SIEM: cos'è, cosa fa con i log e quando serve a una PMI

Ogni giorno server, firewall, PC e servizi cloud della tua azienda producono migliaia di registrazioni: accessi, errori, connessioni, modifiche. Dentro questi dati ci sono spesso i primi segnali di un attacco, ma nessuno ha il tempo di leggerli. Il SIEM nasce proprio per questo: trasformare una montagna di log in avvisi comprensibili e tempestivi.

Cos'è un SIEM

SIEM sta per Security Information and Event Management. È un sistema che raccoglie in un unico punto i log provenienti da diverse fonti, li normalizza, li analizza e genera allarmi quando individua comportamenti sospetti.

In pratica, è come avere una centrale di controllo che osserva contemporaneamente tutti i sistemi dell'azienda e collega tra loro eventi che, presi singolarmente, sembrerebbero innocui.

Cosa fa un SIEM con i log

Raccolta

Il SIEM riceve i log da molte fonti:

• server e controller di dominio;
• firewall, router e access point;
• PC e portatili, spesso tramite l'agente di protezione endpoint;
• servizi cloud come Microsoft 365;
• applicazioni aziendali che registrano accessi e operazioni.

Normalizzazione

Ogni dispositivo scrive i log in un formato diverso. Il SIEM li traduce in una struttura comune, così da poterli confrontare e cercare in modo uniforme.

Correlazione

È il cuore del sistema. Il SIEM applica regole che mettono in relazione eventi diversi. Alcuni esempi:

• molti tentativi di accesso falliti seguiti da un accesso riuscito sullo stesso account;
• un utente che si collega da due paesi diversi in un intervallo di tempo incompatibile;
• un account amministrativo creato fuori orario;
• un PC che inizia a comunicare con indirizzi noti come malevoli.

Allarmi e indagine

Quando una regola scatta, il SIEM genera un avviso. Chi lo riceve può ricostruire cosa è successo, da quale dispositivo, con quale account e in quale sequenza. Senza log centralizzati, questa ricostruzione richiederebbe di consultare manualmente decine di sistemi.

Conservazione

I log vengono conservati per un periodo definito, utile sia per le indagini dopo un incidente sia per dimostrare di aver monitorato i propri sistemi.

SIEM, EDR e firewall: che differenza c'è

Sono strumenti complementari, non alternativi:

• il firewall controlla il traffico tra la rete aziendale e l'esterno;
• l'EDR protegge e monitora i singoli dispositivi, bloccando comportamenti malevoli;
• il SIEM guarda l'insieme, mettendo in relazione ciò che accade su firewall, endpoint, server e cloud.

Un attacco può lasciare tracce leggere in più punti, nessuna delle quali basta da sola a far scattare un allarme. È la visione d'insieme a fare la differenza.

Quando serve un SIEM a una PMI

Per molto tempo il SIEM è stato considerato uno strumento da grandi aziende, per la complessità di gestione. Oggi esistono soluzioni gestite che lo rendono accessibile anche alle PMI. Ha senso valutarlo quando:

• l'azienda ha più sedi, molti utenti o servizi esposti su Internet;
• tratta dati sensibili o informazioni riservate di clienti;
• rientra tra i soggetti della NIS2 o lavora come fornitore di aziende che vi rientrano, e deve quindi saper rilevare e gestire gli incidenti;
• vuole poter ricostruire un incidente e capire cosa è stato colpito;
• ha già firewall ed EDR e vuole fare il passo successivo nel monitoraggio.

Sul tema degli obblighi NIS2 trovi una panoramica nella pagina dedicata alla NIS2. Per gli adempimenti specifici della tua azienda è sempre opportuna una verifica puntuale.

Il punto critico: chi guarda gli allarmi

Un SIEM senza qualcuno che analizza gli avvisi serve a poco. Il rischio è doppio: troppi allarmi irrilevanti, che finiscono ignorati, oppure regole troppo blande, che non segnalano nulla. Per una PMI la soluzione più sostenibile è di solito un servizio gestito, in cui un team esterno configura le fonti, adatta le regole all'azienda e valuta gli allarmi, coinvolgendo il personale interno solo quando serve.

Checklist per valutare un SIEM

• ☐ Elenco delle fonti di log da collegare
• ☐ Definizione di chi riceve e gestisce gli allarmi
• ☐ Regole adattate alle attività reali dell'azienda
• ☐ Periodo di conservazione dei log definito
• ☐ Procedura di risposta in caso di incidente
• ☐ Report periodici comprensibili anche per la direzione

Come può aiutarti Area GUI

Area GUI offre un servizio SIEM gestito: colleghiamo le fonti, configuriamo le regole sulla tua realtà e monitoriamo gli allarmi, avvisandoti quando serve intervenire. Scopri il servizio Log Management (SIEM) o contattaci per una valutazione.