• Guide, Microsoft 365, Sicurezza
• 19 Febbraio 2026

Microsoft Defender for Endpoint è una piattaforma di sicurezza degli Endpoint aziendali progettata per consentire alle reti aziendali di bloccare, rilevare, analizzare e rispondere a minacce avanzate.

MDE (Microsoft Defender for Endpoint) è utile anche in caso di Incidente Informatico perché al proprio interno contiene delle funzionalità che permette l’analisi forense e comandi utili a “bloccare” comportamenti dannosi direttamente sul nascere, ho parlato di questa funzionalità all’interno della community indicando come poter sfruttare la “Live Response” da parte degli analisti di CyberSecurity per investigazione, a tal proposito vi riporto il link qual ora voglia approfondire questa funzionalità Analizzare e rispondere alle minacce in tempo reale? Microsoft Live Response è la soluzione che stavate cercando – ICT Power

Questo strumento di casa Redmond è Leaders nel quadrante Gartner per la componente di Endpoint Protection, ciò significa che la casa di Redmond stà facendo diversi investimenti che permettono alle organizzazioni di utilizzare strumenti di protezione che applicano i più alti standard disponibili sul mercato.

Figura 1: Quadrante Gartner Endpoint Protection Platforms 2025

Oggi vorrei parlavi di una funzionalità disponibile all’interno di Microsoft Defender for Endpoint utile a “collezionare” un “pacchetto” che vi permette di eseguire un’analisi in caso di IR (Incident & Response) all’interno delle vostre organizzazioni, ovvero “Collect Investigations Package”.

Quali licenze sono necessarie per sfruttare questa funzionalità?

Come sempre per il riferimento licensing, inerenti a servizio Microsoft 365 vi rimando a Home | M365 Maps dove Aaron Dinnage ha svolto un lavoro eccezionale, per la funzionalità descritta in questo articolo sono necessarie queste due licenze o suite che le contengano:

• Defender for Business
• Defender for Endpoint Piano 2

Figura 2: Licenze Microsoft 365 E5 che contengono Defender for Endpoint P2, prerequisito indicato nella sezione licensing

Figura 3: Device utilizzato per la demo in questo articolo

Figura 4: Caratteristiche Endpoint utilizzato per la Demo

In quale caso questa funzionalità può essere utile?

Questa funzionalità permette di avere un export contente diversi documenti utili a capire, in caso di compromissione, quali strumenti e in che modo l’attaccante è riuscito ad accedere al dispositivo presente all’interno del dispositivo, inoltre risulta tutto integrato all’interno della piattaforma di Microsoft Defender.

Quindi quali informazioni ci vengono fornite da questo servizio? Vediamole insieme con relativa descrizione:

Windows Device

Dispositivi Mac e Linux

Perché i reparti di Cybersecurity dovrebbero utilizzare questo strumento e quale è il vantaggio?

Un reparto CyberSecurity (SOC) riceve un alert per un potenziale dispositivo compromesso quale è il flusso standard?

1. Analista Isola il Dispositivo
2. Verifica l’alert
3. Se compromissione è confermata
   1. Attiva il team di Incident Response per analisi forense che utilizza questa funzionalità per capire cosa effettivamente è successo

Quindi il mio caso reale verità proprio a darvi evidenza di questo scenario, che potrebbe capitare realmente.

Figura 5: Alert che l’analista riceve dalla console di Microsoft Defender for Endpoint

Figura 6: Analista cliccando sull’Incident continua l’analisi e vedo che è presente un processo sospetto

Figura 7: Analista in via precauzionale decide di procedere ad isolare il device e ingaggia il Team IR per analisi

Figura 8: Procedura di isolamento dell’Endpoint

Figura 9: Device che risulta correttamente Isolato

Ora possiamo procedere, come team di Incident Response di collezionare i file per l’analisi tramite Investigation Package

Figura 10: Device che risulta isolato e utilizzo la funzionalità di “Collect Investigation Package”

Figura 11: Il sistema mi richiede un commento per l’operazione, che verrà tracciato nei log di Audit

Figura 12: Azione in Pending presente nell’Action Center del device, ci vorrà all’incirca 10 minuti nel mio caso 12 per avere la possibilità di scaricare i file

Figura 13: Package Disponibile per il Download

Figura 14: Downlaod del package contenente dati per l’analisi forense

Figura 15: Contenuto del Package

Vi riporto il contenuto del file “Forensics Collection Summary.csv” che ha al suo interno tutte le operazioni svolte

Figura 16: Contenuto Forensics Collection Summary.csv

Tutti gli Export possono essere utilizzati dai Team di Incident Response, nel mio caso verifico i processi all’interno dell’export e trovo il processo malevolo segnalato dall’alert “Virus.exe”

Figura 17: Processo Virus.exe trovato durante l’analisi Forense

Durante l’analisi viene rilevata anche un Task Scheduler che cifra i dati

Figura 18: Task Scheduler che cifra i dati

Proseguendo con l’analisi notiamo che questo task ha cifrato il contenuto della cartella

Figura 19: File Cifrati

Ora il team, non rilevando altre anomalie, decide di fare Remediation tramite live Response e poi rimette online il device, come prima steps crea uno Script Powershell che elimina i file cifrati

Figura 20: Script Powershell che permette di eliminare i file con estensione .locked

Ora il Team acccede al device in live Response

Figura 21: Collegamento in Live Response all’Endpoint

Figura 22: Caricamento Script creato in precedenza

Figura 23: Script Eseguito con Successo

Figura 24: Recupero del PID del processo malevolo

Figura 25: Comando live response che esegue remediation per il processo malevolo

Figura 26: Remediation sulla chiave di registro Malevola

Ora vi fornisco evidenza che sia il processo che la chiave di registro che i file cifrati non sono più presenti sull’Endpoint

Figura 27: File cifrati non più presenti

Figura 28: Non presenti più il processo malevolo e il task scheduler che cifra i dati

Ora il Team di IR decide di rimuovere il device dall’isolamento avendo completato l’analisi

Figura 29: Rimozione device dall’isolamento

Figura 30: Device di nuovo online e l’utente può proseguire con il proprio lavoro

Conclusioni

L’analisi condotta tramite l’Investigation Package ha dimostrato come un approccio strutturato sia fondamentale per individuare attività malevole in modo tempestivo ed efficace. L’esame dei dati raccolti ha permesso di ricostruire il comportamento del processo sospetto, evidenziandone le anomalie rispetto al normale profilo di sistema e confermandone la natura malevola.

L’intervento di Live Response si è rivelato un elemento chiave nella fase di contenimento, consentendo di bloccare il processo in tempo reale e di interrompere l’esecuzione dell’attacco prima che potesse causare ulteriori danni o propagarsi all’interno dell’infrastruttura. Questo dimostra come la combinazione tra capacità di investigazione avanzata e azioni di risposta immediata rappresenti un valore strategico nella difesa degli endpoint. In conclusione, l’integrazione tra analisi approfondita dei dati e strumenti di risposta attiva non solo riduce il tempo di esposizione alla minaccia, ma rafforza complessivamente la postura di sicurezza, trasformando l’individuazione degli incidenti in un processo rapido, mirato e ripetibile. Un approccio di questo tipo è oggi indispensabile per affrontare scenari di attacco sempre più sofisticati e dinamici.