Il SOC e i suoi livelli

Un Security Operations Center (SOC) è il team e la struttura responsabili del monitoraggio, del rilevamento, dell'analisi e della risposta alle minacce alla sicurezza, 24 ore su 24.

Il SOC acquisisce la telemetria da tutto l'ambiente e trasforma i segnali grezzi in decisioni operative. Tra le responsabilità principali rientrano:

• Monitoraggio dei log, del traffico di rete e dei dati degli endpoint
• Rilevamento di attività sospette o dannose
• Valutazione iniziale e analisi degli avvisi
• Risposta e coordinamento durante gli incidenti

La maggior parte dei SOC utilizza un modello a livelli per distribuire il carico di lavoro e adeguare la difficoltà al livello di competenza. Gli avvisi salgono di livello in base alla gravità e alla complessità:

• Tier 1 — valutazione iniziale e gestione iniziale degli avvisi
• Tier 2 — analisi più approfondita degli avvisi sottoposti a escalation
• Tier 3 — threat hunting, analisi del malware e attività forensi avanzate

Questa struttura consente agli analisti senior di concentrarsi sui problemi più complessi, mentre il rumore ordinario viene filtrato nelle fasi iniziali.

Gli analisti di Tier 1 sono la prima linea operativa. Monitorano la coda degli alert, eseguono il triage iniziale e decidono se un alert è un falso positivo, un'attività benigna o se merita un'escalation.

Seguono procedure documentate e ricorrono raramente all'improvvisazione. Tra le competenze fondamentali rientrano la lettura rapida dei log, il riconoscimento dei pattern di attacco più comuni e una gestione disciplinata dei ticket.

Un buon analista di Tier 1 elimina rapidamente il rumore ed esegue l'escalation delle minacce reali con note chiare e complete.

Gli analisti di Tier 2 gestiscono gli alert sottoposti loro dagli analisti di Tier 1. Conducono indagini più approfondite, correlano gli eventi tra diverse fonti di dati e determinano l'ambito e l'impatto dell'incidente.

Passano da un log all'altro per rispondere a domande come: Che cosa è successo per primo? Quali host e account sono coinvolti? I dati sono stati consultati o esfiltrati?

Durante un incidente attivo, il Tier 2 spesso guida le prime decisioni di contenimento.

Il Tier 3 è il livello più senior: comprende threat hunter, analisti di malware e specialisti di analisi forense.

• Threat hunting — ricerca proattiva delle minacce sfuggite al rilevamento
• Analisi del malware — reverse engineering di file binari sospetti
• Analisi forense — ricostruzione delle attività degli attaccanti a partire da disco, memoria e log

Il Tier 3 migliora anche i rilevamenti integrando i risultati ottenuti nel set di regole.

La piattaforma SIEM (Security Information and Event Management) è il sistema nervoso centrale del SOC. Raccoglie, normalizza e correla i log provenienti da numerose fonti e genera alert in base alle regole di rilevamento.

Fonti di log comuni che alimentano un SIEM:

Gli strumenti SOAR (Security Orchestration, Automation and Response) automatizzano le attività ripetitive del SOC. Riducono l'affaticamento degli analisti e accelerano la risposta.

Automazioni tipiche:

• Arricchimento automatico di un alert con threat intelligence e contesto dell'asset
• Verifica di un URL o di un hash tramite servizi di reputazione
• Isolamento di un host tramite EDR con un clic
• Apertura e aggiornamento automatici dei ticket

L'automazione gestisce il lavoro meccanico, lasciando alle persone le decisioni che richiedono giudizio.

Le minacce non rispettano l'orario lavorativo, quindi i SOC puntano a una copertura 24/7. Esistono due modelli comuni:

• Turni a rotazione — gli analisti locali lavorano su turni diurni, serali e notturni
• Follow-the-sun — passaggi di consegne tra SOC situati in fusi orari diversi, così che ciascun team lavori durante le ore diurne

Note dettagliate per il passaggio di consegne sono fondamentali, affinché il team successivo erediti il contesto e non la confusione.

Le organizzazioni possono creare un SOC interno oppure affidarsi a un Managed Security Service Provider (MSSP), talvolta indicato come MDR.

• Interno — conoscenza approfondita dell'azienda e controllo completo, ma costi e oneri di gestione del personale più elevati
• MSSP/MDR — copertura conveniente e competenze ampie, ma minore conoscenza specifica dell'ambiente

Molte organizzazioni scelgono un modello ibrido: Tier 2/3 interno, con un MSSP che gestisce il monitoraggio di Tier 1.

Un percorso di escalation chiaro definisce chi deve essere coinvolto e quando. Un alert può passare dal Tier 1 al Tier 2, mentre un incidente confermato viene sottoposto a un incident commander, all'ufficio legale, al team delle comunicazioni e alla dirigenza.

Livelli di gravità definiti, ad esempio da SEV1 a SEV4, attivano aspettative diverse per la risposta. Conoscere il percorso previene ritardi e panico durante un incidente reale.

Oltre ai diversi livelli, un SOC maturo comprende ruoli specializzati:

• Responsabile del SOC — gestisce il personale, i processi e le metriche
• Detection Engineer — crea e ottimizza le regole di rilevamento
• Analista di threat intelligence — monitora gli avversari e fornisce il contesto necessario
• Incident Commander — coordina la risposta agli incidenti maggiori

Questi ruoli permettono al SOC di migliorare continuamente, invece di limitarsi a reagire.

Ha appreso come è strutturato un SOC:

• Un SOC monitora, rileva, analizza e affronta le minacce 24/7
• Il Tier 1 esegue il triage degli alert, il Tier 2 analizza le escalation e il Tier 3 svolge attività di threat hunting e analisi forense
• Il SIEM centralizza e correla i log; il SOAR automatizza le attività di routine
• La copertura utilizza turni a rotazione o il modello follow-the-sun, con passaggi di consegne accurati
• I SOC possono essere interni, MSSP/MDR o ibridi, con percorsi di escalation chiari e ruoli specializzati

Successivamente, seguirà un alert attraverso il flusso di lavoro del triage.