SIEM: cos'è e come funziona

In breve

Ogni sistema scrive un diario di ciò che accade: accessi, errori, programmi avviati, modifiche. Preso da solo, ciascun diario dice poco. Il SIEM li legge tutti insieme e cerca le combinazioni che contano: dieci password sbagliate seguite da un accesso riuscito, un account amministrativo usato alle tre di notte, lo stesso utente collegato da due paesi nello stesso minuto.

Come funziona

• Raccolta: agenti installati sugli endpoint o connettori verso firewall, server e servizi cloud inviano gli eventi.
• Normalizzazione: formati diversi vengono ricondotti a campi comuni (utente, macchina, indirizzo, esito, ora).
• Correlazione: regole e modelli confrontano gli eventi tra loro e nel tempo. Molte regole sono descritte con le tecniche del catalogo MITRE ATT&CK.
• Allarme: quando una regola scatta, parte un avviso con la sua gravità.
• Conservazione: i log restano archiviati per l'indagine dopo un incidente e per gli obblighi di legge, come la registrazione degli accessi degli amministratori di sistema per almeno sei mesi.

Perché è importante

Un attacco raramente si vede in un solo evento. Il SIEM è lo strumento che mette in fila i pezzi, e senza log centralizzati un'indagine dopo un incidente si ferma subito: "chi è entrato, quando, da dove?" resta senza risposta.

Il limite noto è il rumore. Un SIEM appena installato produce centinaia di allarmi, molti innocui. Va regolato (escludendo ciò che è normale per quell'azienda) e, soprattutto, qualcuno deve leggere gli allarmi. Per questo il SIEM si accompagna quasi sempre a un SOC o a un servizio MDR. Per un approfondimento c'è la guida cos'è un SIEM.

Esempio

Un venerdì sera il SIEM registra sul server dei file venti tentativi di accesso falliti con nomi utente diversi, tutti dallo stesso PC dell'ufficio acquisti. Pochi minuti dopo, da quel PC, parte un accesso riuscito con un'utenza amministrativa. Presi uno per uno sono eventi banali; insieme descrivono un tentativo di indovinare password da una macchina già compromessa. La regola di correlazione genera un allarme critico, e chi lo riceve può isolare il PC prima che l'attacco prosegua.

Termini collegati

• XDR e EDR: rilevamento e risposta su endpoint e altre sorgenti
• HIDS e File Integrity Monitoring
• Threat hunting
• Indicatori di compromissione (IoC)