SIEM – Security Information and Event Management

Il SIEM (Security Information and Event Management) è una piattaforma che raccoglie, normalizza, correla e analizza i log di sicurezza provenienti da tutte le componenti dell’infrastruttura IT aziendale: firewall, server, endpoint, applicazioni, servizi cloud, sistemi di autenticazione e dispositivi di rete. L’obiettivo è fornire una visione centralizzata e in tempo reale della postura di sicurezza dell’azienda, identificando minacce, anomalie e violazioni delle policy.

Il SIEM combina due funzionalità: SIM (Security Information Management) per la raccolta e l’archiviazione a lungo termine dei log per compliance e indagini forensi, e SEM (Security Event Management) per il monitoraggio e la correlazione in tempo reale degli eventi per il rilevamento delle minacce. Le regole di correlazione permettono di collegare eventi apparentemente innocui in pattern di attacco: ad esempio, 10 tentativi di login falliti seguiti da un login riuscito da un IP estero possono indicare un brute-force con credenziali compromesse.

BullTech utilizza piattaforme SIEM come componente fondamentale del proprio servizio SOC/MDR. I log dei firewall WatchGuard, degli endpoint Bitdefender, dei server e di Microsoft 365 dei clienti vengono raccolti e analizzati in tempo reale dal team di analisti BullTech. Le regole di detection vengono aggiornate continuamente in base alla threat intelligence e ai nuovi vettori di attacco.

Connettori e agenti raccolgono i log da tutte le sorgenti configurate e li inviano al SIEM in tempo reale o in batch. Il SIEM normalizza i log (ogni vendor usa un formato diverso) in un formato unificato, li indicizza per consentire ricerche rapide e li sottopone alle regole di correlazione. Le regole possono essere basate su signature (pattern di attacco noti), su anomalie statistiche (deviazioni dal comportamento normale) o su threat intelligence (indicatori di compromissione noti).

Quando una regola di correlazione produce un match, viene generato un alert classificato per severità. Nel servizio SOC/MDR di BullTech, gli alert vengono analizzati dal team di analisti che determinano se si tratta di un vero positivo o di un falso allarme. In caso di minaccia confermata, vengono attivate le procedure di incident response per contenere e neutralizzare la minaccia. I log vengono conservati per il periodo richiesto dalla compliance.