Security Information and Event Management

L’attuale valore strategico e la crescente complessità delle reti dati implicano ormai la necessità stringente di dotarsi di strumenti per la gestione ed il controllo delle risorse coinvolte, tanto umane quanto tecnologiche.

L’amministratore di rete e gli amministratori delle politiche di sicurezza devono poter disporre di dati affidabili sull’utilizzo della rete e delle sue componenti, nonché di tutte le informazioni necessarie per ottimizzare le risorse, correggere le configurazioni e inibire comportamenti che possano compromettere l’efficienza del network. Tali informazioni vengono fornite dai messaggi di log, che descrivono tutte le attività effettuate dai device.

L’analisi dei log è però gravosa in quanto il “volume grezzo” dei dati generati è notevole. Per questo motivo la raccolta, il filtraggio e la correlazione dei log deve essere delegata a strumenti dedicati, la cui funzione è di processare, memorizzare e presentare queste informazioni tramite una buona interfaccia utente.

In linea generale un prodotto SIEM (Security Information and Event Management) deve essere in grado di:

• raccogliere un elevato numero di eventi (nell’ordine di migliaia per secondo) da una vasta gamma di dispositivi eterogenei;
• supportare log generati da dispositivi di rete, sistemi operativi, applicazioni centrali (mainframe) e dipartimentali (DC, mail server, database, etc.);
• fornire un motore di correlazione e analisi degli eventi sia in modalità real time che per analisi forense;
• storicizzare, in maniera sicura e conforme alle normative internazionali in vigore, una vasta quantità di eventi raccolti;
• fornire un motore di reportistica flessibile allo scopo di risolvere diverse esigenze operative e/o gestionali.