Next Generation SIEM Giacomo Lanzi

Next Generation SIEM: a che punto siamo

Tempo di lettura: 7 min

Il SIEM esiste gia’ da un bel po’ di tempo, ma non e’ ancora ben compreso. Inoltre, il fatto che la tecnologia si sia evoluta in modo significativo negli ultimi anni non aiuta a fare chiarezza. Oggi vediamo a che punto siamo, cercando di capire il Next Generation SIEM e i sistemi gestiti offerti come servizi che si avvalgono dell’uso di SIEM di ultima generazione (SOCaaS, per esempio). Vediamo cosa significa tutto questo per le aziende. 

Essendo una parte fondamentale del SOCaaS offerto da SOD, mi sembra opportuno spiegare nel dettaglio cosa sia un Next Generation SIEM e quali le sue funzioni.

Breve storia del SIEM

Prima di esaminare che cos’e’ un Next Generation SIEM, e’ giusto ripercorrere brevemente la storia di questa tecnologia e del suo inizio.

Il termine Security Information and Event Management (SIEM) viene coniato nel 2005 da Mark Nicolett e Amrit T. Williams di Gartner. La parola e’ la fusione di Security Event Management (SEM) e di Security Information Management (SIM).

La sua definizione originale data dai creatori del termine e’: una tecnologia che supporta il rilevamento delle minacce e la risposta agli incidenti di sicurezza, attraverso la raccolta in tempo reale e l’analisi storica degli eventi da un’ampia varieta’ di fonti di dati contestuali.

Il SIEM e’ nato dalla necessita’ di affrontare l’enorme numero di allarmi emessi dai sistemi di prevenzione delle intrusioni (IPS) e dai sistemi di rilevamento delle intrusioni (IDS) che stavano travolgendo i reparti IT. Aiutando le organizzazioni ad aggregare gli eventi e ad analizzare meglio quelli all’interno della rete, SIEM ha aiutato le organizzazioni a migliorare il rilevamento delle minacce. Ha inoltre portato le organizzazioni ad adottare un approccio piu’ proattivo alla sicurezza. Le tecnologie di sicurezza preventive non sono piu’ sufficienti da sole.

Le difficolta’ dei SIEM nei primi anni

Desiderose di migliorare la loro situazione di sicurezza informatica, molte organizzazioni a livello aziendale hanno adottato rapidamente la tecnologia SIEM. Nel corso degli anni, tuttavia, sono emersi problemi ereditati dal passato:

1. I set di dati erano poco flessibili, quindi alcuni SIEM non erano in grado di elaborare i dati richiesti, il che significava che la loro efficacia era limitata
2. Erano difficili da mantenere e da gestire, il che aggiungeva complessita’ e prosciugava le risorse di personale
3. I SIEM producevano un elevato numero di falsi positivi, creando ancora piu’ lavoro per i team di sicurezza
4. Con l’avanzare della tecnologia, i SIEM hanno faticato a stare al passo con l’evoluzione delle minacce e quindi il rischio informatico per le aziende e’ cresciuto

Arriva il Next Generation SIEM 

Molte minacce avanzate sono ora polimorfiche piuttosto che statiche. Sono in grado, cioe’, di modificare costantemente il loro comportamento per eludere il rilevamento. In quanto tali, i sistemi Next Generation SIEM devono, non solo elaborare un maggior numero di dati, ma anche diventare molto piu’ capaci nel riconoscere nuovi modelli al loro interno.

Date le difficolta’ e i limiti dei sistemi SIEM ereditati, molti pensavano che sarebbero scomparsi con il tempo. Ma questo non e’ accaduto, il SIEM rimane ancora una tecnologia chiave utilizzata dalle aziende. La tecnologia ha dovuto pero’ evolversi.

Mentre un tempo il SIEM si basava solo su una manciata di fonti di dati, la “Next Generation” dei sistemi SIEM e’ stata sviluppata per elaborare un volume e una varieta’ di dati maggiori, oltre a correlarli in modo tempestivo.

Gartner ha riferito che il mercato SIEM e’ in continua crescita. Una delle ragioni di questa crescita e’ che i sistemi Next Gen SIEM sono ora utilizzati da organizzazioni di medie dimensioni, non solo dalle grandi imprese.

Next Generation SIEM on the Cloud

Next Generation SIEM si avvale dell’uso del cloud per la raccolta dei dati

Quali sono le capacita’ del Next Gen SIEM?

I Next Gen SIEM, talvolta denominati SIEM di tipo analitico o SIEM 3.0, hanno portato nuove capacita’ alle organizzazioni e ai loro team di sicurezza. 

Permettono una piu’ rapida integrazione in un’infrastruttura aziendale attraverso un’architettura aperta per coprire le risorse cloud, on-premise e BYOD
Includono strumenti di visualizzazione in tempo reale per comprendere le attivita’ piu’ importanti e ad alto rischio
Utilizzano l’analisi degli scenari e del comportamento per “fotografare” scenari ben compresi ed evidenziare cambiamenti significativi nel comportamento
Integrano e utilizzano le informazioni sulle minacce (Threat Intelligence) provenienti da fonti personalizzate, open source e commerciali
Forniscono un quadro flessibile che consente l’implementazione di un flusso di lavoro su misura per i principali casi d’uso organizzativi
Misurano lo stato rispetto ai quadri normativi (ad esempio PCI DSS) per la prioritizzazione e la gestione del rischio

Security Orchestration, Automation and Response

Security Orchestration, Automation and Response (SOAR) e’ un’area di sicurezza in crescita che i fornitori di Next Gen SIEM stanno sfruttando per contribuire e mettere a frutto le piu’ recenti funzionalita’. Nella sua essenza, SOAR ha due aspetti fondamentali:

1. Permette di portare piu’ dati in un Next Gen SIEM per l’analisi

SOAR sta aiutando la tecnologia SIEM a diventare piu’ intelligente e orientata ai Big Data, consentendo cosi’ ai team di sicurezza di prendere decisioni piu’ rapide e meglio informate. Un’intelligence piu’ ampia significa un’identificazione piu’ affidabile delle minacce e meno falsi positivi.

2. Aiuta ad automatizzare la risposta agli incidenti

Un altro modo importante in cui SOAR sta influenzando l’evoluzione dei SIEM Next Gen e’ quello di contribuire a standardizzare l’analisi degli incidenti e le procedure di risposta. L’obiettivo e’ quello di automatizzare parzialmente o completamente le attivita’ di risposta, al fine di ridurre i potenziali danni e i disagi che le violazioni possono causare. Tali attivita’ di risposta potrebbero includere il blocco degli account utente compromessi e il blocco degli indirizzi IP su un firewall.

Automatizzando le azioni di routine, SOAR aiuta i team di sicurezza a diventare piu’ efficienti e libera loro tempo per concentrarsi sulla caccia alle minacce e sulla gestione delle patch.

Analisi del comportamento degli utenti (UEBA)

Un’altra importante caratteristica dei Next Generation SIEM e’ l’uso della User and Entity Behaviour Analytics (UEBA). L’UEBA non tiene traccia degli eventi di sicurezza ne’ monitora i dispositivi, ma si concentra invece sul monitoraggio e sull’analisi del comportamento degli utenti di un’organizzazione.

UEBA puo’ essere estremamente utile per aiutare le organizzazioni ad identificare gli account compromessi, cosi’ come le minacce da parte di insider. Funziona utilizzando tecniche avanzate di machine learning e di profilazione comportamentale per identificare attivita’ anomale come compromissioni di account e abuso di privilegi. Non utilizzando un monitoraggio basato su regole, l’UEBA e’ piu’ efficace nel rilevare le anomalie nel tempo.

Le sfide per un SIEM moderno

Nonostante gli indiscutibili progressi nel rilevamento di complesse minacce informatiche, i SIEM Next Gen possono ancora, se non vengono impiegati e mantenuti correttamente, generare un gran numero di allarmi. Per le organizzazioni che non dispongono di risorse IT e di personale di sicurezza dedicato, la ricerca di questi allarmi per distinguere i veri problemi di sicurezza della rete dai falsi positivi puo’ essere estremamente complessa e richiedere molto tempo.

Anche quando vengono identificate minacce reali, sapere come rispondere ad esse puo’ essere altrettanto impegnativo.

Ottenere il massimo dal SIEM, per aiutare ad affrontare le crescenti sfide di sicurezza, dipendera’ anche da personale meglio addestrato che possa utilizzare i sistemi in modo piu’ efficace e convalidare gli allarmi. Per le organizzazioni che non dispongono di conoscenze o capacita’ interne, ha quindi senso lavorare con un fornitore esterno in grado di coprire o aumentare le capacita’ di sicurezza.

Un servizio completo di SOCaaS, comprendente Next Generation SIEM e UEBA per la caccia alle minacce, e’ la scelta ideale. Non solo si risparmia in termini di tempo per la convalida e controllo degli allarmi, ma anche in termini economici, non dovendo affrontare spese di installazione e formazione del personale.

Se fossi interessato a saperne di piu’, non esitare a contattarci, risponderemo alle tue domande.

Link utili:

SOC as a Service

Cos’e’ un Network Lateral Movement e come difendersi

Log Management

MITRE Att&ck: una panoramica

Il SOCaaS è utile per la tua azienda?

SIEM software: cos’e’ e come funziona

SIEM in informatica: la storia

 

Condividi


RSS

Piu’ articoli…

Categorie …

Tags

RSS CSIRT

  • PoC pubblico per lo sfruttamento della CVE-2024-2389 (AL09/240412/CSIRT-ITA) Aprile 12, 2024
    Disponibile un Proof of Concept (PoC) per la CVE-2024-2389 – già sanata dal vendor – presente in Flowmon, software per il monitoraggio del traffico di rete di Progress. Tale vulnerabilità – con score CVSS v3.x pari a 10.0 – potrebbe permettere ad un attaccante non autenticato di eseguire da remoto codice sui sistemi affetti per […]
  • Aggiornamenti di sicurezza per Node.js (AL08/240412/CSIRT-ITA) Aprile 12, 2024
    Rilasciati aggiornamenti di sicurezza che risolvono una vulnerabilità con gravità “alta” in Node.js, noto software open source per l’esecuzione di codice Javascript.
  • Aggiornamenti di sicurezza per prodotti Juniper Networks (AL07/240412/CSIRT-ITA) Aprile 12, 2024
    Juniper Networks rilascia aggiornamenti di sicurezza per sanare molteplici vulnerabilità in Junos OS. Tali vulnerabilità, qualora sfruttate, potrebbero comportare la divulgazione di informazioni sensibili, la compromissione della disponibilità del servizio e il bypass dei meccanismi di sicurezza sui sistemi interessati.
  • Palo Alto Networks risolve vulnerabilità in PAN-OS (AL03/240412/CSIRT-ITA) Aprile 12, 2024
    Aggiornamenti di sicurezza sanano 5 vulnerabilità, di cui una con gravità “critica”, nel software PAN-OS. Tali vulnerabilità, qualora sfruttate, potrebbero consentire a un utente remoto non autenticato di eseguire codice arbitrario, accedere a informazioni sensibili o compromettere la disponibilità del servizio sui sistemi target.
  • Aggiornamenti per VMware Spring (AL06/240412/CSIRT-ITA) Aprile 12, 2024
    Aggiornamenti di sicurezza VMware risolvono una vulnerabilità in Spring, noto framework open source per lo sviluppo di applicazioni Java. Tale vulnerabilità, correlata alle CVE-2024-22259 e CVE-2024-22243, potrebbe permettere il reindirizzamento della navigazione tramite la distribuzione di URL opportunamente predisposte.
  • Sanate vulnerabilità su GitLab CE/EE (AL05/240412/CSIRT-ITA) Aprile 12, 2024
    Rilasciati aggiornamenti di sicurezza che risolvono 4 vulnerabilità, di cui 2 con gravità “alta”, in GitLab Community Edition (CE) e Enterprise Edition (EE). Tali vulnerabilià potrebbero permettere a un utente malintenzionato l’accesso a informazioni sensibili e la possibilità di compromettere la disponibilità del servizio sul sistema target.
  • Vulnerabilità in Rust (AL04/240412/CSIRT-ITA) Aprile 12, 2024
    Rilevata una vulnerabilità con gravità “critica” in Rust, linguaggio di programmazione sviluppato da Mozilla Research. Tale vulnerabilità, qualora sfruttata, potrebbe consentire l’esecuzione di comandi arbitrari sui sistemi interessati tramite file batch con argomenti opportunamente predisposti.
  • Aggiornamenti per prodotti Citrix (AL02/240412/CSIRT-ITA) Aprile 12, 2024
    Aggiornamenti Citrix 2 alcune vulnerabilità, di cui una con gravità “alta”, nei prodotti Hypervisor e XenServer.
  • Risolte vulnerabilità in Google Chrome (AL01/240412/CSIRT-ITA) Aprile 12, 2024
    Google ha rilasciato un aggiornamento per il browser Chrome al fine di correggere 3 vulnerabilità di sicurezza con gravità “alta”.
  • Aggiornamenti Mensili Microsoft (AL07/240409/CSIRT-ITA) - Aggiornamento Aprile 10, 2024
    Microsoft ha rilasciato gli aggiornamenti di sicurezza mensili che risolvono un totale di 150 nuove vulnerabilità.

RSS darkreading

RSS Full Disclosure

  • CVE-2024-31705 Aprile 14, 2024
    Posted by V3locidad on Apr 14CVE ID: CVE-2024-31705 Title : RCE to Shell Commands" Plugin / GLPI Shell Command Management Interface Affected Product : GLPI - 10.X.X and last version Description: An issue in Infotel Conseil GLPI v.10.X.X and after allows a remote attacker to execute arbitrary code via the insufficient validation of user-supplied input. […]
  • SEC Consult SA-20240411-0 :: Database Passwords in Server Response in Amazon AWS Glue Aprile 14, 2024
    Posted by SEC Consult Vulnerability Lab via Fulldisclosure on Apr 14SEC Consult Vulnerability Lab Security Advisory < 20240411-0 > ======================================================================= title: Database Passwords in Server Response product: Amazon AWS Glue vulnerable version: until 2024-02-23 fixed version: as of 2024-02-23 CVE number: - impact: medium homepage: https://aws.amazon.com/glue/ found:...
  • [KIS-2024-03] Invision Community <= 4.7.16 (toolbar.php) Remote Code Execution Vulnerability Aprile 11, 2024
    Posted by Egidio Romano on Apr 10------------------------------------------------------------------------------ Invision Community
  • [KIS-2024-02] Invision Community <= 4.7.15 (store.php) SQL Injection Vulnerability Aprile 11, 2024
    Posted by Egidio Romano on Apr 10-------------------------------------------------------------------- Invision Community
  • Multiple Issues in concretecmsv9.2.7 Aprile 11, 2024
    Posted by Andrey Stoykov on Apr 10# Exploit Title: Multiple Web Flaws in concretecmsv9.2.7 # Date: 4/2024 # Exploit Author: Andrey Stoykov # Version: 9.2.7 # Tested on: Ubuntu 22.04 # Blog: http://msecureltd.blogspot.com Verbose Error Message - Stack Trace: 1. Directly browse to edit profile page 2. Error should come up with verbose stack trace […]
  • OXAS-ADV-2024-0001: OX App Suite Security Advisory Aprile 11, 2024
    Posted by Martin Heiland via Fulldisclosure on Apr 10Dear subscribers, We&apos;re sharing our latest advisory with you and like to thank everyone who contributed in finding and solving those vulnerabilities. Feel free to join our bug bounty programs for OX App Suite, Dovecot and PowerDNS at YesWeHack. This advisory has also been published at https://documentation.open-xchange.com/appsuite/security/advisories/html/2024/oxas-adv-2024-0001.html. […]
  • Trojan.Win32.Razy.abc / Insecure Permissions (In memory IPC) Aprile 11, 2024
    Posted by malvuln on Apr 10Discovery / credits: Malvuln (John Page aka hyp3rlinx) (c) 2024 Original source: https://malvuln.com/advisory/0eb4a9089d3f7cf431d6547db3b9484d.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Trojan.Win32.Razy.abc Vulnerability: Insecure Permissions (In memory IPC) Family: Razy Type: PE32 MD5: 0eb4a9089d3f7cf431d6547db3b9484d SHA256: 3d82fee314e7febb8307ccf8a7396b6dd53c7d979a74aa56f3c4a6d0702fd098 Vuln ID: MVID-2024-0678...
  • CVE-2023-27195: Broken Access Control - Registration Code in TM4Web v22.2.0 Aprile 11, 2024
    Posted by Clément Cruchet on Apr 10CVE ID: CVE-2023-27195 Description: An access control issue in Trimble TM4Web v22.2.0 allows unauthenticated attackers to access a specific crafted URL path to retrieve the last registration access code and use this access code to register a valid account. If the access code was used to create an Administrator […]
  • [CFP] IEEE CSR Workshop on Cyber Forensics& Advanced Threat Investigations in Emerging Technologies 2024 Aprile 5, 2024
    Posted by Andrew Zayine on Apr 05Dear Colleagues, IEEE CSR Workshop on Cyber Forensics and Advanced Threat Investigations in Emerging Technologies organizing committee is inviting you to submit your research papers. The workshop will be held in Hybrid mode. The in-person mode will held at Hilton London Tower Bridge, London from 2 to 4 September […]
  • Backdoor.Win32.Agent.ju (PSYRAT) / Authentication Bypass RCE Aprile 5, 2024
    Posted by malvuln on Apr 05Discovery / credits: Malvuln (John Page aka hyp3rlinx) (c) 2024 Original source: https://malvuln.com/advisory/0e6e40aad3e8d46e3c0c26ccc6ab94b3.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Backdoor.Win32.Agent.ju (PSYRAT) Vulnerability: Authentication Bypass RCE Family: PSYRAT Type: PE32 MD5: 0e6e40aad3e8d46e3c0c26ccc6ab94b3 Vuln ID: MVID-2024-0677 Disclosure: 04/01/2024 Description: The PsyRAT 0.01 malware listens on...

Customers

Newsletter

{subscription_form_2}