SIEM e XDR gestito
Gli eventi di PC, server e account cloud raccolti in un unico posto, correlati per riconoscere un attacco e conservati per l'indagine, con un SOC che li legge al posto tuo.
SIEM as a service: i log che servono, letti da qualcuno
Ogni PC, server e account cloud produce migliaia di eventi al giorno: accessi, errori, modifiche, connessioni. Presi uno per uno non dicono quasi nulla. Messi insieme raccontano se qualcuno sta provando a entrare, se ci è riuscito e cosa sta facendo.
Il SIEM gestito di Dottor Box raccoglie questi eventi, li centralizza, li correla e li conserva. Le funzioni XDR riconoscono i comportamenti di un attacco e, su regole concordate, reagiscono sull'endpoint. Sopra lavorano gli analisti del nostro SOC.
Il sensore che raccoglie i dati sui computer è il Cyber Agent. Questa pagina racconta il servizio che ci sta intorno: cosa viene raccolto, come diventa un allarme utile e come diventa un'evidenza per la NIS2 e la ISO 27001.
Un SIEM senza persone che lo leggono fa solo rumore. Il valore non è nella quantità di log, è in chi decide quali contano.
SIEM, XDR ed EDR: cosa cambia
Tre sigle che si sovrappongono spesso. Per approfondire c'è la guida su cos'è un SIEM.
| Sigla | Cosa fa | Dove guarda |
|---|---|---|
| SIEM (Security Information and Event Management) | Raccoglie, centralizza, correla e conserva gli eventi di sicurezza; genera allarmi su regole | Più sorgenti: endpoint, servizi cloud, sistemi di rete |
| EDR (Endpoint Detection and Response) | Rileva comportamenti malevoli e risponde su un singolo computer | Solo l'endpoint |
| XDR (Extended Detection and Response) | Estende rilevamento e risposta mettendo in relazione eventi di sorgenti diverse | Endpoint, identità, cloud e rete insieme |
In pratica. Il SIEM ti dà la memoria e il contesto, l'XDR la capacità di riconoscere e fermare un attacco in corso. Dottor Box li combina: lo stesso dato serve all'allarme immediato e all'indagine di mesi dopo.
Log management per endpoint e cloud
Il SIEM ha senso solo se vede le sorgenti giuste. Dottor Box ne mette insieme tre, in un'unica piattaforma, con i dati di ciascun cliente in un ambiente dedicato.
I log sono centralizzati fino a 6 mesi, a supporto dell'analisi forense e dell'indagine sugli incidenti.
Endpoint, tramite il Cyber Agent
Accessi, eventi di sicurezza critici, integrità dei file, modifiche al registro di sistema, log degli errori, registri del firewall e connessioni di rete di PC e server, con un servizio HIDS che genera alert.
Accessi a Microsoft 365 ed Entra ID
Accessi riusciti e falliti al tenant, con avvisi su tentativi ripetuti, paesi mai visti e ingressi amministrativi. Il blocco di un account resta una proposta finché una persona non lo conferma. Microsoft Entra ID.
Accessi a Google Workspace
Gli accessi agli account Google dell'azienda entrano nello stesso registro, accanto a quelli delle postazioni. Google Workspace.
XDR per aziende: dall'evento all'azione
Le funzioni XDR trasformano un elenco di eventi in un quadro leggibile, e in qualche caso in una reazione immediata. Il dettaglio tecnico di ciascuna è nella pagina del Cyber Agent.
Correlazione con MITRE ATT&CK
Ogni rilevamento è collocato nella tattica e nella tecnica del framework MITRE ATT&CK: sai in quale fase di un attacco ti trovi.
Malware e rootkit
Firme note, processi e file nascosti, confronto con liste di indicatori di compromissione e allarmi dell'antivirus già presente.
Analisi del comportamento
Eventi innocui da soli, sospetti insieme: accessi falliti ripetuti, poi un nuovo amministratore, poi un file di sistema modificato.
Risposta automatica concordata
Su regole decise insieme in fase di attivazione, come il blocco temporaneo sul firewall locale di un indirizzo che tenta un attacco a forza bruta.
Benchmark CIS
Le configurazioni del sistema operativo confrontate con politiche di hardening basate sui benchmark CIS, con l'indicazione di come correggere.
Threat intelligence e hunting
Eventi confrontati con fonti di intelligence sulle minacce e storico interrogabile dagli analisti per il threat hunting.
Perché il SIEM va gestito
Molte aziende che hanno installato un SIEM da sole si ritrovano con due problemi opposti: troppi allarmi, che finiscono per essere ignorati, oppure regole così permissive che non scatta mai niente. In entrambi i casi il sistema c'è, ma non protegge e non documenta.
Nel servizio gestito questo lavoro lo fa il SOC di Dottor Marc: gestione dei falsi positivi per notifiche accurate, correlazione dei dati di sicurezza, analisi predittiva e ricerca proattiva delle minacce nascoste. È già compreso nel livello Security Monitor.
Con i livelli MDR + SOC e MDR + SOC 24/7 gli alert del SIEM arrivano al nostro team, che interviene per contenere la minaccia e avviare la risposta all'incidente.
- Email immediata sugli eventi critici, con il titolo tradotto in italiano
- Regole di esclusione per silenziare il rumore ricorrente già valutato
- Un'email per destinatario, senza catene di copie
- Segnalazione dei PC e server con l'antivirus non attivo
- Le risposte automatiche abilitate solo se scelte, mai a sorpresa
Log management per NIS2, ISO 27001 e amministratori di sistema
Amministratori di sistema. Il provvedimento del Garante del 2008 (Gazzetta Ufficiale n. 300 del 24 dicembre 2008) chiede di registrare gli accessi degli amministratori di sistema e di conservarli per almeno sei mesi. Il SIEM raccoglie questi accessi e li porta nel registro dei log accessi, esportabile in CSV. Il tema è spiegato nella guida sui log degli amministratori di sistema e nella pagina dedicata agli amministratori di sistema.
NIS2. Tra le misure di gestione del rischio che la direttiva e il decreto di recepimento italiano chiedono ci sono la gestione degli incidenti e la capacità di rilevarli. Senza log centralizzati è difficile ricostruire cosa è successo e notificarlo nei tempi previsti. Adeguamento NIS2.
ISO/IEC 27001. I controlli dell'Allegato A sulla registrazione degli eventi (logging) e sul monitoraggio delle attività trovano nel SIEM la loro evidenza tecnica. Vedi la checklist ISO 27001.
Domande su SIEM gestito e XDR
Cos'è un SIEM gestito?
È un SIEM che non devi installare, configurare e sorvegliare da solo. Il fornitore raccoglie e conserva i log, mantiene le regole di correlazione e mette a disposizione analisti che leggono gli allarmi. In Dottor Box la raccolta avviene tramite il Cyber Agent e i collegamenti agli ambienti cloud, e il lavoro di analisi lo fa il SOC di Dottor Marc.
Per quanto tempo vengono conservati i log?
La centralizzazione dei log copre fino a 6 mesi, a supporto dell'analisi forense e dell'indagine sugli incidenti. È coerente con il periodo minimo di sei mesi che il provvedimento del Garante sugli amministratori di sistema chiede per le registrazioni degli accessi. Il registro degli accessi si può esportare in CSV come evidenza.
Che differenza c'è tra XDR ed EDR?
L'EDR rileva e risponde alle minacce su un singolo computer. L'XDR allarga lo sguardo: mette in relazione eventi di sorgenti diverse, come endpoint e identità cloud, per riconoscere un attacco che su una sola macchina passerebbe inosservato.
Il SIEM blocca da solo gli attacchi?
Può farlo, ma solo dove lo decidi tu. Le risposte automatiche, come il blocco temporaneo di un indirizzo IP sul firewall locale, si concordano in fase di attivazione. Il blocco di un account Microsoft 365 invece non è mai automatico: la piattaforma lo propone e una persona lo conferma.
Serve un SIEM per essere conformi alla NIS2?
La NIS2 non impone un prodotto specifico, ma chiede misure per rilevare e gestire gli incidenti e per notificarli nei tempi previsti. Un SIEM con log centralizzati è uno dei modi più diretti per farlo e per dimostrarlo con evidenze.
Spesso attivati insieme
SOC e MDR
Il Security Operation Center di Dottor Marc: monitoraggio, risposta gestita e, se serve, presidio 24 ore su 24.
Scopri di più VedereCyber Agent
L'agente sugli endpoint: eventi di sicurezza, integrità dei file e avvisi in italiano.
Scopri di più VedereLog accessi
Gli accessi degli amministratori di sistema raccolti e conservati come chiede il Garante.
Scopri di piùSai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.