Che cosa è

SIEM, Security Information and Event Management, è un sistema che consente di raccogliere in modo centralizzato, organizzare e analizzare gli eventi e i log generati dai diversi componenti di un Sistema Informativo: server, postazioni di lavoro, applicazioni, firewall, sistemi di sicurezza, dispositivi di rete, servizi cloud e sistemi di autenticazione, solo per citare alcune delle possibili fonti.

Il suo obiettivo non è quindi identificare o autenticare gli utenti, come talvolta si tende erroneamente a pensare, ma offrire una visione complessiva degli eventi che avvengono all’interno dell’infrastruttura ICT. Uno degli elementi caratterizzanti di un SIEM è la capacità di correlare eventi provenienti da fonti differenti. Un singolo evento può infatti essere del tutto normale; più eventi, osservati insieme, possono invece evidenziare un comportamento anomalo o un possibile incidente di sicurezza.

 

Perché è importante

Un moderno Sistema Informativo genera continuamente una quantità elevatissima di informazioni. Tentativi di accesso, connessioni alla rete, esecuzione di applicazioni, modifiche ai privilegi degli utenti, trasferimenti di file, attività dei firewall e degli strumenti antimalware sono soltanto alcuni esempi.

Analizzare manualmente tutte queste informazioni sarebbe nella maggior parte dei casi impraticabile. Un SIEM permette di concentrare queste informazioni in un unico punto e trasformare grandi quantità di dati tecnici in informazioni utili per chi deve controllare la sicurezza.

Ad esempio, un accesso effettuato durante la notte potrebbe non essere di per sé significativo. Lo stesso accesso, se associato a numerosi tentativi di autenticazione falliti, a una provenienza geografica insolita e a un successivo trasferimento anomalo di dati, può invece rappresentare un segnale da approfondire.

La capacità di correlare informazioni provenienti da più fonti è infatti uno degli utilizzi tipici dei SIEM e contribuisce all'individuazione di attività sospette o potenzialmente malevole.

Il SIEM costituisce pertanto uno degli strumenti che possono supportare il monitoraggio continuo della sicurezza, trattato nell'OAD #11,  e le attività di un SOC – Security Operations Center.

 

Le principali cose da sapere

Il SIEM non è un sistema di autenticazione.
Può raccogliere e analizzare anche gli eventi generati dai sistemi di autenticazione, ma la sua funzione principale è monitorare e correlare informazioni provenienti dall'intero Sistema Informativo.

Sul mercato esistono numerose soluzioni SIEM.
Sono disponibili prodotti commerciali, piattaforme open source e soluzioni che combinano componenti gratuiti e servizi a pagamento. Le diverse offerte possono differire notevolmente per capacità di raccolta e correlazione degli eventi, automazione, scalabilità, modalità di gestione e costi. La scelta dovrebbe pertanto essere effettuata in funzione delle dimensioni, delle caratteristiche e dei rischi specifici dell'organizzazione.

Un SIEM può essere installato on-premise o utilizzato in cloud.
Nel primo caso l'infrastruttura viene gestita direttamente dall'organizzazione, con un maggiore controllo sui sistemi e sui dati raccolti. Le soluzioni cloud possono invece ridurre l'onere di gestione dell'infrastruttura e facilitarne la scalabilità. Esistono inoltre configurazioni ibride, nelle quali sistemi e fonti di log presenti internamente inviano gli eventi a una piattaforma SIEM collocata nel cloud.

Il SIEM non si limita a conservare i log.
La semplice raccolta dei log rappresenta soltanto una parte del processo. Una piattaforma SIEM può normalizzare dati provenienti da sorgenti differenti, correlarli e generare segnalazioni o allarmi quando vengono rilevati eventi o combinazioni di eventi potenzialmente significativi.

La qualità delle informazioni raccolte è fondamentale.
Un SIEM può analizzare solamente ciò che riceve. È quindi necessario individuare quali sistemi e applicazioni debbano produrre log, quali eventi siano realmente significativi e per quanto tempo debbano essere conservati.

Più allarmi non significano necessariamente maggiore sicurezza.
Una configurazione poco accurata può produrre un numero elevato di falsi positivi, rendendo difficile individuare le segnalazioni realmente importanti.

Il SIEM richiede competenze e gestione continuativa.
Non è sufficiente installare uno strumento. Le regole di correlazione, le soglie di allarme e i casi d'uso devono essere progressivamente adattati alle caratteristiche dell'organizzazione e all'evoluzione delle minacce.

Il SIEM aiuta a rilevare gli incidenti, ma non sostituisce le altre misure di sicurezza.
Firewall, sistemi EDR/XDR, gestione delle identità, segmentazione della rete, patching e backup continuano ad avere funzioni specifiche. Il SIEM contribuisce soprattutto a fornire una visione integrata di ciò che accade.

 

Raccomandazioni pratiche

Prima di adottare un SIEM è opportuno definire chiaramente gli obiettivi di monitoraggio, evitando di raccogliere indiscriminatamente qualsiasi dato disponibile.

Occorre quindi:

• identificare i sistemi e le applicazioni più critici e assicurarsi che producano log adeguati;
• individuare gli eventi realmente rilevanti dal punto di vista della sicurezza digitale;
• definire casi d'uso e regole di correlazione coerenti con i rischi dell'organizzazione;
• stabilire responsabilità precise per la verifica e la gestione degli allarmi;
• verificare periodicamente che le fonti continuino a trasmettere correttamente gli eventi;
• aggiornare nel tempo le regole di rilevamento sulla base delle nuove minacce e degli incidenti osservati;
• integrare il SIEM all'interno di un processo più ampio di monitoraggio, gestione degli incidenti e risposta agli eventi di sicurezza digitale;
• valutare non soltanto il costo della licenza, ma anche le risorse necessarie per configurare, mantenere e presidiare il SIEM. Facendo ad esempio riferimento ad  una soluzione open source, la cui acquisizione è gratuita come licenza, ma non è affatto gratuita da gestire: servono infrastruttura, configurazione, aggiornamenti, tuning delle regole e soprattutto qualcuno che analizzi  i dati forniti dal SIEM.

Un SIEM ben configurato non impedisce da solo che si verifichi un attacco, ma può consentire di individuarne più rapidamente i segnali, comprenderne l'estensione e supportare una risposta tempestiva.

In cybersecurity, infatti, non è sufficiente cercare di impedire che qualcosa accada: è altrettanto importante essere in grado di accorgersi rapidamente quando qualcosa di anomalo sta accadendo.