Microsoft Defender isola i PC da solo: rivoluzione o rischio?

Microsoft Defender potrà isolare da solo un PC sospetto, senza chiedere il permesso a nessuno. È la promessa della nuova funzione di isolamento automatico: meno secondi tra l'attacco e la reazione, più sicurezza per l'intera rete. Eppure, sotto l'annuncio, i commenti degli utenti raccontano un'altra storia — fatta di dubbi, timori e una domanda scomoda sulla fiducia.

Quando Microsoft presenta una novità di sicurezza, di solito il dibattito si concentra sulle capacità tecniche. Questa volta no. A tenere banco non è se la tecnologia funzioni, ma quanto controllo gli amministratori siano davvero disposti a cedere a un algoritmo.

Cosa cambia con l'isolamento automatico di Microsoft Defender

La funzione, attualmente in anteprima (preview), fa parte dell'Automatic Attack Disruption di Microsoft Defender for Endpoint. Quando la piattaforma individua con alta affidabilità una macchina compromessa — ad esempio durante un attacco ransomware in corso — la scollega automaticamente dalla rete per fermare la propagazione e bloccare il movimento laterale dell'attaccante.

Un dettaglio importante: il dispositivo isolato resta comunque collegato ai servizi Defender, così il team di sicurezza continua a monitorarlo e a ricevere telemetria. L'isolamento è inoltre a tempo e circoscritto all'incidente, e gli operatori del SOC possono revocarlo in qualsiasi momento dopo le verifiche.

Sulla carta sembra una scelta logica. Nella pratica, molti professionisti IT vedono anche l'altra faccia della medaglia.

Il vero nodo: i falsi positivi

Tra i commenti emerge una preoccupazione precisa: cosa succede se il sistema sbaglia?

Nel mondo della cybersecurity un falso positivo è molto più di una notifica errata. Se a venire isolato è il PC di un ufficio amministrativo, di una reception o di una linea produttiva, l'impatto è immediato: attività perfettamente lecite si fermano, con perdite di tempo e costi non previsti.

Non è teoria. È già successo che la propagazione automatica dei controlli di contenimento facesse scattare un'escalation d'emergenza: gli analisti, non sapendo che l'azione era automatica, hanno temuto un attacco in piena espansione. Alcuni ricercatori avvertono inoltre che, se mal configurato, lo strumento può diventare esso stesso un vettore d'attacco.

Quando l'intelligenza artificiale prende il volante

Negli ultimi anni Microsoft, Google e altri grandi player hanno investito pesantemente nell'automazione della sicurezza. La logica è semplice: gli attacchi sono troppo veloci perché un essere umano riesca sempre a intervenire in tempo.

Ma c'è una soglia psicologica. Una cosa è un software che segnala un problema; un'altra è un software che prende decisioni operative autonome. Molti amministratori preferiscono ricevere l'allarme e decidere di persona, piuttosto che trovarsi una macchina staccata dalla rete da un algoritmo.

Una questione di fiducia, non solo di tecnologia

I commenti raccolti sotto l'annuncio mostrano un fenomeno interessante: la discussione non riguarda quasi mai l'efficacia tecnica della soluzione, ma il livello di fiducia che gli utenti sono disposti a concedere.

Dopo anni di aggiornamenti problematici, blocchi imprevisti e falsi allarmi nel settore IT, una parte della community chiede una cosa chiara: più controllo umano e meno automatismi non revocabili.

Il paradosso della sicurezza moderna

Qui sta il cortocircuito. Per difendersi da attacchi sempre più rapidi servono sistemi capaci di reagire in autonomia. Ma ogni automatismo introduce il rischio di una decisione sbagliata presa senza supervisione umana.

La domanda quindi non è se queste tecnologie funzioneranno.

Siamo pronti ad affidare a un'intelligenza artificiale il potere di scollegare un computer dalla rete senza chiedere il permesso a nessuno?

Il consiglio del giorno

Domande frequenti

Cosa fa l'isolamento automatico di Microsoft Defender?

Scollega in autonomia dalla rete un dispositivo sospettato di essere compromesso, per fermare la diffusione di un attacco, mantenendo però la connessione ai servizi Defender per il monitoraggio.

Quali dispositivi possono essere isolati automaticamente?

Per ora solo le workstation degli utenti finali gestite e onboarded in Defender for Endpoint. Non sono inclusi i server né i dispositivi non gestiti.

L'isolamento automatico può generare falsi positivi?

Sì, è il timore principale degli amministratori. Per questo Microsoft prevede esclusioni configurabili e un isolamento a tempo, revocabile dal team di sicurezza.

Si può revocare l'isolamento?

Sì. Gli operatori del SOC possono rilasciare l'isolamento in qualsiasi momento dopo aver completato le verifiche del caso.

Serve una licenza specifica?

Sì: almeno Microsoft Defender for Endpoint Plan 2, all'interno della suite Defender XDR.