SIEM - Raccolta e analisi dei dati Giacomo Lanzi

SIEM software: cos’e’ e come funziona

Tempo di lettura: 5 min

Evolvendosi al di la’ delle sue radici nella gestione dei log file, gli odierni fornitori di software per la gestione delle informazioni di sicurezza e degli eventi (SIEM) stanno introduciendo l’IA, l’analisi statistica avanzata e altri metodi analitici nei loro prodotti. Ma cos’e’ un software SIEM e quali sono i suoi utilizzi?

Il software SIEM

Acronimo di Security Information and Event Management, e’ un prodotto che fornisce ai professionisti della cyber security nelle aziende una visione d’insieme e un track record delle attivita’ all’interno del loro ambiente IT.

La tecnologia usata esiste da piu’ di un decennio, e si e’ evoluta della pratica di gestione dei log file. Ha combinato la security event management (SEM), che analizza i dati dei log e degli eventi in tempo reale per fornire monitoring delle minacce, correlazione degli eventi e risposta agli incidenti, con la security information management (SIM) che raccoglie, analizza e riporta i dati dei log.

Come funziona?

Il SIEM raccoglie e aggrega i dati di log generati in tutta l’infrastruttura tecnologica dell’organizzazione, dai sistemi e applicazioni host ai dispositivi di rete e di sicurezza come i firewall e i filtri antivirus. Quindi, identifica e categorizza gli incidenti e gli eventi, oltre ad analizzarli.

Il software persegue due principali obiettivi, che sono: fornire rapporti su incidenti ed eventi legati alla sicurezza informatica, come login riusciti e non, attivita’ di malware e altre possibili attivita’ dannose, e inviare avvisi se l’analisi mostra che un’attivita’ va contro regole prestabilite, indicando un potenziale problema di sicurezza.

Secondo gli esperti, negli ultimi anni la domanda delle imprese di maggiori misure di sicurezza ha spinto il mercato all’espansione. Oggi le grandi organizzazioni guardano al SIEM come a una base per la creazione di un centro operativo di sicurezza (SOC). 

Analisi e intelligence

Uno dei principali fattori alla base dell’utilizzo del software SIEM per le operazioni di sicurezza e’ rappresentato dalle funzionalita’ offerte.

Molti prodotti offrono, oltre ai tradizionali dati dei log file, anche feed di informazioni sulle minacce. Alcuni software SIEM hanno anche capacita’ di analisi della sicurezza ed esaminano il comportamento della rete e quello degli utenti per fornire piu’ informazioni sulla possibilita’ che un’azione indichi o meno un’attivita’ dannosa.

In linea generale, gli strumenti SIEM forniscono:

1. Visibilita’ in tempo reale attraverso i sistemi di sicurezza informatica di un’organizzazione
2. Gestione del registro eventi che consolida i dati provenienti da numerose fonti
3. Una correlazione di eventi raccolti da diversi log o fonti di sicurezza, utilizzando regole che aggiungono informazioni importanti ai dati grezzi
4. Notifiche automatiche degli eventi di sicurezza. La maggior parte dei sistemi SIEM fornisce dashboard per i problemi di sicurezza e altri metodi di notifica diretta

Il processo di funzionamento SIEM

Nella pratica, il processo di funzionamento di un sistema SIEM si puo’ suddividere nei seguenti passaggi:

1. Raccolta dati: Tutte le fonti di informazioni sulla sicurezza della rete (es. server, sistemi operativi, firewall, software antivirus e sistemi di prevenzione delle intrusioni) sono configurate per mandare i log file degli eventi. La maggior parte dei moderni strumenti SIEM utilizza agenti per raccogliere i registri degli eventi dai sistemi aziendali, che vengono poi elaborati, filtrati e inviati al sistema. 

2. Policy: Un profilo di policy viene creato dall’amministratore. Questo definisce il comportamento dei sistemi aziendali, sia in condizioni normali che durante gli incidenti di sicurezza predefiniti. Si forniscono regole predefinite, avvisi, report e dashboard che possono essere regolati e personalizzati in base alle specifiche esigenze di sicurezza.

3. Consolidamento e correlazione dei dati: Questi software consolidano, analizzano e controllano i log file. Gli eventi vengono poi categorizzati in base ai dati grezzi e vengono applicate regole di correlazione che combinano i singoli eventi.

4. Notifiche: Se un evento o un insieme di eventi fa scattare un allarme SIEM, il sistema notifica il personale di sicurezza.

E’ evidente che un SIEM si ferma all’analisi delle minacce e conseguente notifica. In seguito a queste, occorre che qualcuno intervenga, sia controllando i report che prendendo misure per mitigare l’eventuale minaccia. Questo puo’ avvenire solo se dietro al software e’ presente 24/7 una squadra di tecnici preparati che faccia manutenzione e intervenga quando necessario.

Conclusioni

Sebbene queste soluzioni offrono diversi vantaggi alle imprese di tutte le dimensioni e forme, esse presentano anche limiti e vulnerabilita’ che non dovrebbero essere ignorati.

Security Information and Event ManagementUn SIEM richiede un monitoraggio costante 24 ore su 24, 7 giorni su 7, dei registri e degli allarmi, una regolare manutenzione e configurazione, nonche’ un team di sicurezza dedicato responsabile della gestione del software. La maggior parte del lavoro inizia dopo l’implementazione del SIEM. Pertanto, le organizzazioni non possono fare affidamento solo su queste soluzioni per proteggere le infrastrutture IT critiche.

Anche con un sistema del genere in funzione, i professionisti della sicurezza devono assicurarsi di avere risorse, strumenti, budget e tempo adeguati per poter sfruttare le funzionalita’ e garantire una protezione completa contro le potenziali minacce alla sicurezza.

Sotto questo punto di vista, la soluzione piu’ interessante per le aziende e’ quella di un SOCaaS, che comprende SIEM e gli altri strumenti adeguati per una gestione completa della cyber security di un’azienda.

 Link utili:

SOC as a Service

Cos’e’ un Network Lateral Movement e come difendersi

Log Management

MITRE Att&ck: una panoramica

Il SOCaaS è utile per la tua azienda?

Condividi


RSS

Piu’ articoli…

Categorie …

Tags

RSS CSIRT

RSS Dark Reading

RSS Full Disclosure

  • [ES2021-09] FreeSWITCH susceptible to Denial of Service via invalid SRTP packets Ottobre 26, 2021
    Posted by Sandro Gauci on Oct 26# FreeSWITCH susceptible to Denial of Service via invalid SRTP packets - Fixed versions: v1.10.7 - Enable Security Advisory: https://github.com/EnableSecurity/advisories/tree/master/ES2021-09-freeswitch-srtp-dos - Vendor Security Advisory: https://github.com/signalwire/freeswitch/security/advisories/GHSA-jh42-prph-gp36 - Other references: CVE-2021-41105 - Tested vulnerable versions:
  • [ES2021-06] FreeSWITCH susceptible to Denial of Service via SIP flooding Ottobre 26, 2021
    Posted by Sandro Gauci on Oct 26# FreeSWITCH susceptible to Denial of Service via SIP flooding - Fixed versions: v1.10.7 - Enable Security Advisory: https://github.com/EnableSecurity/advisories/tree/master/ES2021-06-freeswitch-flood-dos - Vendor Security Advisory: https://github.com/signalwire/freeswitch/security/advisories/GHSA-jvpq-23v4-gp3m - Other references: CVE-2021-41145 - Tested vulnerable versions:
  • [ES2021-08] FreeSWITCH does not authenticate SIP SUBSCRIBE requests by default Ottobre 26, 2021
    Posted by Sandro Gauci on Oct 26# FreeSWITCH does not authenticate SIP SUBSCRIBE requests by default - Fixed versions: v1.10.7 - Enable Security Advisory: https://github.com/EnableSecurity/advisories/tree/master/ES2021-08-freeswitch-SIP-SUBSCRIBE-without-auth - Vendor Security Advisory: https://github.com/signalwire/freeswitch/security/advisories/GHSA-g7xg-7c54-rmpj - Other references: CVE-2021-41157 - Tested vulnerable versions:
  • [ES2021-05] FreeSWITCH vulnerable to SIP digest leak for configured gateways Ottobre 26, 2021
    Posted by Sandro Gauci on Oct 26# FreeSWITCH vulnerable to SIP digest leak for configured gateways - Fixed versions: v1.10.7 - Enable Security Advisory: https://github.com/EnableSecurity/advisories/tree/master/ES2021-05-freeswitch-vulnerable-to-SIP-digest-leak - Vendor Security Advisory: https://github.com/signalwire/freeswitch/security/advisories/GHSA-3v3f-99mv-qvj4 - Other references: CVE-2021-41158 - Tested vulnerable versions:
  • VDPBW Bundeswehr - 1 Year Vulnerability Disclosure Policy of the Bundeswehr Ottobre 26, 2021
    Posted by info () vulnerability-lab com on Oct 26Title: 1 Year Vulnerability Disclosure Policy of the Bundeswehr - The Balance Sheet of the CISOBwChief Information Security Officer Reference: https://www.bundeswehr.de/de/organisation/cyber-und-informationsraum/aktuelles/1-jahr-vdpbw-cisobw-bilanz-5232904 Title:  VDPBwVulnerability Disclosure Policy der Bundeswehr - COIN Reference: https://www.bundeswehr.de/de/security-policy/vdpbw-coin Title:  Im Dienst der IT-Sicherheit (Interview 1st...
  • PHP Melody v3.0 - Multiple Cross Site Web Vulnerabilities Ottobre 26, 2021
    Posted by info () vulnerability-lab com on Oct 26Document Title: =============== PHP Melody v3.0 - Multiple Cross Site Web Vulnerabilities References (Source): ==================== https://www.vulnerability-lab.com/get_content.php?id=2290 Bulletin: https://www.phpsugar.com/blog/2021/09/php-melody-3-0-vulnerability-report-fix/ Release Date: ============= 2021-10-20 Vulnerability Laboratory ID (VL-ID): ==================================== 2290 Common Vulnerability Scoring System:...
  • Simplephpscripts Simple CMS v2.1 - Remote SQL Injection Vulnerability Ottobre 26, 2021
    Posted by info () vulnerability-lab com on Oct 26Document Title: =============== Simplephpscripts Simple CMS v2.1 - Remote SQL Injection Vulnerability References (Source): ==================== https://www.vulnerability-lab.com/get_content.php?id=2303 Release Date: ============= 2021-10-19 Vulnerability Laboratory ID (VL-ID): ==================================== 2303 Common Vulnerability Scoring System: ==================================== 7.1 Vulnerability Class: ==================== SQL...
  • Simplephpscripts Simple CMS v2.1 - Persistent Vulnerability Ottobre 26, 2021
    Posted by info () vulnerability-lab com on Oct 26Document Title: =============== Simplephpscripts Simple CMS v2.1 - Persistent Vulnerability References (Source): ==================== https://www.vulnerability-lab.com/get_content.php?id=2302 Release Date: ============= 2021-10-19 Vulnerability Laboratory ID (VL-ID): ==================================== 2302 Common Vulnerability Scoring System: ==================================== 5.3 Vulnerability Class: ==================== Cross Site...
  • SPA Cart CMS - Multiple SQL Injection Web Vulnerabilities Ottobre 26, 2021
    Posted by info () vulnerability-lab com on Oct 26Document Title: =============== SPA Cart CMS - Multiple SQL Injection Web Vulnerabilities References (Source): ==================== https://www.vulnerability-lab.com/get_content.php?id=2304 Release Date: ============= 2021-10-18 Vulnerability Laboratory ID (VL-ID): ==================================== 2304 Common Vulnerability Scoring System: ==================================== 7.3 Vulnerability Class: ==================== Script Code...
  • Simplephpscripts Simple CMS v2.1 - XSS Web Vulnerability Ottobre 26, 2021
    Posted by info () vulnerability-lab com on Oct 26Document Title: =============== Simplephpscripts Simple CMS v2.1 - XSS Web Vulnerability References (Source): ==================== https://www.vulnerability-lab.com/get_content.php?id=2301 Release Date: ============= 2021-10-18 Vulnerability Laboratory ID (VL-ID): ==================================== 2301 Common Vulnerability Scoring System: ==================================== 5.1 Vulnerability Class: ==================== Cross Site...

Customers

Newsletter