Un SIEM (Security Information and Event Management) è il sistema che raccoglie in un unico posto i log di server, PC, firewall, servizi cloud e applicazioni, li rende confrontabili, li mette in relazione con regole di correlazione e genera un allarme quando una sequenza di eventi indica un possibile attacco. Conserva inoltre lo storico, che serve a ricostruire un incidente e a dimostrare i controlli in audit.
SIEM: significato e definizione
La sigla unisce due funzioni nate separate. La SIM (Security Information Management) si occupava di raccogliere e conservare i log per l'analisi e la conformità. La SEM (Security Event Management) di osservare gli eventi in tempo quasi reale e segnalare quelli sospetti. Un SIEM fa entrambe le cose: è insieme l'archivio e il sistema di allarme della sicurezza informatica.
Il principio è semplice. Ogni sistema scrive un diario di quello che accade: accessi riusciti e falliti, servizi avviati, regole del firewall applicate, file modificati. Letti uno per uno, questi diari dicono poco. Messi insieme e letti in ordine di tempo, possono raccontare un attacco: dieci accessi falliti dall'estero, poi uno riuscito, poi la creazione di un nuovo utente amministratore alle tre di notte.
Come funziona un SIEM, dalla raccolta all'allarme
1. Raccolta dei log
I dati arrivano da agenti installati su PC e server, dai protocolli di invio dei log degli apparati di rete (come syslog) e dalle interfacce dei servizi cloud. Qui si decide la cosa più importante: quali fonti collegare. Un SIEM vede solo quello che riceve.
2. Normalizzazione
Ogni produttore scrive i log a modo suo. La normalizzazione traduce formati diversi in campi comuni (data e ora, utente, indirizzo di origine, sistema, esito) così che un accesso a Windows e uno al firewall si possano confrontare. Perché la sequenza degli eventi abbia senso, gli orologi dei sistemi devono essere sincronizzati.
3. Correlazione e regole
Le regole di correlazione cercano schemi: soglie (troppi tentativi falliti in pochi minuti), sequenze (accesso riuscito subito dopo una raffica di fallimenti), anomalie (un utente che si collega da un paese mai visto). Molti SIEM associano i rilevamenti alle tattiche e tecniche del framework MITRE ATT&CK, così si capisce in quale fase di un attacco si colloca un evento, e confrontano i dati con fonti di threat intelligence e con indicatori di compromissione noti.
4. Allarmi
Quando una regola scatta, il SIEM genera un allarme con una gravità. Qui si gioca l'utilità del sistema: un allarme deve arrivare a qualcuno che lo capisca e sappia cosa fare.
5. Conservazione e ricerca
I log restano disponibili per un periodo definito, protetti da modifiche. Servono per l'analisi forense dopo un incidente, per il threat hunting (cercare tracce di compromissione che nessun allarme ha segnalato) e per dimostrare a un auditor che i controlli esistono.
SIEM e log management: qual è la differenza
Un sistema di log management raccoglie, indicizza e conserva i log, e permette di cercarli. È utile, ed è già molto per chi oggi non ha nulla: per esempio consente di tenere il registro degli accessi degli amministratori di sistema. Ma è un archivio: ti risponde se fai una domanda.
Un SIEM aggiunge la parte attiva: la correlazione fra fonti diverse, le regole di rilevamento, gli allarmi, il contesto di sicurezza. In sintesi, il log management ti permette di ricostruire cosa è successo; il SIEM prova a dirtelo mentre succede.
SIEM vs XDR, EDR e SOAR
Le sigle si sovrappongono, anche perché molti prodotti oggi ne combinano più d'una. Ecco le differenze di fondo.
| Sigla | Cosa fa | Dove guarda | Punto di forza |
|---|---|---|---|
| SIEM | Raccoglie, correla e conserva i log, genera allarmi | Tutte le fonti collegate: endpoint, rete, cloud, applicazioni | Visione d'insieme, storico, conformità |
| EDR | Rileva comportamenti malevoli sugli endpoint e può isolarli o bloccare processi | PC e server | Profondità sul singolo dispositivo, risposta immediata |
| XDR | Estende il rilevamento e la risposta a più livelli, correlando endpoint, rete, identità e posta | Più fonti, spesso dello stesso ecosistema | Rilevamento e risposta integrati |
| SOAR | Automatizza e orchestra la risposta con procedure predefinite (playbook) | Gli allarmi prodotti da SIEM, EDR o XDR | Tempi di reazione più rapidi e ripetibili |
La domanda "SIEM o XDR?" ha quindi una risposta pratica: il SIEM è più forte nella raccolta ampia e nella conservazione, l'XDR nel rilevamento e nella risposta sugli endpoint. In una PMI le due funzioni convivono sempre più spesso nello stesso sensore, e la vera differenza la fa chi legge gli allarmi. Per gli obblighi di conservazione e di audit lo storico centralizzato resta necessario.
Perché un SIEM da solo genera rumore
Il problema più comune dei progetti SIEM non è tecnico: è che nessuno legge gli allarmi. Le regole predefinite sono pensate per essere prudenti, quindi segnalano molto. Il backup notturno sembra un'esfiltrazione, lo script del sistemista sembra un movimento laterale, l'aggiornamento del gestionale modifica file di sistema. Dopo qualche settimana gli allarmi diventano centinaia e finiscono in una cartella che nessuno apre.
Per funzionare un SIEM richiede lavoro continuo:
- messa a punto delle regole, per escludere il rumore ricorrente già valutato;
- triage degli allarmi, cioè qualcuno che li legga, li classifichi e decida;
- risposta, con procedure e responsabilità definite prima dell'incidente;
- manutenzione: nuove fonti, nuovi sistemi, nuove tecniche di attacco.
È il lavoro di un SOC (Security Operation Center). Poche PMI possono mantenerne uno interno, per questo esiste l'MDR (Managed Detection and Response): il rilevamento e la risposta sono affidati a un servizio gestito. Ne parliamo nella pagina SOC e MDR.
Quali log raccogliere in una PMI
Non serve raccogliere tutto: serve raccogliere ciò che permette di rispondere alle domande giuste. Un punto di partenza ragionevole per una piccola o media impresa:
- accessi a PC, server e dominio, riusciti e falliti, con particolare attenzione alle utenze amministrative;
- identità cloud: accessi e avvisi di Microsoft 365 o Google Workspace;
- firewall e VPN: connessioni consentite e bloccate, accessi remoti;
- eventi di sicurezza dei sistemi operativi: creazione di utenti, modifiche ai gruppi, servizi installati, modifiche al registro di sistema;
- integrità dei file critici, con il file integrity monitoring;
- antivirus o EDR: rilevamenti e stato di protezione;
- posta elettronica: regole di inoltro sospette, accessi anomali alle caselle;
- applicazioni critiche, come il gestionale, quando registrano accessi e operazioni.
Decidi in anticipo anche per quanto tempo conservarli: il periodo dipende dagli obblighi che hai e da quanto indietro potresti dover guardare per ricostruire un incidente scoperto tardi.
Cosa chiedono le norme: Garante, NIS2, ISO 27001
Il provvedimento del Garante sugli amministratori di sistema
Il provvedimento del Garante per la protezione dei dati personali del 27 novembre 2008 (Gazzetta Ufficiale n. 300 del 24 dicembre 2008) chiede di registrare gli accessi logici degli amministratori di sistema ai sistemi e agli archivi elettronici. Le registrazioni devono essere complete, inalterabili e verificabili nella loro integrità, comprendere i riferimenti temporali e la descrizione dell'evento, ed essere conservate per un congruo periodo, non inferiore a sei mesi. L'operato degli amministratori va inoltre verificato almeno una volta l'anno. Approfondisci nella guida sui log degli amministratori di sistema.
NIS2
Il D.Lgs. 138/2024 chiede misure di gestione degli incidenti e la notifica a CSIRT Italia entro 24 ore, 72 ore e un mese. Le specifiche di base dell'ACN comprendono requisiti di monitoraggio e di gestione degli incidenti. Senza log raccolti e conservati è difficile accorgersi di un incidente in tempo e descriverlo con precisione nelle notifiche. Per i fornitori di servizi digitali e gestiti, il regolamento di esecuzione (UE) 2024/2690 dedica una sezione specifica al monitoraggio e alla registrazione dei log. Vedi la guida NIS2: chi è obbligato e cosa deve fare.
ISO/IEC 27001:2022
Nell'Allegato A, il controllo 8.15 (logging) chiede di produrre, conservare, proteggere e analizzare i log delle attività, delle eccezioni, dei guasti e degli altri eventi rilevanti; il controllo 8.16 (attività di monitoraggio) chiede di monitorare reti, sistemi e applicazioni per rilevare comportamenti anomali e valutare i potenziali incidenti; il controllo 8.17 riguarda la sincronizzazione degli orologi. Un SIEM, con le sue regole e i suoi allarmi, è il modo più comune di dare evidenza a questi controlli. Vedi ISO/IEC 27001.
Come scegliere un SIEM
Prima di confrontare prodotti, conviene rispondere a qualche domanda:
- Chi leggerà gli allarmi? Se la risposta è "nessuno in particolare", ti serve un servizio gestito più che uno strumento.
- Quali fonti devi collegare? Verifica che siano supportate senza sviluppi su misura: Windows, Linux, firewall, Microsoft 365 o Google Workspace.
- Per quanto tempo devi conservare i log, e con quali garanzie di integrità, per le norme che ti riguardano?
- Come si gestisce il rumore? Esclusioni, soglie, regole personalizzate: chiedi di vederle in funzione.
- Cosa succede quando scatta un allarme critico? Chi viene avvisato, in che lingua, con quali azioni di risposta possibili e chi le autorizza.
- Come si dimostra in audit? Export, report, storico consultabile.
- Come cresce il costo? Molti SIEM si pagano per volume di dati, altri per dispositivo monitorato: stima la crescita prima di firmare.
Come ti aiuta Dottor Box
In Dottor Box la funzione SIEM è svolta dal Cyber Agent, l'agente installato su PC e server: rilevamento delle attività sospette, correlazione degli eventi, monitoraggio dell'integrità dei file, HIDS con allarmi, rilevamenti associati a MITRE ATT&CK e centralizzazione dei log fino a 6 mesi a supporto dell'analisi forense. Gli eventi critici arrivano per email con il titolo tradotto in italiano, e puoi silenziare il rumore ricorrente con regole di esclusione.
Gli accessi alimentano il registro dei log degli accessi, esportabile come evidenza per il provvedimento sugli amministratori di sistema. Sopra gli strumenti c'è il lavoro delle persone: nel livello Security Monitor la gestione dei falsi positivi e il threat hunting, nei livelli MDR + SOC gli allarmi arrivano al SOC di Dottor Marc, con supporto via ticket 8/5 o con un numero dedicato 24 ore su 24. Trovi i dettagli nelle pagine SIEM e XDR gestito e SOC e MDR.