Il SIEM (Security Information and Event Management) racchiude un insieme di soluzioni utili per la gestione delle informazioni e degli eventi di sicurezza. Questa struttura ha un ruolo fondamentale all’interno dell’azienda, soprattutto per la gestione delle vulnerabilità dei sistemi informatici.
Mediante l’utilizzo del SIEM, infatti, è possibile identificare un attacco nel momento stesso in cui si verifica. In alcuni casi, inoltre, è possibile addirittura anticipare e prevedere l’attacco, contribuendo quindi a neutralizzarlo.
Non reagire adeguatamente a qualsiasi tentativo di attacco (o attacco effettivo) può avere conseguenze inimmaginabili per l’azienda. Ecco, quindi, che sistemi come il SIEM rappresentano alleati indispensabili per la sicurezza aziendale. Scopriamo cos’è il SIEM e quali sono i suoi vantaggi.
Indice dei contenuti
Cos’è un SIEM?
Il Security Information and Event Management, detto anche SIEM, comprende una serie di software e servizi in grado di coniugare le due principali funzioni della cybersecurity: la gestione degli eventi (Security Event Management, meglio conosciuta come SEM) e la gestione delle informazioni di sicurezza (Security Information Management, conosciuta anche come SIM).
Queste due realtà dialogano contemporaneamente all’interno di un sistema SIEM:
- il SEM monitora in tempo reale gli eventi che avvengono all’interno della rete, dei dispositivi, delle applicazioni e dei sistemi. La funzione di questi strumenti è quella di individuare le anomalie e anticipare qualsiasi criticità. Grazie al software SEM è possibile rilevare gli accessi al sistema in tempo reale, anche al di fuori dell’orario di lavoro, e quindi segnalare l’accesso sconosciuto fornendo un dettagliato report;
- il SIM gestisce automaticamente il cronologico delle attività del sistema operativo, dei programmi utilizzati e del database. Il SIM non opera real time ma in modo automatizzato, inviando il cronologico dei log a un server centralizzato, il quale viene monitorato da un amministratore responsabile degli interventi in caso di allarme.
L’integrazione di questi due software e sistemi dà vita al SIEM, ovvero all’esecuzione di una raccolta centralizzata e puntuale degli eventi e del cronologico delle attività. È possibile, quindi, intervenire rapidamente e in modo mirato in caso di incidenti, attacchi al sistema informatico o malfunzionamenti. I responsabili della sicurezza IT possono usufruire di un set di strumenti destinati a migliorare le performance di sicurezza dell’intera azienda.
I sistemi SIEM eseguono un’attività di monitoring basata sull’aggregazione dei dati provenienti da diverse fonti, quali la rete, i dispositivi, le applicazioni e i sistemi. I dati vengono quindi analizzati e incrociati, con la finalità di rilevare le anomalie, le criticità e i rischi, attivando le procedure di sicurezza preventive o risolutive.
Quali sono i principali vantaggi
Il SIEM è una risorsa particolarmente vantaggiosa e in grado di integrarsi adeguatamente in un piano di sicurezza aziendale efficace. Quali sono i vantaggi di un SIEM? Vediamoli nel dettaglio:
- scalabilità. Il sistema, nel tempo, può essere arricchito aggiungendo nuove funzionalità afferenti al settore del machine learning e dell’intelligenza artificiale. La mole di dati utilizzati può aumentare, incrementando la velocità e la precisione con cui il software risponde alle minacce;
- risposte automatiche. I SIEM reagiscono in modo automatico alle problematiche legate alla sicurezza, riducendo i carichi di lavoro assegnati agli amministratori del sistema. Il software, infatti, è in grado di gestire le operazioni e le attività in modo autonomo, bloccando automaticamente le minacce e richiedendo l’intervento manuale o umano mediante l’invio di alert;
- monitoraggio costante. La rete e il sistema vengono monitorati continuamente, affinché sia possibile rilevare in modo efficiente e tempestivo qualsiasi minaccia;
- report dettagliati. È possibile estrapolare i dati da qualsiasi dispositivo, per categorizzarli e analizzarli in riferimento a schemi di utilizzo tipici;
- tracciamento delle minacce. Il confronto tra schemi di comportamento degli utenti e le attività di rete consente di identificare le minacce, individuando il punto di partenza dell’attacco e l’eventuale bersaglio.
Come funziona un SIEM
Un SIEM ha differenti funzioni: innanzitutto, l’attività principale di questa struttura è quella di raccogliere i dati provenienti da tutte le fonti di un sistema informatico. I dati vengono uniformati all’interno del SIEM mediante catalogazione (per tipo di dispositivo e per tipo di dato), affinché sia più semplice leggere e interpretare le informazioni. In questo modo tutti gli utenti aziendali potranno avere accesso al dato.
Ma la funzione più importante del SIEM è quella di correlare gli eventi diversi, per poter integrare e analizzare eventi provenienti da fonti differenti. L’attività di correlazione viene eseguita secondo regole base, ma l’azienda può personalizzare il regolamento a seconda delle proprie esigenze. Il SIEM, inoltre, offre la possibilità di attribuire determinate priorità agli eventi, in base alla correlazione tra eventi di sicurezza e dati sulle vulnerabilità presenti nel sistema.
La terza e importante attività di un SIEM è quella relativa alla reportistica: è possibile realizzare audit, analisi forensi e compliance mediante l’archiviazione di dati a lungo termine e l’estrazione degli stessi secondo specifici criteri di ricerca.
Il SIEM formula delle dashboard utili per l’invio di SMS, notifiche, e-mail ai responsabili della sicurezza IT (in caso si verifichi una minaccia o uno specifico evento). La dashboard, inoltre, presenta i dati agli analisti sotto forma di schemi e diagrammi.
L’insieme delle informazioni e delle funzioni consente di identificare le falle interne al sistema informatico: connessioni sospette verso l’esterno, accessi non autorizzati, presenza di malware o manipolazioni della rete o del sistema stesso. Il SIEM rileva attività malevole provenienti dall’esterno, ma anche dall’interno dell’azienda stessa, mediante una comparazione degli schemi di comportamento degli utenti e delle attività di rete, in riferimento a dei modelli tipici.
I principali tool utilizzati
Numerose le soluzioni SIEM dalle caratteristiche specifiche, ognuna delle quali presenta determinati vantaggi per l’azienda. La pluralità di strumenti consente alle aziende moderne di scegliere i tool più utili sulla base delle esigenze e degli scopi: rilevamento delle minacce, analisi e categorizzazione dai dati, ottimizzazione della capacità di risposta del software.
Esistono diversi tool tra cui scegliere per poter raggiungere i propri obiettivi di business e aziendali. I più popolari sono:
- Datadog
- SolarWinds
- Splunk Enterprise SIEM
- McAfe ESM
- Micro Focus ArcSight
- LogRhythm
- AlienVault USM
Quali aziende dovrebbero affidarsi a un SIEM?
L’azienda che dovrebbe affidarsi a un SIEM è generalmente un’impresa desiderosa di migliorare le performance di sicurezza del sistema, preparandolo ad affrontare in modo efficace le possibilità di attacco informatico o qualsiasi altro genere di minaccia alla rete. Giorno dopo giorno, gli attacchi informatici diventano sempre più sofisticati e occorre mettere in campo le migliori tecnologie per salvaguardare la rete e i sistemi, contrastando ma anche prevenendo pericoli prima che diventino critici.
Anche le piccole aziende, che spesso hanno a disposizione un budget ridotto, possono affidarsi a un SIEM: è sempre fondamentale garantire la sicurezza dei dati, della rete e del sistema. La sicurezza rappresenta, al giorno d’oggi, un vero e proprio investimento a lungo termine che potrebbe generare guadagni concreti. Le violazioni informatiche, infatti, possono comportare perdite enormi a livello economico, di tempo, di risorse e anche di reputazione.
Il SIEM è una soluzione ottimale anche per le aziende che desiderano aumentare il livello di soddisfazione del cliente, mostrando un’immagine di business solida e attenta alla prevenzione dei rischi. Ciò permette di migliorare e rafforzare il rapporto di fiducia tra azienda e clienti.
SIEM e Intelligenza Artificiale
Esattamente come qualsiasi altro strumento informatico, anche il SIEM si è evoluto nel tempo. Il costante aggiornamento tecnologico, attualmente, ha portato i sistemi SIEM ad avvicinarsi a un’altra e importante innovazione: l’intelligenza artificiale. Grazie al contributo dell’AI, infatti, le soluzioni SIEM hanno acquisito un nuovo valore, trasformandosi in modo sostanziale.
I sistemi SIEM oggi risultano essere più flessibili e agili. Nel 2017 Gartner parlò addirittura di “quarta generazione di SIEM”, riferendosi alle tecnologie che includono l’analisi del comportamento degli utenti e delle entità (User and Entity Behavior Analytics – UEBA) integrate alle tradizionali caratteristiche e funzioni del Security Information and Event Management.
Nella fattispecie, è il machine learning a rendere le analisi del SIEM più accurate e precise, eseguendo la correlazione automatica tra gli eventi rilevati sull’infrastruttura di rete e determinando che cosa è accaduto e chi ha fatto cosa. Gli algoritmi di machine learning permettono al sistema di localizzare e intercettare, in modo estremamente rapido, ogni attività anomala che avviene in rete. È così possibile stabilire un parallelo con le policy di security interne, definendo quindi le migliori azioni di difesa indispensabili a garantire sicurezza al sistema.
Il software, utilizzando diversi algoritmi AI predisposti, può rispondere automaticamente a determinati attacchi nel momento stesso in cui si verificano. Quindi, il software attiva una serie di misure di sicurezza, come bloccare o rimuovere il traffico malevolo o potenzialmente malevolo, oppure ridurre le prestazioni della rete e del sistema con la finalità di proteggerli.
Conformità al GDPR: una panoramica
I responsabili IT, per la realizzazione e lo sviluppo di una piattaforma SIEM, devono rispettare le disposizioni e le norme enunciate nel GDPR (General Data Protection Regulation). Questo insieme di norme regolamenta il trattamento dei dati personali e in azienda.
È fondamentale, durante lo sviluppo di un SIEM, attenersi al principio della proporzionalità sulla base del quale i dati raccolti e trattati devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali vengono trattati”. Se il trattamento dei dati non si dimostra coerente con le finalità espresse dall’impresa, risulterà illecito.
Un secondo punto molto importante riguarda la politica di conservazione dei dati, che deve prevedere tempistiche atte a garantire sicurezza alle reti e riservatezza alle informazioni. La politica di conservazione dei dati deve prestare sempre la massima attenzione all’eventualità di incidenti informatici e all’obbligo di accesso ai dati da parte di terzi (nell’ambito di un’analisi forense). I dati in transito, inoltre, andranno protetti mediante firma, cifratura e possibilità di verifica della validità della firma.
In ultimo, durante lo sviluppo di una piattaforma SIEM occorre, obbligatoriamente, definire una data-destruction policy nel rispetto del principio del diritto all’oblio. L’azienda dovrà dimostrare che le modalità di cancellazione dei dati siano sicure e che vengano sempre rispettate.
Il futuro del SIEM
Al giorno d’oggi, le soluzioni SIEM sono uno degli attori protagonisti della governance aziendale, essendo orientate allo sviluppo e al potenziamento delle attività di monitoraggio. Le strutture SIEM permettono agli esperti del settore IT di abbattere le tempistiche utili alla risoluzione di allarmi e attacchi informatici, garantendo contestualmente massima libertà e rapidità anche nell’esecuzione delle analisi degli incidenti di sicurezza.
Essendo in grado di aggregare dati significativi, provenienti da diverse fonti, ed essendo capaci di stabilire correlazioni in tempo reale, le strutture SIEM consentono di individuare e segnalare comportamenti sospetti e incidenti in tempistiche prossime allo zero. Queste caratteristiche rendono gli strumenti SIEM una vera e propria chiave di volta nell’ambito della security intelligence evoluta, poiché rispondono eccellentemente alle esigenze di compliance, analisi forensi e di incident response.
Un fattore essenziale, da non tralasciare per garantire massima efficacia al SIEM, riguarda il continuo adeguamento dello strumento rispetto alle valutazioni sulla sicurezza eseguite dai CSO. Tali adeguamenti devono, di pari passo, seguire e rispettare le novità normative in tema di sicurezza e gestione dei dati.
Nel prossimo futuro, le tecnologie SIEM saranno in grado di garantire un livello di accuratezza addirittura superiore a quello già offerto attualmente, soprattutto grazie all’utilizzo del machine learning. Inoltre, il futuro del SIEM risiede nell’intelligenza artificiale, che di giorno in giorno diventerà sempre più rilevante e sofisticata. I sistemi sono destinati a crescere, ad adattarsi alle innovazioni dell’AI, ottimizzando le proprie prestazioni nell’ambito della comprensione, dell’analisi e della prevenzione delle minacce, degli allarmi e della loro eventuale evoluzione.
