Sicurezza del browser contro sicurezza degli endpoint: il ruolo di ciascuna nelle architetture moderne
- La sicurezza del browser e quella degli endpoint proteggono diverse fasi della catena di attacco.
- MITRE ATT&CK descrive insiemi distinti di tecniche per ciascun livello. Drive-by Compromise (T1189), Credenziali dai browser web (T1555).
- Nessuno dei due livelli, da solo, copre l'intera funzione “Protezione” del NIST CSF 2.0.
- Gli autori delle minacce stanno cambiando obiettivo. Gli attacchi zero-day basati sui browser sono scesi da 17 a 11 tra il 2023 e il 2024, ma sono stati rubati.
- La scelta concreta non riguarda «quale dei due», bensì «come si integrano».
- L'adozione dei controlli a livello di browser sta accelerando. Gartner prevede che un'organizzazione su quattro implementerà soluzioni aziendali sicure.
La sicurezza del browser e quella degli endpoint non sono livelli in competizione tra loro, bensì controlli complementari che intercettano minacce diverse in punti diversi della catena di attacco. Un exploit zero-day diffuso tramite un sito di notizie di settore compromesso aggira completamente l’antivirus per endpoint basato su firme, ma remote browser isolation (RBI) impedisce al codice dannoso di raggiungere il sistema operativo. Al contrario, se un dipendente scarica un programma di installazione infettato da un trojan tramite una chiavetta USB personale, il rilevamento e la risposta sugli endpoint (EDR) costituiscono il livello che intercetta il payload una volta che questo è stato scaricato. Gli architetti di sicurezza che progettano soluzioni incentrate su uno solo di questi livelli lasciano lacune prevedibili che gli aggressori sfruttano sistematicamente.
Cosa comprende effettivamente la sicurezza del browser
La sicurezza del browser comprende controlli che operano all’interno, intorno o a monte della sessione del browser web: remote browser isolation, gateway web sicuri, DLP in linea, applicazione tramite proxy CASB, filtraggio degli URL e restrizioni basate su criteri relative alle operazioni di copia/incolla, caricamento, download e stampa all’interno delle sessioni del browser.
Il modello di minaccia in questo caso è la sessione del browser stessa. Si consideri il seguente scenario: un responsabile degli acquisti presso un’azienda manifatturiera visita il portale di un fornitore di componenti che è stato compromesso tramite un’iniezione di JavaScript — un classico esempio di “watering hole”. Il sito web utilizzato dall’autore dell’attacco è spesso frequentato da una comunità specifica, come quella di un determinato settore industriale, dove l’obiettivo è compromettere gli utenti sulla base di un interesse condiviso — un modello che MITRE ATT&CK classifica come «compromissione web strategica» sotto il codice T1189. Lo script iniettato sonda silenziosamente il browser alla ricerca di versioni vulnerabili e, se ne individua una, ne consente l’esecuzione.
Con l'RBI attivo, l'intera sequenza viene eseguita all'interno di un container isolato nel cloud. Il codice JavaScript dannoso viene eseguito, ma mai sul computer effettivo dell'utente: viene eseguito in modo innocuo in una sessione temporanea. L'endpoint non vede mai il payload.
La sicurezza del browser affronta anche il problema dell’esfiltrazione dei dati durante la sessione. Si immagini un collaboratore esterno che apra una dashboard di Salesforce tramite un browser su un laptop personale non gestito, selezioni un elenco di clienti aziendali e tenti di incollare i dati in un chatbot basato sull’intelligenza artificiale in un’altra scheda. Il sistema DLP a livello di browser ispeziona tale evento degli appunti in tempo reale e blocca l’operazione di incollaggio prima che i dati escano dall’applicazione aziendale.
Questa categoria di accesso iniziale basato sul browser è particolarmente preoccupante poiché è stato osservato che 41 gruppi di minacce e famiglie di malware noti utilizzano la tecnica del “drive-by compromise” (T1189) in ambiente reale, rendendola uno dei metodi di accesso iniziale più diffusi identificati nel modello MITRE ATT&CK.
Cosa comprende effettivamente la sicurezza degli endpoint
La sicurezza degli endpoint comprende l’EDR, l’antivirus di nuova generazione (NGAV), i firewall basati su host, la valutazione dello stato di sicurezza dei dispositivi, la crittografia del disco, il controllo delle applicazioni e il rilevamento delle minacce a livello di sistema operativo. Questi controlli operano sul dispositivo dopo che i contenuti sono già stati ricevuti: ispezionano i processi, i file, le modifiche al registro di sistema, le operazioni di memoria e le connessioni di rete provenienti dall’endpoint.
Il framework MITRE ATT&CK descrive un ampio insieme di tecniche applicabili agli endpoint dopo l’esecuzione. L’iniezione di processi (T1055) rimane una delle tecniche più diffuse osservate nell’analisi del malware, insieme all’elusione delle difese e alla persistenza, che costituiscono le tattiche predominanti. La compromissione delle difese (T1562) — utilizzata per disabilitare gli antivirus, cancellare i log e terminare gli agenti EDR — si colloca costantemente tra le tecniche più osservate negli ultimi anni.
È proprio in questi casi che la sicurezza degli endpoint dimostra la propria utilità: un analista finanziario di una banca scarica quello che sembra essere un modello Excel dal link di condivisione file inviato da un collega. Il file contiene in realtà una macro che inserisce una DLL nella directory temporanea dell’utente e tenta l’iniezione di processo. Il browser non aveva motivo di bloccare il download, poiché proveniva da un dominio di archiviazione cloud autorizzato. Tuttavia, l’EDR rileva il processo figlio sospetto generato da Excel, segnala la DLL non firmata e mette in quarantena il payload prima che possa stabilire la persistenza.
La sicurezza degli endpoint rileva anche il furto di credenziali successivo alla compromissione. Secondo la classificazione MITRE ATT&CK relativa alle “Credenziali dai browser web” (T1555.003), gli aggressori acquisiscono le credenziali dai browser web leggendo file specifici del browser: i browser web, infatti, salvano comunemente credenziali quali nomi utente e password, in modo che non sia necessario inserirle manualmente. Una volta che il malware ha ottenuto l’accesso all’endpoint, prende di mira direttamente gli archivi delle credenziali del browser. L’EDR è il livello che individua un processo estraneo al browser intento a leggere il database SQLite dei dati di accesso di Chrome alle 2 del mattino e genera l’allerta.
Differenze principali: sicurezza del browser vs sicurezza degli endpoint
La distinzione non riguarda quale sia il "migliore", bensì in quale punto della catena di attacco ciascun livello intercetta le minacce, quali dati telemetrici genera e quali tecniche MITRE ATT&CK è in grado di mitigare.
Quando la sicurezza del browser rileva ciò che sfugge alla sicurezza degli endpoint
Il caso più evidente è quello delle vulnerabilità zero-day diffuse tramite un sito web legittimo. Il Threat Intelligence Group di Google ha rilevato 75 vulnerabilità zero-day sfruttate in ambiente reale nel 2024, e gli attacchi basati sui browser sono scesi da 17 nel 2023 a 11 nel 2024 (GTIG, aprile 2025). Il calo delle vulnerabilità zero-day nei browser non significa che il rischio sia scomparso, ma che gli autori degli attacchi siano più selettivi, riservando gli exploit dei browser a obiettivi di alto valore.
Immaginate uno studio legale i cui avvocati visitino regolarmente un sito web dedicato alla normativa di un settore di nicchia. Un malintenzionato compromette tale sito e inietta un exploit zero-day mirato a una vulnerabilità del motore di rendering Chromium per la quale non esiste ancora alcuna patch. L’antivirus installato sugli endpoint dello studio non dispone di alcuna firma. Il suo motore comportamentale EDR potrebbe eventualmente rilevare l’attività successiva all’exploit, ma solo dopo che l’exploit avrà già ottenuto l’esecuzione del codice e avrà iniziato a consolidare la propria presenza nel sistema.
Grazie all’isolamento del browser, l’exploit viene eseguito in un contenitore effimero e l’endpoint non riceve mai il codice dannoso. La pagina viene visualizzata come un flusso di pixel. Quando l’avvocato chiude la scheda, il contenitore viene distrutto insieme a qualsiasi cosa l’exploit abbia tentato di eseguire. Non è stata necessaria alcuna firma, né è stata invocata alcuna euristica comportamentale: l’attacco è stato neutralizzato a livello architetturale.
La sicurezza del browser rileva inoltre scenari di esposizione dei dati che gli agenti endpoint non sono in grado di monitorare. Un membro del team di marketing copia un foglio di calcolo relativo alla segmentazione dei clienti da un’applicazione di analisi interna e lo incolla in uno strumento di intelligenza artificiale non autorizzato in esecuzione in una scheda del browser. Il DLP endpoint non ha visibilità sugli eventi relativi agli appunti tra le schede del browser. Un secure web gateway DLP integrato ispeziona il contenuto durante la sessione e blocca l’operazione di incollaggio in base alla classificazione dei dati.
Quando la sicurezza degli endpoint rileva ciò che sfugge alla sicurezza del browser
I controlli di sicurezza del browser si limitano ai canali di traffico web. Essi non hanno alcuna competenza una volta che un file è stato salvato su disco, è stata collegata un'unità USB o un'applicazione diversa dal browser stabilisce una connessione di rete.
Si consideri un ingegnere informatico che scarica uno strumento di sviluppo da un repository della comunità. Il download supera il filtro URL di SWG poiché il repository è legittimo e ampiamente utilizzato. Una volta installato, lo strumento esegue il sideload di una DLL dannosa che utilizza l’iniezione di processo T1055 per integrarsi in un processo di sistema attendibile. Successivamente, esegue T1555.003 per sottrarre le credenziali memorizzate nel profilo del browser dell’ingegnere ed esfiltra tali dati tramite un canale C2 crittografato che simula il traffico HTTPS legittimo.
Ogni fase successiva al download risulta invisibile ai sistemi di sicurezza del browser. L’EDR è lo strumento di controllo che rileva il caricamento di una DLL non firmata, la scrittura anomala in memoria all’interno di un processo di sistema e la connessione in uscita insolita da parte di un processo che normalmente non presenta attività di rete.
Secondo il rapporto “M Trends 2025” di Mandiant, nel 2024 gli exploit sono stati il vettore di infezione iniziale più comune, rappresentando il 33% delle intrusioni, mentre le credenziali rubate sono salite al 16%, posizionandosi al secondo posto tra i vettori più diffusi. Tali credenziali rubate provengono spesso da malware di tipo “infostealer” in esecuzione sugli endpoint — malware che raccoglie i database delle credenziali del browser, i cookie di sessione e i dati di compilazione automatica. La sicurezza degli endpoint rappresenta la prima linea di difesa contro gli infostealer, poiché il furto delle credenziali avviene a livello di sistema operativo o di file system, non nella sessione del browser.
I controlli sugli endpoint garantiscono inoltre la conformità dei dispositivi. Prima che a un laptop sia consentito connettersi alle risorse aziendali, l’agente EDR verifica che il sistema operativo sia aggiornato con le patch, che il firewall sia abilitato e che non siano in esecuzione software noti per presentare vulnerabilità. La sicurezza del browser non è in grado di rilevare se il sistema operativo sottostante sia stato compromesso da un rootkit.
Perché la maggior parte delle aziende ha bisogno di entrambi — e come mapparli al NIST CSF 2.0
Il NIST CSF 2.0 è strutturato in sei funzioni — Governare, Identificare, Proteggere, Rilevare, Rispondere e Ripristinare — che, nel loro insieme, offrono una visione completa della gestione dei rischi legati alla sicurezza informatica. La sola funzione “Proteggere” comprende 22 sottocategorie che spaziano dalla gestione delle identità, all’autenticazione, al controllo degli accessi, alla sicurezza dei dati, alla sicurezza delle piattaforme e alla resilienza dell’infrastruttura tecnologica.
Nessuna singola categoria di prodotti copre tutte le 22 sottocategorie. La sicurezza del browser riguarda i risultati relativi alla sicurezza dei dati in transito (PR.DS), la gestione degli accessi per le applicazioni SaaS e web (PR.AA) e la sicurezza della piattaforma per le attività basate sul browser (PR.PS). La sicurezza degli endpoint comprende la sicurezza della piattaforma per il sistema operativo, la tecnologia di protezione per il rilevamento basato sull’host e la gestione delle identità per gli archivi di credenziali locali.
In pratica, il CISO di un’azienda farmaceutica, nell’allineare i controlli al NIST CSF 2.0, assegnerebbe l’isolamento del browser e lo SWG alle sottocategorie relative al filtraggio dei contenuti web e alla protezione dei dati in transito, mentre assegnerebbe l’EDR alle sottocategorie relative al rilevamento delle minacce sugli endpoint e alla prevenzione del malware. La funzione “Protezione” consiste nell’attuare misure volte a salvaguardare le risorse critiche, ridurre al minimo i rischi e prepararsi a potenziali incidenti di sicurezza informatica — il che richiede l’impiego di entrambi i livelli per evitare punti ciechi sistematici.
Il costo medio globale di una violazione dei dati ha raggiunto i 4,88 milioni di dollari nel 2024, secondo il rapporto IBM “Cost of a Data Breach Report 2024”. Inoltre, secondo lo stesso rapporto, le violazioni che hanno comportato il furto o la compromissione delle credenziali sono state quelle che hanno richiesto più tempo per essere identificate e contenute, con una media di 292 giorni. Un’architettura a più livelli che combina il DLP a livello di sessione del browser (che impedisce l’inserimento delle credenziali nelle pagine di phishing) con l’EDR a livello di endpoint (che rileva l’accesso da parte di infostealer ai database delle credenziali del browser) affronta direttamente questo vettore di attacco principale da due direzioni.
Quadro decisionale: ripartizione degli investimenti tra i livelli
Non tutte le organizzazioni necessitano dello stesso livello di approfondimento in entrambi i livelli. Ecco un quadro di riferimento pratico per gli architetti della sicurezza:
Dovete dare priorità agli investimenti nella sicurezza del browser quando:
Una parte significativa della forza lavoro opera in remoto, è costituita da collaboratori esterni o utilizza dispositivi non gestiti — sui quali non è possibile installare alcun agente endpoint. RBI e il proxy inverso garantiscono la sicurezza senza il controllo dei dispositivi.
Le applicazioni SaaS costituiscono l'ambiente di lavoro principale e il rischio principale di esfiltrazione dei dati è rappresentato dalle operazioni di copia/incolla, download o screenshot effettuate da applicazioni basate su browser.
L'organizzazione deve consentire a soggetti terzi l'accesso ad applicazioni sensibili. Un sistema sanitario che consente a partner esterni addetti alla fatturazione di accedere alle cartelle cliniche dei pazienti tramite una sessione browser utilizza la tecnologia RBI per garantire che i dati non passino mai attraverso l'endpoint del partner.
Il modello di minaccia attribuisce priorità agli attacchi “zero-day” e di phishing provenienti dal web. Gartner prevede che, entro il 2028, un’organizzazione su quattro adotterà almeno una tecnologia di browser aziendale sicuro per colmare specifiche lacune nell’accesso remoto e nella difesa degli endpoint (Gartner, aprile 2025).
Si raccomanda di dare priorità agli investimenti nella sicurezza degli endpoint nei seguenti casi:
Il personale utilizza prevalentemente dispositivi gestiti e di proprietà dell'azienda, sui quali l'amministratore ha piena visibilità.
L'analisi dei modelli di minaccia evidenzia un rischio elevato derivante dai canali di diffusione del malware esterni al browser: dispositivi USB, allegati dei client di posta elettronica, programmi di installazione di software della catena di fornitura.
I requisiti di conformità prevedono la crittografia sul dispositivo, l’applicazione del firewall host e la valutazione dello stato di sicurezza dei dispositivi (prassi comune negli ambienti PCI DSS e HIPAA).
Il SOC necessita di dati di telemetria forense approfonditi — alberi dei processi, artefatti di memoria, modifiche al registro di sistema — per le indagini sugli incidenti e la ricerca delle minacce.
Investite nell'integrazione quando:
Entrambi i livelli esistono, ma operano in modo isolato. Una piattaforma SSE che unifica SWG, RBI, CASB e DLP con la telemetria degli endpoint crea un unico motore di policy. Quando l’SWG rileva che un utente sta visitando un dominio appena registrato, può attivare contemporaneamente l’RBI per quella sessione e ordinare all’agente dell’endpoint di intensificare il monitoraggio comportamentale del dispositivo di quell’utente.
Nel 2024, il 44% degli exploit zero-day ha preso di mira prodotti aziendali (GTIG, aprile 2025) e gli autori degli attacchi combinano sempre più spesso l’accesso iniziale tramite browser con attività di post-exploit a livello di endpoint. Per individuare un attacco combinato è necessario che i dati di telemetria provenienti da entrambi i livelli siano correlati in un’unica console.
Come interagiscono la telemetria a livello di browser e quella a livello di endpoint
Gli attacchi più pericolosi interessano entrambi i livelli. Le linee guida di MITRE ATT&CK relative al rilevamento degli attacchi “Drive-by Compromise” illustrano tale requisito di integrazione: esse richiedono prove correlate di comportamenti anomali del browser e della rete — accessi sospetti a risorse esterne e modelli di iniezione di script — seguiti da processi figlio atipici, modifiche alla memoria o iniezione di processi, nonché dal rilascio inatteso di file sull’endpoint.
Questa catena di rilevamento non può funzionare se la telemetria del browser e quella degli endpoint risiedono in dashboard separate senza alcuna correlazione. Un secure web gateway di nuova generazione secure web gateway il primo segnale: la sessione del browser di un utente ha recuperato una risorsa JavaScript offuscata da un dominio appena registrato. L’agente dell’endpoint genera il secondo segnale: pochi minuti dopo, il processo del browser ha generato un processo figlio inatteso che ha scritto un file nella directory temporanea. Una volta correlati, questi segnali confermano un attacco “drive-by” in corso. Se considerati isolatamente, entrambi i segnali potrebbero essere ignorati in quanto rumori di fondo.
È proprio per questo motivo che il settore sta convergendo verso architetture SSE unificate che integrano le politiche relative al web, al cloud e agli endpoint. Quando un architetto della sicurezza è in grado di definire un’unica politica DLP che venga applicata in modo coerente durante una sessione del browser, una connessione API SaaS e un trasferimento di file su un endpoint gestito, le lacune nella copertura si riducono drasticamente.