Bentornati.
Avete imparato come individuare gli Indicators of Compromise.
Ora vediamo come le organizzazioni monitorano i sistemi
continuamente per rilevare le minacce mentre accadono.
In questa lezione introdurremo i sistemi Security Information and Event Management
(SIEM) piattaforme potenti che raccolgono,
analizzano e inviano alert su eventi di sicurezza in tutta l'azienda.
Il Security monitoring è la pratica di tracciare continuamente
l'attività attraverso il tuo network, i sistemi e le applicazioni.
Aiuta a rilevare login sospetti,
traffico insolito,
comportamento di malware,
abuso interno.
Il Monitoring ti dà real time visibility su ciò che sta accadendo
e aiuta a rilevare le minacce prima che si diffondano.
Un sistema SIEM sta per Security Information and Event Management.
È una piattaforma centrale che raccoglie logs e dati
da molteplici fonti, correla gli eventi per trovare pattern,
genera alert per attività sospette o ad alto rischio.
Strumenti SIEM popolari includono Splunk,
QRadar, ArcSight, e Microsoft Sentinel.
Un SIEM raccoglie
dati da molte fonti, inclusi firewalls e routers,
sistemi operativi, e file servers,
antivirus e strumenti EDR,
applicazioni come email e cloud platforms.
Più dati immetti nel sistema,
più completa diventa la tua visibilità.
Ecco come un SIEM potrebbe rilevare un attacco.
1. Un login avviene da un nuovo paese alle 3:12 del mattino.
2. Dieci minuti dopo,
lo stesso utente accede a dati sensibili.
3. Il SIEM correla questi eventi e attiva un alert.
L'analista vede il quadro completo in un unico posto,
investiga e fa escalate se necessario.
Senza un SIEM, questi indizi potrebbero perdersi tra logs non connessi.
Nella maggior parte delle organizzazioni,
i SIEM sono il sistema nervoso centrale del Security Operations Center (SOC).
I SOC analysts monitorano la SIEM dashboard
revisionando alert, investigando anomalie,
facendo escalate di minacce reali all'Incident Response Team.
Un SIEM ben calibrato aiuta a ridurre il rumore, far emergere rischi reali,
e guidare decisioni veloci.
Pronto per un piccolo quiz di riepilogo?
Domanda uno qual è lo scopo di un sistema SIEM?
A archivia password in modo sicuro.
B ospita siti web aziendali.
C raccoglie e analizza eventi di sicurezza.
D elimina file inutilizzati.
Pausa.
La risposta corretta
è C. Un SIEM raccoglie e correla
eventi da molteplici fonti per rilevare attività sospette.
Domanda due perché è importante il security monitoring continuo?
A per ridurre il tempo di avvio del sistema.
B per rilevare minacce prima che si intensifichino.
C per comprimere file di log.
D per disinstallare vecchio software.
Riflettici.
La risposta corretta è
B. Il Security monitoring aiuta a cogliere attacchi in corso prima che si verifichino danni maggiori.
Domanda finale quale fonte dati viene
comunemente immessa in un SIEM? A livelli
di inchiostro della stampante.
B orari di pranzo dei dipendenti.
C firewall logs ed eventi di sistema.
D inviti di calendario.
Pausa e pensa.
La scelta
corretta è C. I SIEM acquisiscono logs da sistemi,
app, firewalls, e altro per rilevare problemi di sicurezza.
Ottimo lavoro.
Ora sai come i SIEM e gli strumenti di security monitoring danno ai difensori
real time visibility e aiutano gli analisti a rilevare le minacce velocemente.
Dopo, passiamo dalla detection alla response.
Cosa succede dopo che una minaccia è confermata?
Iniziamo la nostra prossima fase.
Fondamenti di Incident response.