Ore

Raccomandati

• Cybersecurity PMI | Adeguamento NIS2, ISO 27001 e Protezione Dati
• SIEM vs XDR: quale si adatta alla tua azienda?