Log Analysis e Security Information Management
L’analisi dei log è il fondamento di qualsiasi strategia di threat detection efficace. Ogni sistema IT genera milioni di eventi al giorno — server, firewall, endpoint, applicazioni, database — e la capacità di raccogliere, normalizzare, correlare e analizzare questi dati in tempo reale è ciò che distingue un’organizzazione resiliente da una vulnerabile.
Il Ruolo della Log Analysis nella Cybersecurity Moderna
La Log Analysis nel contesto della sicurezza informatica va ben oltre il semplice archiviazione dei log. Si tratta di un processo strutturato che trasforma dati grezzi in intelligence azionabile, permettendo ai team di sicurezza di identificare pattern anomali, ricostruire la catena di attacco durante un incidente e dimostrare la compliance con le normative vigenti come GDPR e NIS2.
Fidem integra la Log Analysis all’interno del proprio SOC gestito, utilizzando il motore proprietario Defensio per la correlazione degli eventi e la pipeline AI multi-stadio per la classificazione delle anomalie, con il controllo finale degli analisti.
Architettura del Servizio
Raccolta e Normalizzazione
Implementiamo collector dedicati per ogni tipo di sorgente: syslog per dispositivi di rete, Windows Event Log per gli endpoint, audit log delle applicazioni, flow data (NetFlow/sFlow) per il traffico di rete. Tutti i dati vengono normalizzati in un formato unificato per consentire la correlazione cross-source.
Correlazione e Detection
Il motore di correlazione Defensio applica regole statiche (signature-based), analisi comportamentale (baseline deviation) e modelli di machine learning per identificare le minacce. Le regole sono allineate al framework MITRE ATT&CK per garantire una copertura completa delle tattiche e tecniche avversarie.
Anomaly Detection basata su AI
Il triage degli eventi segue la pipeline AI multi-stadio dell’ecosistema Defensio: un modello di machine learning filtra per primo il rumore e la massa benigna degli eventi, poi modelli linguistici specializzati, eseguiti on-premise, analizzano in profondità i casi complessi, con una validazione incrociata indipendente prima che l’alert arrivi all’analista. Il risultato sono molti meno falsi positivi, senza perdere sensibilità.
Archiviazione e Compliance
I log vengono archiviati in conformità con i requisiti normativi (GDPR art. 30, NIS2), con retention policy configurabili, cifratura at-rest e chain of custody verificabile. La piattaforma supporta la generazione automatica di report per audit di compliance e indagini forensi.
Per i log degli amministratori di sistema, che il Provvedimento del Garante e le misure NIS2 chiedono completi, inalterabili e verificabili, Fidem eroga un servizio dedicato: Custos, con sigillo crittografico, marca temporale e pacchetto di evidenze per le ispezioni.
Integrazione con l'Ecosistema Fidem
La Log Analysis è una componente fondamentale del servizio di Threat Detection e si integra nativamente con gli altri servizi Fidem:
- Defensio Sensor — la sonda di rete passiva installata nella rete aziendale: affianca ai log la telemetria di rete e l’inventario degli asset, per correlare gli eventi con ciò che accade sulla rete
- Defensio XT — fornisce dati di Attack Surface Management per la correlazione esterna
- Vulnerability Assessment — i finding VAPT vengono correlati con gli eventi operativi
Per una valutazione iniziale gratuita delle tue esigenze di log management, contattaci.
A cosa serve raccogliere i log?
I log servono a rispondere a una domanda che si pone sempre dopo: cosa è successo, quando, e chi c’era. Senza una raccolta centralizzata, quella risposta non esiste — perché i dati stanno su macchine diverse, con orologi diversi, e vengono sovrascritti nel giro di giorni.
Quanto a lungo vanno conservati?
La durata di conservazione è la variabile che decide se un incidente sarà ricostruibile. Un attacco viene scoperto in media molto tempo dopo l’ingresso: se i log coprono trenta giorni e l’accesso iniziale è di tre mesi prima, l’analisi parte già cieca. La finestra va scelta sul tempo tipico di scoperta, non sullo spazio disco.
Log analysis o SIEM: che differenza c’è
Il SIEM è la tecnologia che raccoglie e correla; la log analysis è il lavoro di leggerli. Comprare l’uno senza fare l’altro produce un archivio che nessuno interroga. Il presidio continuo è il SOC gestito.
Cosa NON risolve
I log registrano, non impediscono: la prevenzione resta di endpoint protection e email security. E un log non è di per sé una prova: perché regga in giudizio serve l’acquisizione con catena di custodia, che è lavoro di perizia informatica. Termini definiti nel glossario.
Dove operiamo
Il servizio è erogato da remoto in tutta Italia. Il legame tra raccolta dei log e obblighi di notifica NIS2 è approfondito nella pagina sulla sicurezza informatica a Padova.