Security Information and Event Management

Nel campo della sicurezza informatica con l'acronimo SIEM (security information and event management) ci si riferisce ad una serie di prodotti software e servizi che combinano/integrano le funzionalità offerte dai SIM (security information management) a quelle dei SEM (security event management).[1]

Il termine security information and event management è stato coniato da Mark Nicolett e Amrit Williams dell'azienda americana Gartner nel 2005.[2]

Il 17 maggio 2021 il presidente statunitense Joseph Biden ha firmato l'Executive Order 14028, "Improving the Nation's Cybersecurity", che ha imposto requisiti aggiuntivi di logging e monitoraggio, contribuendo a diffondere l'adozione di tecnologie SIEM nei sistemi federali statunitensi.[3]

Storia

Inizialmente il logging di sistema era usato principalmente per il debug e la risoluzione di problemi tecnici. Con la crescente complessità dei sistemi operativi e delle reti, è aumentata anche la generazione di log di sistema, così come il loro monitoraggio, a causa della diffusione di attacchi informatici sofisticati e della necessità di conformarsi ai quadri normativi che impongono controlli di sicurezza sul logging.[4]

A partire dalla fine degli anni '70, alcuni gruppi di lavoro iniziarono a definire i criteri per la gestione dei programmi di auditing e monitoraggio, gettando le basi delle moderne pratiche di cybersecurity. Una pubblicazione fondamentale di questo periodo fu la NIST Special Publication 500-19.[4]

Il National Institute of Standards and Technology (NIST) definisce un SIEM come "un'applicazione che fornisce la capacità di raccogliere dati di sicurezza dai componenti di un sistema informativo e di presentare tali dati come informazioni utilizzabili tramite un'unica interfaccia".[5]

Descrizione

SEM e SIM

Pur fornendo funzionalità differenti gli acronimi SIM, SEM e SIEM vengono spesso utilizzati come intercambiabili.[6]

Il SEM provvede al monitoraggio e alla gestione sistema real-time degli eventi che accadono all'interno della rete e sui vari sistemi di sicurezza, fornendo una correlazione e aggregazione tra essi. Presenta una console centralizzata adibita al monitoraggio, alla segnalazione e risposta automatica a determinati eventi.

Il SIM è un software utilizzato per automatizzare il processo di raccolta e gestione dei log non in tempo reale. I dati vengono raccolti e spediti ad un server centralizzato tramite l'utilizzo di software agent installati sui vari dispositivi del sistema monitorato. La possibilità di usufruire di spazi di archiviazione a lungo termine unita all'analisi dei dati consente la generazione di report personalizzati.[7][8]

Oltre a SIM e SEM, la terminologia del settore comprende anche altre categorie correlate, come il Managed Security Service (MSS/MSSP) e il Security as a Service (SECaaS), che spesso includono funzionalità di autenticazione, antivirus e gestione degli eventi di sicurezza.

Funzionalità

I SIEM integrano le funzionalità offerte dai SEM e SIM al fine di poter combinare all'analisi svolta in tempo reale degli eventi, la possibilità di fornire report inerenti ai dati raccolti, rispondendo alle esigenze di incident response, compliance e di analisi forense.[9]

I software SIEM sono installati tipicamente all'interno di un server centralizzato affiancati ad un database dove vengono memorizzati i dati raccolti. Di seguito sono riportate le principali funzionalità offerte:[10][11]

  • Raccolta dati: I log sono la fonte principale di dati analizzati da un SIEM. Ogni apparato di sicurezza, software, database, presente nel sistema invia i dati contenuti all'interno dei file di log al server principale sul quale risiede il SIEM. L'invio dei dati può essere gestito tramite software agent oppure consentendo al SIEM di accedere direttamente al dispositivo. La scelta su quale metodo utilizzare è correlata ai dispositivi che utilizziamo.
  • Parsing e normalizzazione: Ogni dispositivo gestisce e conserva i dati a modo suo, il SIEM provvede ad uniformare i dati raccolti, catalogandoli per tipo di dispositivo e tipo di dato, agevolandone l'interpretazione.
  • Correlazione: La correlazione tra eventi diversi è una delle funzionalità principali, consente di integrare ed analizzare gli eventi provenienti da diverse fonti. Sebbene il SIEM disponga di una serie di regole di correlazione già predefinite, mette a disposizione la possibilità di creare delle regole personalizzate al fine di soddisfare le esigenze degli amministratori. Basandoci sulla correlazione tra gli eventi di sicurezza e i dati sulle vulnerabilità presenti nel sistema è possibile attribuire una priorità ad un evento.
  • Reporting: L'archiviazione dei dati a lungo termine unita alla possibilità di sfruttare query personalizzate per l'estrazione dei dati, consentono la creazione di report. I report possono essere utilizzati a scopo di audit, compliance o di analisi forense.
  • Dashboard: Le dashboard forniscono un quadro generale dell'ambiente di lavoro in tempo reale. Tramite questi strumenti è possibile fornire una rappresentazione dei dati sotto forma di diagrammi o altri modelli, consentendo agli analisti di individuare rapidamente attività anomale.
  • Notifiche: I segnali di notifica e avviso vengono generati al presentarsi di determinati eventi, informando gli utenti di una possibile minaccia. Le segnalazioni possono avvenire tramite dashboard o utilizzando servizi di terze parti come la posta elettronica o gli SMS.

Casi d'uso

L'esperto di sicurezza informatica Anton Chuvakin, indicò tramite un articolo pubblicato sul blog dell'azienda Americana Gartner, i principali casi d'uso di un software SIEM:[12]

  • Tracciare le autenticazioni attraverso i sistemi, individuando, se presenti, gli accessi non autorizzati.
  • Rilevamento di malware, parti infette del sistema.
  • Monitoraggio delle connessioni sospese e trasferimento dei dati. Rilevamento di connessioni sospette verso l'esterno.
  • Segnalazione nel caso di intrusion prevention system (IPS) o intrusion detection system (IDS) basandosi sui dati inerenti alle vulnerabilità e altri dati contestuali raccolti dal SIEM.
  • Violazione delle politiche interne del sistema.
  • Tentativi di attacco e compromissione al corretto funzionamento delle applicazioni web.

Integrazione con i big data

Come in diversi significati e definizioni di capacità, l'evoluzione dei requisiti continua a modificare le derivazioni dei prodotti della categoria SIEM. Le organizzazioni stanno passando a piattaforme di big data, come Apache Hadoop, per completare le capacità di SIEM estendendo la capacità di data storage e di flessibilità analitica.[13][14] Il bisogno di visibilità voce-centrica o vSIEM (voice security information and event management) fornisce un recente esempio di questa evoluzione.

Conformità normativa

I sistemi SIEM svolgono un ruolo significativo nell'aiutare le organizzazioni a soddisfare i requisiti di conformità normativa, centralizzando la raccolta dei log, consentendo il monitoraggio in tempo reale e generando report pronti per l'audit.[15]

Pubblicata nel settembre 2006, la NIST SP 800-92 Guide to Computer Security Log Management costituisce un documento chiave utilizzato per definire cosa dovrebbe essere sottoposto ad audit. Diverse normative e standard fanno riferimento alle linee guida del NIST sul logging, tra cui il Federal Information Security Management Act (FISMA), il Gramm-Leach-Bliley Act (GLBA), l'Health Insurance Portability and Accountability Act (HIPAA), il Sarbanes-Oxley Act (SOX) del 2002, il Payment Card Industry Data Security Standard (PCI DSS) e la ISO/IEC 27001.[15]

Ai sensi della HIPAA Security Rule, le organizzazioni soggette all'obbligo devono implementare controlli di audit che registrino ed esaminino le attività sui sistemi informativi contenenti dati sanitari elettronici protetti (ePHI).[16]

Il Requirement 10 del PCI DSS impone alle organizzazioni di tracciare e monitorare tutti gli accessi alle risorse di rete e ai dati dei titolari di carte di pagamento, con i sistemi SIEM comunemente utilizzati per aggregare e analizzare i dati di log richiesti nei vari ambienti distribuiti.[17]

I controlli NIST SP 800-53 AU-2 (Event Monitoring), SI-4 (System Monitoring) e RA-10 (Threat Hunting) costituiscono elementi chiave a supporto dell'audit di sistema e del monitoraggio continuo per l'information assurance, e le soluzioni SIEM svolgono un ruolo cruciale nell'implementazione pratica di questi controlli.[18]

Esempi di regole di correlazione

I sistemi SIEM possono avere centinaia o migliaia di regole di correlazione. Una volta attivata una regola, il sistema può notificare un analista o, in alcuni casi, limitare/bloccare automaticamente il sistema interessato.[19]

  • Rilevamento di attacchi brute force: tentativi ripetuti e automatizzati di indovinare una password in un breve lasso di tempo, impossibili da eseguire manualmente da un utente umano.
  • Impossible travel: accessi da posizioni geografiche incompatibili in tempi troppo brevi per essere plausibili, tenendo conto dell'uso di VPN che può oscurare la posizione reale.
  • Copia eccessiva di file: volumi anomali di trasferimento o spostamento file, possibile indicatore di esfiltrazione di dati riservati.
  • Rilevamento di anomalie di rete: monitoraggio del traffico di rete rispetto a pattern inusuali, incluse scansioni e attacchi DDoS.
  • File integrity monitoring (FIM): modifiche inaspettate ai file di sistema, indicatore probabile di un attacco informatico.

Voci correlate

Note

  1. ↑ (EN) SIEM: A Market Snapshot, su drdobbs.com, 5 febbraio 2007. URL consultato il 5 febbraio 2018.
  2. ↑ (EN) Improve IT Security With Vulnerability Management, su gartner.com, 2 maggio 2005. URL consultato il 5 febbraio 2018.
  3. ↑ (EN) Executive Order 14028 – Improving the Nation's Cybersecurity, su Federal Register, 17 maggio 2021. URL consultato il 4 luglio 2026.
  4. 1 2 (EN) NIST Special Publication 500-19, su NIST CSRC. URL consultato il 4 luglio 2026.
  5. ↑ (EN) Security Information and Event Management - Glossary, su CSRC NIST. URL consultato il 4 luglio 2026.
  6. ↑ (EN) David Swift, A Practical Application of SIM/SEM/SIEM Automating Threat Identification (PDF), a cura di SANS Institute, 23 dicembre 2006, p. 3. URL consultato il 5 febbraio 2018.
  7. ↑ (EN) The difference between SEM, SIM and SIEM, su gmdit.com, 29 marzo 2010. URL consultato il 5 febbraio 2018.
  8. ↑ (EN) Security Information Management (SIM), su techopedia.com. URL consultato il 5 febbraio 2018.
  9. ↑ ABC della sicurezza: SIEM, Security Information and Event Management, su techeconomy.com, 27 febbraio 2015. URL consultato il 6 febbraio 2018 (archiviato dall'url originale il 2 luglio 2017).
  10. ↑ (EN) Security Information and Event Monitoring (SIEM), su uhcl.edu. URL consultato il 6 febbraio 2018 (archiviato dall'url originale il 12 febbraio 2018).
  11. ↑ (EN) Anton Chuvakin, La guida completa alla gestione di log ed eventi (PDF), a cura di NetIQ, pp. 2-3. URL consultato il 6 febbraio 2018.
  12. ↑ (EN) Popular SIEM Starter Use Cases, su blogs.gartner.com, 14 maggio 2014. URL consultato l'8 febbraio 2018.
  13. ↑ (EN) Cybersecurity at petabyte scale, su cloudera.com.
  14. ↑ (EN) Justin Hayes, Cybersecurity and the Big Yellow Elephant, su Cloudera Vision Blog, 6 maggio 2015. URL consultato il 13 luglio 2016 (archiviato dall'url originale il 28 agosto 2016).
  15. 1 2 (EN) NIST SP 800-92: Guide to Computer Security Log Management, su NIST CSRC, settembre 2006. URL consultato il 4 luglio 2026.
  16. ↑ (EN) HIPAA Security Rule, su U.S. Department of Health & Human Services. URL consultato il 4 luglio 2026.
  17. ↑ (EN) PCI DSS Requirement 10, su PCI Security Standards Council. URL consultato il 4 luglio 2026.
  18. ↑ (EN) NIST SP 800-53 Rev. 5: Security and Privacy Controls, su NIST CSRC. URL consultato il 4 luglio 2026.
  19. ↑ Che cos'è il SIEM (Security Information and Event Management)?, su Check Point. URL consultato il 4 luglio 2026.
Questa voce è stata pubblicata da Wikipedia. Il testo è rilasciato in base alla licenza Creative Commons Attribution-Share Alike 4.0, salvo diversa indicazione. Potrebbero essere applicate clausole aggiuntive per i file multimediali.