Architettura SIEM: acquisizione, parsing e correlazione dei log

Una piattaforma di Security Information and Event Management (SIEM) aggrega i dati dei log provenienti dall'intera infrastruttura di un'organizzazione e li analizza alla ricerca di segnali di incidenti di sicurezza. Un SIEM combina due funzionalità: Security Information Management (SIM), ovvero archiviazione e analisi dei dati storici dei log, e Security Event Management (SEM), ovvero monitoraggio e generazione di avvisi in tempo reale. Insieme, queste funzionalità offrono ai team di sicurezza visibilità sull'intero ambiente da un'unica interfaccia.

Un SIEM acquisisce log da fonti diverse: firewall e IDS/IPS, sistemi operativi (Windows Event Logs, syslog Linux), sistemi di autenticazione (Active Directory, RADIUS, Okta), endpoint (agenti EDR), piattaforme cloud (AWS CloudTrail, Azure Activity Log), applicazioni (server web, database) e dispositivi di rete (switch, router, gateway VPN). L'ampiezza dell'acquisizione determina la copertura di rilevamento del SIEM.

I log grezzi arrivano in formati diversi: CEF (Common Event Format), LEEF (Log Event Extended Format), syslog, JSON, XML di Windows e formati proprietari. Il parser del SIEM estrae dal testo grezzo i campi strutturati (timestamp, IP di origine, IP di destinazione, utente, tipo di evento). La normalizzazione associa questi campi a uno schema comune, in modo che query e regole possano funzionare uniformemente su tutte le fonti di log, indipendentemente dal formato di origine.

La correlazione degli eventi è il processo di combinazione di eventi correlati provenienti da più fonti per identificare schemi indicativi di un incidente di sicurezza. Un singolo accesso non riuscito è rumore; 50 accessi non riusciti su 10 account in 5 minuti dallo stesso IP indicano un attacco di forza bruta. I motori di correlazione applicano regole basate su finestre temporali ai flussi di eventi, raggruppando gli eventi correlati e generando avvisi quando dal rumore emergono schemi sospetti.

Le piattaforme SIEM si presentano principalmente in due varianti architetturali. I SIEM on-premises (Splunk Enterprise, IBM QRadar, ArcSight) offrono il pieno controllo dei dati, ma richiedono un'infrastruttura significativa e un notevole impegno operativo. I SIEM cloud-native (Microsoft Sentinel, Google Chronicle, Elastic SIEM) offrono scalabilità elastica, minore carico operativo e integrazione nativa con i servizi cloud. Molte organizzazioni adottano architetture ibride, utilizzando un SIEM cloud per i log cloud e un SIEM on-premises per i dati sensibili che non possono lasciare l'ambiente.

I SIEM organizzano i dati acquisiti in indici o tabelle in base al tipo di log o al periodo di tempo. Le pipeline di dati pre-elaborano i log prima dell'archiviazione: filtrano il rumore (escludendo i ping di controllo dello stato), arricchiscono i campi (aggiungendo la geolocalizzazione agli indirizzi IP) e indirizzano i log ad alto volume verso livelli di archiviazione più economici. Le policy di conservazione stabiliscono per quanto tempo vengono mantenuti i log: i requisiti di conformità spesso impongono 12 mesi online, con ulteriore archiviazione per 7 anni.

Le piattaforme SIEM utilizzano linguaggi di query specializzati per cercare nei dati dei log. Splunk SPL (Search Processing Language) utilizza una sintassi basata sulle pipe. Microsoft Sentinel usa KQL (Kusto Query Language). Elastic utilizza EQL (Event Query Language) e Lucene. Questi linguaggi consentono agli analisti di filtrare, aggregare, unire e visualizzare i dati dei log per analizzare gli incidenti e creare regole di rilevamento. La padronanza del linguaggio di query del SIEM è una competenza fondamentale per gli analisti.

I SIEM moderni si integrano con le piattaforme di threat intelligence (TIP) per arricchire automaticamente gli eventi con informazioni di contesto. Quando un evento contiene un indirizzo IP o un nome di dominio, il SIEM verifica i feed di threat intelligence (VirusTotal, AlienVault OTX, feed commerciali) e aggiunge informazioni che indicano se l'indicatore è noto come dannoso, la relativa categoria di minaccia e il punteggio di affidabilità. Questo arricchimento accelera notevolmente il triage: gli analisti visualizzano il contesto senza dover cercare manualmente ogni indicatore.

Le dashboard SIEM offrono ai team SOC una visibilità operativa immediata. I pannelli più comuni includono: principali fonti di avvisi per gravità, andamento nel tempo degli errori di autenticazione, mappe geografiche delle connessioni in ingresso, punteggi di anomalia dell'attività degli utenti e numero di incidenti attivi. Le dashboard sono destinate a pubblici diversi: gli analisti hanno bisogno di dettagli operativi, mentre i manager necessitano di riepiloghi dei KPI, come il tempo medio di rilevamento (MTTD) e l'andamento del volume degli avvisi.

La fatica da alert si verifica quando un numero eccessivo di falsi positivi sovraccarica gli analisti, facendo sì che le minacce reali non vengano individuate. La gestione dei falsi positivi in un SIEM richiede: il tuning delle regole di correlazione tramite l'aggiunta di esclusioni per i comportamenti noti come legittimi, il calcolo del punteggio di rischio per dare priorità agli alert ad alta affidabilità, le regole di soppressione per silenziare i pattern benigni ripetitivi e la revisione regolare delle metriche sul volume degli alert. L'obiettivo è ottenere un volume gestibile di alert ad alta accuratezza che gli analisti possano esaminare in modo approfondito.

Le piattaforme di Security Orchestration, Automation, and Response (SOAR) si integrano con i SIEM per automatizzare la risposta ai tipi di alert più comuni. Quando un SIEM genera un alert, SOAR può automaticamente: interrogare l'attività dell'utente, verificare lo stato di conformità del dispositivo, cercare l'indirizzo IP nei feed di threat intelligence, bloccare l'IP sul firewall, disabilitare l'account utente e creare un ticket per l'incidente, tutto nel giro di pochi secondi. SOAR consente ai team SOC di gestire volumi di alert più elevati senza aumentare proporzionalmente il numero di addetti.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha imparato che: i SIEM aggregano e normalizzano i log provenienti da fonti diverse in uno schema comune, i motori di correlazione degli eventi applicano regole basate su finestre temporali per rilevare pattern di attacco in più eventi e l'integrazione con la threat intelligence e l'automazione SOAR accelerano la risposta degli analisti e riducono la fatica da alert. Nella prossima lezione vedremo come scrivere regole di rilevamento e alert efficaci per i SIEM.