Che cos'è il SIEM? Una guida brillante ai fondamenti

Salvaguardare la cybersecurity della tua organizzazione è complicato.

Hai bisogno di ricercatori e analisti di sicurezza abili per monitorare i potenziali rischi e mitigarli prima che abbiano un impatto. Ma quando gli attori delle minacce rinnovano continuamente i metodi per sfuggirti, anche una minima lacuna di sicurezza o negligenza può compromettere la tua postura di sicurezza.

Per evitarlo, devi prestare un'attenzione indivisa alla tua infrastruttura IT e proteggerla dalle minacce alla sicurezza. È indispensabile, e la tecnologia come il Security Information and Event Management (SIEM) software lo rende facile.

Su una rete aziendale, i sistemi SIEM hanno due funzioni principali. Innanzitutto, agiscono come un punto sicuro e centralizzato per raccogliere tutte le voci di log dai sistemi, dispositivi di rete e applicazioni, prevenendo l'accesso non autorizzato. La seconda funzionalità dei sistemi SIEM include l'applicazione dell'intelligenza artificiale per correlare queste voci di log e rilevare modelli di attività potenzialmente dannose.

"Dal logging e monitoraggio all'indagine e analisi, gli strumenti SIEM sono integrali agli ecosistemi di sicurezza di tutte le dimensioni."

Aaron Walker
Research Principal, Cybersecurity at G2

Senza dubbio, i sistemi SIEM hanno accesso a tutte le voci di log dell'organizzazione, permettendo di identificare minacce alla sicurezza che potrebbero passare inosservate se i segni di un attacco informatico sono sparsi tra più dipartimenti.

In un'organizzazione gerarchica, gli ingegneri di rete potrebbero avere accesso ai log del firewall, gli ingegneri di sistema possono accedere ai log del sistema operativo, e i log delle applicazioni sono visibili ai manager delle applicazioni. A causa di questo approccio a silos, ogni dipartimento può vedere solo un pezzo del puzzle. Ma il SIEM considera il puzzle nel suo insieme; applica quindi la correlazione dei log per identificare un modello che potrebbe convergere in una minaccia alla sicurezza.

Come funziona il SIEM?

I sistemi SIEM distribuiscono più agenti di raccolta in modo gerarchico per aggregare i dati degli eventi generati dai sistemi host, apparecchiature di rete, antivirus o altri dispositivi di sicurezza nell'infrastruttura IT.

Una volta che questi log sono nei collettori, vengono inviati alla console di gestione centralizzata del SIEM. Queste voci di log vengono quindi classificate in categorie come attività malware, tentativo di accesso fallito, attività potenzialmente dannosa ed exploit.

Con l'aiuto delle regole di correlazione degli eventi, la soluzione SIEM collega i punti e verifica l'evento individuale o una combinazione che può portare a violazioni della sicurezza.

Ad esempio, se qualcuno tenta di accedere 10 volte in cinque minuti e fallisce, è possibile che abbia dimenticato la password e il SIEM lo imposta a bassa priorità. Ma se ci sono 100 tentativi di accesso non riusciti in 10 minuti, potrebbe indicare un attacco di forza bruta. Il SIEM segnala tali eventi con un tag di alta gravità e avvisa l'autorità competente.

Quali sono i casi d'uso del SIEM?

Le soluzioni SIEM sono principalmente utilizzate per il monitoraggio della sicurezza e il mantenimento di un punto centralizzato per tutti i log a fini di conformità. Ecco vari altri casi d'uso del SIEM. Esaminiamoli uno per uno.

Monitoraggio della sicurezza

Le soluzioni SIEM aiutano nel monitoraggio in tempo reale delle minacce agli eventi di sicurezza in un'organizzazione. Poiché ha accesso a più fonti di dati, il SEIM può rapidamente notare modelli negli eventi che possono rappresentare un rischio per la cybersecurity.

Aiuta i professionisti della sicurezza a monitorare continuamente l'infrastruttura IT fornendo loro accesso a un repository centralizzato di voci di log. Permette loro di identificare eventi che possono apparire innocui individualmente ma che, quando si verificano in combinazione, possono convergere in un attacco informatico.

Sicurezza IoT

L'adozione crescente di dispositivi Internet of Things (IoT) connessi attraverso internet ha portato a un aumento dei punti di ingresso da cui un hacker può penetrare nella tua rete.

Nel tentativo di prevenire tali eventi, le soluzioni di sicurezza IoT forniscono Application Programming Interfaces (API) e repository di dati esterni che possono essere integrati in una soluzione SIEM. Aiuta a mitigare le minacce IoT come un attacco denial-of-service (DoS) e altro, rendendo il SIEM una parte integrante della tua postura di sicurezza.

Identificazione delle minacce interne

Il SIEM utilizza le sue capacità avanzate di rilevamento delle minacce per identificare insider malintenzionati utilizzando la forensica del browser, i dati di rete e i log degli eventi che indicano un piano di attacco informatico. In alcune aziende, il SIEM effettua un monitoraggio granulare degli account privilegiati e attiva avvisi per azioni che un utente finale non è autorizzato a eseguire, come disabilitare il software di sicurezza.

Rilevamento avanzato delle minacce

I sistemi SIEM riconoscono l'esfiltrazione dei dati (trasferimento non autorizzato di dati sensibili al di fuori dell'organizzazione) e possono captare segnali di trasferimento dati in dimensioni, frequenze e payload anomali. Aiuta anche a identificare minacce persistenti avanzate (APT) rilevando segnali di avvertimento di un'entità esterna che conduce un attacco mirato o una campagna a lungo termine per violare la tua cybersecurity.

Forensica digitale e risposta agli incidenti

I sistemi SIEM avvisano gli analisti della sicurezza ogni volta che si verifica un incidente di sicurezza. Ti permette di comprendere la gravità dell'incidente e creare misure di rimedio tempestive. Il software SIEM ha accesso completo a tutti i log che gli analisti della sicurezza possono utilizzare per raccogliere le informazioni necessarie e ottenere forensica digitale durante un incidente di sicurezza e ridurre i tempi di risposta.

Conformità e Reporting

I SIEM forniscono reportistica, che è essenziale per soddisfare gli standard normativi di HIPAA, PCI DSS, SOX, FERPA, e così via. Aiuta un'organizzazione a dimostrare agli auditor e ai regolatori che sono in atto adeguate misure di salvaguardia e che gli incidenti di sicurezza sono identificati e gestiti.

Evoluzione del SIEM

Il dipartimento IT riceve molti avvisi generati dai intrusion detection and prevention systems (IDPS). Il SIEM è stato inizialmente sviluppato per gestire un gran numero di questi avvisi.

Originariamente si è evoluto dalla disciplina della gestione dei log e ha ampliato il suo ambito per includere una combinazione di gestione degli eventi di sicurezza (SEM) e gestione delle informazioni di sicurezza (SIM). Con questa combinazione, il SEIM fornisce un'analisi in tempo reale degli avvisi di sicurezza generati dall'applicazione e dall'hardware di rete.

Generalmente, il SEIM è utilizzato per identificare problemi di sicurezza, registrare dati di sicurezza, gestire incidenti e per scopi di reportistica di conformità. Infatti, il Payment Card Industry Data Security Standard (PCI DSS) ha guidato l'adozione del SIEM nelle grandi imprese, e lentamente anche le organizzazioni più piccole hanno fatto progressi.

Oggi, le soluzioni SIEM si sono evolute considerevolmente per includere tecniche avanzate come User Behavior Analytics (UBA), Deep Packet Inspection e Security Orchestration, Automation, and Response (SOAR). L'UBA utilizza algoritmi basati sull'apprendimento automatico e funziona su un modello predittivo. Ha sostituito gli algoritmi basati su regole per aumentare l'efficienza complessiva e aiutare l'organizzazione per un rilevamento efficace delle minacce.

Le soluzioni SIEM gestite sono emerse per le piccole imprese, dove le PMI con risorse limitate possono anche beneficiare delle sue capacità avanzate di apprendimento automatico, analisi comportamentale e altri servizi.

In tempi di attacco informatico, le grandi imprese hanno risorse per mitigare i danni, mentre le PMI generalmente non hanno lo stesso a loro disposizione. Il SIEM gestito per le piccole imprese le aiuta a proteggere i loro beni durante tali situazioni.

Cosa offrono i sistemi SIEM?

I sistemi SIEM combinano la gestione degli eventi di sicurezza e la gestione delle informazioni di sicurezza per fornire una soluzione completa per il monitoraggio della sicurezza delle informazioni.

Il focus critico dei sistemi SIEM è mantenere un repository di tutte le voci di log nella tua organizzazione e fornire una visibilità completa sui tuoi sistemi, rete, applicazioni e altri dispositivi, e avvisare quando c'è un'attività potenzialmente dannosa.

I 5 migliori strumenti SIEM

Il software di gestione delle informazioni e degli eventi di sicurezza combina una varietà di componenti software di sicurezza in un'unica piattaforma. Fornisce un punto di accesso centralizzato ai team IT e di sicurezza per accedere alle stesse informazioni e avvisi per una comunicazione e pianificazione più efficaci.

Per qualificarsi per l'inclusione nella categoria SIEM, un prodotto deve:

• Aggregare e memorizzare i dati di sicurezza IT.
• Assistere nel provisioning e nella governance degli utenti.
• Identificare vulnerabilità nei sistemi e negli endpoint.
• Monitorare le anomalie all'interno di un sistema IT.

* Di seguito sono riportati i cinque principali software SIEM dal Grid® Report di G2 dell'autunno 2020. Alcune recensioni possono essere modificate per chiarezza.

1. Splunk Enterprise Security

Splunk Enterprise Security è una soluzione SIEM basata su analisi che combatte le minacce con feed di intelligence sulle minacce basati su analisi. Ti permette di rilevare, indagare e rispondere in tempo reale mentre semplifica il tuo stack di sicurezza, minimizzando i tempi di inattività non pianificati con una maggiore trasparenza tutto in un'unica piattaforma.

Cosa piace agli utenti:

"È uno strumento a livello aziendale per l'aggregazione e la gestione dei log che consente un approccio inclusivo all'estrazione dei dati per la gestione dei servizi e la conformità."

- Recensione di Splunk Enterprise Security, Scott R.

Cosa non piace agli utenti:

"L'interfaccia utente può essere più interattiva, e potrebbero anche essere un po' più competitivi con i prezzi poiché l'opzione di un anno costa una fortuna come organizzazione, rendendo difficile per le piccole startup permettersi questo strumento."

- Recensione di Splunk Enterprise Security, Ashok V.

2. IBM Security QRadar

IBM Security QRadar aiuta i professionisti della sicurezza a rilevare, comprendere e dare priorità alle minacce che rappresentano un rischio per la cybersecurity delle organizzazioni. La soluzione cattura dati da asset, cloud, rete, endpoint e utenti per correlare contro informazioni di vulnerabilità e intelligence sulle minacce. Applica analisi avanzate per identificare e tracciare le minacce mentre progrediscono nella catena di uccisione.

Cosa piace agli utenti:

"La prima cosa evidente è l'interfaccia grafica dello strumento, che è facile da operare. La configurazione del dashboard è esemplare, dove è facile monitorare il traffico in un unico frame con un formato visivo. Puoi aggiungere più parametri per la ricerca dei log. Fornisce anche la possibilità di integrarsi con altre soluzioni con un buon supporto tecnico e documentazione.

"Puoi aggiungere facilmente più fonti di log e utilizzare funzionalità come User Analytics Behavior. È utile nel monitoraggio dei log di tracciamento delle email dopo l'integrazione della fonte di log di tracciamento in organizzazioni di grandi dimensioni. La creazione di regole è facile e le funzionalità di blocco di costruzione sono buone."

- Recensione di IBM Security QRadar, Tejas S.

Cosa non piace agli utenti:

"L'interfaccia utente è uno dei componenti essenziali quando si tratta di qualsiasi soluzione SIEM. L'interfaccia utente necessita di alcuni miglioramenti per migliorare l'esperienza dell'utente. Forse aggiunte basate su HTML5 saranno un buon valore aggiunto.

"Inoltre, il componente di reportistica diventa un po' confuso a volte, e non è nemmeno facile da fare, quindi necessita di alcuni miglioramenti in futuro."

- IBM Security QRadar, Muhammad Irfan MS I.

3. LogRhythm NextGen SIEM Platform

Piattaforma LogRhythm NextGen SIEM offre analisi di sicurezza complete, analisi del comportamento degli utenti e delle entità (UEBA); rilevamento e risposta alla rete (NDR); e orchestrazione, automazione e risposta alla sicurezza (SOAR) all'interno di una singola piattaforma integrata per il rilevamento, la risposta e la neutralizzazione rapida delle minacce. Potenzia più di 4000 clienti a livello globale per avanzare le loro operazioni di sicurezza.

Cosa piace agli utenti:

"LogRhythm, come qualsiasi altro SIEM, può essere una piattaforma complicata. Avendo utilizzato altre due piattaforme SIEM, LogRhythm ha una delle configurazioni più semplificate e usabilità complessiva. Il SIEM viene fornito con un'interfaccia sia thick-client che web. Il thick-client è completo, mentre l'interfaccia web presenta capacità comuni come dashboard e SOAR."

- Recensione della piattaforma LogRhythm NextGen SIEM, Dave D.

Cosa non piace agli utenti:

"La sua potenza e flessibilità possono essere a volte travolgenti, ma questa è la natura di una soluzione SIEM matura, e c'è sempre il supporto LogRhythm o servizi di implementazione di terze parti disponibili per assistere con qualsiasi domanda."

- Recensione della piattaforma LogRhythm NextGen SIEM, Mark S.

4. Sumo Logic

Sumo Logic affronta ampiamente le sfide che emergono con la trasformazione digitale, le applicazioni moderne e il cloud computing, essendo un pioniere dell'intelligenza continua.

Cosa piace agli utenti:

"Sumo Logic è una piattaforma basata su cloud che semplifica l'analisi e la raccolta automatica dei dati per ottenere le informazioni necessarie. Fornisce un'esperienza di qualità e migliorata ai nostri clienti nell'applicazione. Gli strumenti e le funzioni di sicurezza ci permettono di effettuare la supervisione e accelerare la consegna di applicazioni moderne, oltre a poter risolvere qualsiasi inconveniente o problema in tempo reale, questo ci permette di avere una soluzione di sicurezza stabile e affidabile."

- Recensione di Sumo Logic, Nancy J.

Cosa non piace agli utenti:

"Lo strumento svolge molto bene il suo lavoro, ma c'è una curva di apprendimento ripida prima di poter iniziare a sfruttare le funzionalità avanzate e le ottimizzazioni che lo strumento SIEM può offrire. La query è relativamente difficile, e devi aggiornare le tue competenze per scrivere query complesse e utili.

"L'interfaccia grafica può essere migliorata e resa più pulita con solo le opzioni necessarie in una singola vista e non tutto messo davanti a te, di cui non sei nemmeno a conoscenza e probabilmente non useresti mai."

- Recensione di Sumo Logic, Shilpa M.

5. AlienVault USM (da AT&T Cybersecurity)

AlienVault USM Anywhere (da AT&T Cybersecurity) è una soluzione di gestione della sicurezza basata su cloud che accelera e centralizza il rilevamento delle minacce, la gestione della conformità, la gestione degli incidenti per i tuoi ambienti cloud, cloud ibrido e on-premises.

Cosa piace agli utenti:

"Ci piace la facilità d'uso e la personalizzazione di USM. È un cavallo da lavoro; non importa quali dispositivi o il numero di log che gli lanciamo, il sistema li elabora in tempo reale, correla gli eventi e avvisa solo quegli eventi che necessitano di revisione umana. USM Anywhere è una grande progressione del prodotto. Che tu sia una piccola impresa senza team di sicurezza o una grande impresa con un grande team, AlienVault soddisferà le tue esigenze."

- Recensione di AlienVault USM, Karl H.

Cosa non piace agli utenti:

"Alcune funzionalità non sono disponibili che sono disponibili in altri strumenti SIEM come l'uso di linguaggi di ricerca avanzati, regole di correlazione personalizzate e parser personalizzati."

- Recensione di AlienVault USM, Joe L.

Rafforza la tua cybersecurity con gli strumenti SIEM

Gli strumenti SIEM aiuteranno il tuo team a monitorare da vicino gli asset IT e rilevare ogni possibile lacuna di sicurezza o attività dannosa che potrebbe accogliere una minaccia. Ti aiuterebbe a evitare una violazione della sicurezza e garantire che tu aderisca agli ultimi standard di conformità.

Scopri tutto ciò che devi sapere sugli audit di conformità ora e risparmiati dal pagare multe salate.