// Glossario IT
SIEM
Un sistema che raccoglie e correla i log di sicurezza da tutta l'infrastruttura, per rilevare e gestire eventi rilevanti in un unico punto.
Voce curata da Luciano Blancato, IT Manager a Catania · aggiornata il
Cos'è
Un SIEM (Security Information and Event Management) raccoglie centralmente i log generati da server, firewall, endpoint e applicazioni di tutta l'infrastruttura, li correla applicando regole e analisi, e genera avvisi quando riconosce pattern che indicano un possibile incidente di sicurezza, invece di lasciare quei log dispersi e non collegati tra loro.
Perché conta
Senza un SIEM, ricostruire cosa è successo durante un incidente significa raccogliere manualmente log da decine di sistemi diversi, un lavoro lento proprio nel momento in cui la velocità di risposta conta di più. È lo strumento centrale attorno a cui ruota tipicamente il lavoro di un SOC, e la sua efficacia dipende molto da quanto bene sono configurate le regole di correlazione, non solo dalla quantità di log raccolti.
In pratica
Conviene partire dalle fonti di log più utili (autenticazioni, firewall, endpoint, email, servizi cloud) e da casi d'uso concreti, invece di raccogliere tutto. Gli orologi di tutti i sistemi vanno sincronizzati (NTP), altrimenti la correlazione degli eventi non funziona, e regole e falsi positivi vanno rivisti regolarmente. Riferimento: NIST SP 800-92, Guide to Computer Security Log Management.