Cos’è il SIEM (Security Information and Event Management)?

Nelle aziende moderne la sicurezza informatica svolge un ruolo fondamentale. I cybercriminali sono perennemente alla ricerca della più piccola vulnerabilità, per rubare dati sensibili, installare software dannosi o paralizzare intere reti aziendali. Oltre a perdite milionarie, vanno considerati gravi danni anche all’immagine: se la notizia di problemi relativi alla sicurezza dei dati si diffonde, non è affatto da sottovalutare l’impatto negativo che questa potrebbe avere sia sui potenziali nuovi clienti, sia su quelli già esistenti.

I sistemi SIEM promettono di evitare uno scenario del genere, poiché sono in grado di riconoscere gli avvenimenti sospetti e le ultime tendenze degli attacchi informatici. Cosa c’è dietro il cosiddetto Security Information and Event Management? Quali vantaggi offre alla vostra azienda? Come funziona di preciso?

L’abbreviazione SIEM sta per Security Information and Event Management, una combinazione dei due concetti SIM (Security Information Management) e SEM (Security Event Management). Insieme confluiscono in un concetto basato sul software, che offre una panoramica a 360 ° sulla sicurezza informatica. Un sistema SIEM prende sempre in considerazione le esigenze specifiche di un’azienda, in cui si trovano definizioni chiare e personalizzate sui processi e i risultati rilevanti per la sicurezza e sulle modalità e priorità con le quali affrontarli. Per questo motivo possiamo considerare il Security Information and Event Management come una sorta di regolamento dettagliato che contiene gli standard di sicurezza validi e le linee guida per il mantenimento della qualità nel settore IT di un’azienda.

Lo scopo di un Security Information and Event Management è reagire alle minacce nel modo più rapido e preciso possibile. I responsabili IT hanno quindi a disposizione uno strumento efficace che permette loro di reagire prima che sia troppo tardi. A tal fine i sistemi SIEM cercano di rendere visibili gli attacchi o le tendenze di attacco in tempo reale; raccolgono e valutano a livello centrale le notifiche di routine, i messaggi di allarme e i file di log provenienti da diversi dispositivi, componenti e applicazioni della rete aziendale coinvolta, come:

• Firewall (software e hardware)
• Switch
• Router
• Server (file server, server FTP, VPN, proxy, ecc.)
• IDS e IPS

Gli agenti software sono programmi informatici autonomi concepiti appositamente per comunicare i dati e garantire che questi siano raccolti e inviati a un server SIEM centralizzato. Molti sistemi prevedono anche una fase di preelaborazione delle informazioni da parte degli agenti al fine di ridurre la quantità dei dati da trasmettere.

Sul server SIEM centralizzato, da una parte vengono salvate e strutturate le informazioni, dall’altra ne vengono stabilite le relazioni o viene effettuata un’analisi su queste basi o a livello generale. Per l’analisi e la valutazione si utilizzano, tra le altre, una serie di regole definite concretamente, tecnologie di IA, in particolare di apprendimento automatico e modelli di correlazione.

I diversi risultati delle valutazioni e i numeri distintivi possono essere visualizzati e ispezionati in una dashboard, che di norma potete personalizzare e adattare su misura alle esigenze della vostra azienda. Se i dati raccolti dal sistema SIEM, ossia i risultati, costituiscono un rischio immediato per la sicurezza informatica, riceverete subito una relativa comunicazione, di solito tramite e-mail.

Nei moderni sistemi informatici non si possono eliminare del tutto i casi critici per la sicurezza, ma scoprire e rilevare in tempo i pericoli aumenta le possibilità di limitare il più possibile i danni. Per giocare la carta vincente, il sistema SIEM è la soluzione che fa per voi. Uno dei punti di forza decisivi di una soluzione di questo tipo è sicuramente la reazione in tempo reale agli eventi di sicurezza rilevati: gli algoritmi automatizzati e gli strumenti di IA sono in grado di rivelare i pericoli in un momento in cui le misure di sicurezza tradizionali non sono ancora entrate in azione o non funzionano affatto.

Un ulteriore vantaggio di una buona soluzione SIEM è la possibilità di poter documentare e archiviare in modo protetto e automatico tutti i risultati relativi alla sicurezza. Questo vi risparmierà in futuro di dover dimostrare di aver applicato e rispettato le leggi in vigore relative alla sicurezza e alla protezione dei dati. Il Security Information and Event Management può svolgere un ruolo fondamentale anche nell’ambito della compliance.

Infine un sistema SIEM aiuta anche a ottimizzare le risorse umane: grazie all’elevato grado di automatizzazione, collegato al monitoraggio e all’analisi in tempo reale, i collaboratori IT possono dedicarsi ad altri compiti, permettendo anche di ridurre in modo significativo il personale necessario.

Una soluzione SIEM arricchisce il sistema di sicurezza IT di un’azienda qualsiasi, non solo perché consente di reagire ai pericoli informatici attuali e futuri, ma soprattutto perché permette di essere preparati già a monte. Perciò le aziende che lavorano con dati sensibili dei clienti o devono garantire un servizio IT efficiente, sono quelle che ricorrono più spesso al Security Information and Event Management. L’efficacia di questa soluzione può essere dimostrata dai due esempi seguenti:

Esempio pratico: attacco di forza bruta

Un utente tenta più volte di accedere a diverse applicazioni della rete. Dopo diversi tentativi falliti, riesce però ad accedere a un’applicazione. Naturalmente, in questo caso, può trattarsi anche di un dipendente che ha dimenticato i suoi dati di accesso e li ha recuperati con il metodo del prova e sbaglia. È molto più probabile, però, che dietro questo schema si nasconda un hacker pronto a sferrare un attacco di forza bruta. Un sistema SIEM analizza in modo molto affidabile metodi di accesso di questo tipo e vi offre la possibilità di bloccare in tempo ulteriori tentativi di accesso.

Esempio pratico: tentativi di accesso alla VPN

Gli accessi remoti alla VPN accadono spesso su molte reti aziendali. Diventa perciò fondamentale smascherare gli attacchi che hanno l’obiettivo di sfruttare la struttura di queste reti virtuali private. Se ad esempio, nell’arco di poco tempo si verificano numerosi tentativi di accesso alla rete VPN da diverse località, il Security Information and Event Management potrà classificarla subito come attività sospetta.