SIEM: cos'è, come funziona e a cosa serve in azienda

La risposta breve: un SIEM (Security Information and Event Management) è il sistema che raccoglie i log e gli eventi di tutta l'infrastruttura, li porta in un formato comune, li mette in relazione tra loro e fa emergere i segnali che indicano un attacco. È il motore che trasforma milioni di righe di log sparse in un numero gestibile di allarmi su cui un analista può lavorare. Detto in una riga: il SIEM è lo strumento, il SOC è il team che lo usa.

Il termine compare in ogni conversazione sulla sicurezza, ma spesso resta vago. In questa guida vediamo cos'è un SIEM e da dove nasce, cosa fa esattamente, come funziona passo per passo, come si è evoluto dal modello on-prem a quello cloud-native, quali sono le piattaforme principali e come si incastra con SOC, EDR, XDR e MDR.

Che cos'è un SIEM (e da dove nasce)?

SIEM è l'acronimo di Security Information and Event Management. È una categoria di prodotto nata dalla convergenza di due tecnologie che all'inizio vivevano separate.

• SIM (Security Information Management): la parte che si occupava di raccogliere e conservare i log nel tempo, per la reportistica e le analisi a posteriori.
• SEM (Security Event Management): la parte che analizzava gli eventi mentre accadevano, per far scattare gli allarmi vicino al momento in cui qualcosa succedeva.

Il SIEM unisce le due anime: conserva la storia e legge il presente. Da qui viene la sua utilità di fondo, avere un unico posto dove i dati di sicurezza arrivano, prendono una forma comune e diventano leggibili. Senza questo punto di raccolta, ogni sistema resta un'isola: il firewall sa le sue cose, l'endpoint le sue, il cloud le sue, e nessuno vede il quadro d'insieme.

Ed è proprio nel quadro d'insieme che si nascondono gli attacchi seri, perché quasi mai toccano un solo sistema. Un accesso sospetto, un movimento laterale sulla rete, un download insolito e un tentativo di esfiltrazione sono eventi che, presi uno per uno, sembrano rumore. Messi in fila sullo stesso schermo, raccontano un'intrusione.

Cosa fa un SIEM: le funzioni principali

Un SIEM moderno svolge una serie di compiti ben precisi. Vale la pena elencarli, perché chiariscono a cosa serve davvero.

• Raccolta e centralizzazione. Porta in un unico punto i log e gli eventi generati da tutta l'infrastruttura: endpoint, server, rete, firewall, ambienti cloud, applicazioni e sistemi di gestione delle identità.
• Normalizzazione. Traduce formati eterogenei in un modello dati comune, così che eventi provenienti da fonti diverse diventino confrontabili tra loro.
• Correlazione e analisi. Applica regole e analisi che mettono in relazione eventi distinti, facendo emergere schemi che il singolo log non mostrerebbe mai.
• Alerting. Genera gli allarmi quando una combinazione di eventi supera una soglia o corrisponde a uno schema noto di attacco.
• Dashboard e reporting. Alimenta pannelli di controllo in tempo reale e produce i report di conformità richiesti da normative e standard.
• Conservazione dei dati (retention). Mantiene i log per il tempo necessario alle indagini e agli obblighi normativi, così da poter guardare indietro quando serve.

Il filo che lega tutte queste funzioni è uno solo: passare da tanti dati grezzi a poche informazioni azionabili. Un SIEM che raccoglie senza correlare è solo un archivio, uno che correla senza far arrivare l'alert alla persona giusta è un motore che gira a vuoto.

Come funziona un SIEM, passo per passo

Il modo più chiaro per capire un SIEM è seguire il percorso che compie un evento dal momento in cui viene generato a quando diventa un caso da indagare.

1. Raccolta. Le sorgenti inviano i propri log al SIEM attraverso connettori, agenti o flussi di rete. Più le fonti collegate sono complete, più il quadro sarà affidabile: una sorgente che manca è un angolo cieco.
2. Normalizzazione. Ogni evento viene ricondotto a un formato comune. Un accesso utente, per esempio, assume la stessa struttura sia che arrivi dal firewall, sia dall'endpoint, sia dai servizi cloud. È il passaggio che rende possibile confrontare mele con mele.
3. Correlazione e analisi. Sui dati normalizzati lavorano le regole di correlazione e i modelli di analisi. Qui il SIEM collega eventi lontani nel tempo e nello spazio: un login fallito ripetuto, seguito da un accesso riuscito da un paese insolito e da un aumento di privilegi, diventa un unico segnale coerente.
4. Alerting. Quando la correlazione riconosce qualcosa di rilevante, scatta l'allarme. Un buon SIEM assegna anche una priorità, per aiutare l'analista a capire da dove cominciare.
5. Investigation. L'analista prende in mano l'alert e ricostruisce la vicenda: chi, cosa, quando, da dove. È il momento in cui la retention conta, perché spesso occorre guardare indietro di settimane o mesi per capire da dove è partita l'intrusione.
6. Reporting. Il SIEM documenta gli eventi e produce i report, sia per la gestione interna sia per dimostrare la conformità a chi la richiede.

Questo ciclo, ripetuto in continuazione su un flusso di dati enorme, è ciò che permette a un team di sicurezza di lavorare per eccezioni invece che leggere tutto a mano, cosa che nessuna persona potrebbe fare.

L'evoluzione: dal SIEM on-prem al cloud-native

Il SIEM non è rimasto fermo. Il modello classico era installato in casa (on-prem), con appliance o server da dimensionare, mantenere e aggiornare, e con la retention limitata da quanto spazio si era disposti a pagare. Funzionava, ma la crescita dei log e degli ambienti cloud ha reso questo approccio pesante da gestire.

Il SIEM di oggi tende a essere cloud-native, cioè costruito per girare su infrastruttura cloud, con la capacità di scalare senza dover comprare hardware e con finestre di retention più lunghe rese sostenibili. Attorno al cuore SIEM sono cresciute inoltre alcune capacità diventate ormai parte del pacchetto.

• UEBA (User and Entity Behavior Analytics): l'analisi comportamentale di utenti ed entità. Invece di cercare solo schemi noti, impara cosa è "normale" per una persona o un sistema e segnala gli scostamenti, utile contro le minacce che non lasciano firme conosciute.
• Integrazione SOAR (Security Orchestration, Automation and Response): l'automazione della risposta. Playbook che eseguono da soli i passaggi ripetitivi, come arricchire un indicatore, isolare una macchina o aprire un caso, riducendo il tempo tra l'alert e l'azione.
• Threat intelligence. Flussi aggiornati di indicatori di minaccia che il SIEM incrocia in automatico con i log, per riconoscere subito ciò che altri hanno già visto in circolazione.

La direzione è chiara: il SIEM da semplice raccoglitore di log è diventato la piattaforma attorno a cui ruotano detection, analisi e prime azioni di risposta.

SIEM, SOC, EDR, XDR e MDR: come si incastrano

Attorno al SIEM girano molti acronimi, e confonderli è facile. La distinzione più importante è una: alcune di queste cose sono strumenti, altre sono team o servizi.

• Il SIEM è uno strumento. Raccoglie e correla, ma non decide e non risponde da solo. Produce alert.
• Il SOC è il team (o il servizio). Sono le persone e i processi che guardano gli alert del SIEM, li verificano, indagano e decidono cosa fare. Abbiamo dedicato una guida a parte a cosa fa e come funziona un SOC (Security Operations Center).
• EDR e XDR sono tecnologie. L'EDR vede e risponde sugli endpoint, l'XDR estende lo sguardo a rete, cloud, email e identità correlandoli in un'unica piattaforma. Spesso alimentano il SIEM invece di sostituirlo.
• L'MDR è un servizio gestito. Mette insieme tecnologia e persone e restituisce detection e response, non solo allarmi. Per la mappa completa degli acronimi c'è il nostro articolo su MDR, SIEM e SOC a confronto.

Il punto pratico: il SIEM è il cuore tecnologico attorno a cui si costruisce un SOC, ma da solo non presidia niente. Se ti interessa capire dove finisce lo strumento e dove comincia il servizio, il confronto tra EDR, XDR e MDR chiarisce chi fa cosa.

Le principali piattaforme SIEM

Sul mercato ci sono diverse piattaforme SIEM affermate. Vale la pena conoscerle per orientarsi, tenendo presente che la scelta giusta dipende sempre dal contesto specifico: volumi di log, sorgenti da collegare, requisiti di retention e competenze disponibili.

• Google SecOps (Google Security Operations): la piattaforma cloud-native di security operations di Google Cloud, erede di Chronicle, che unisce SIEM, SOAR e threat intelligence in un unico prodotto e sfrutta la scala dell'infrastruttura di Google. La approfondiamo in cos'è Google SecOps e come funziona.
• Microsoft Sentinel: il SIEM cloud-native di Microsoft, strettamente integrato con l'ecosistema Azure e con gli altri servizi Microsoft, molto diffuso tra chi vive già dentro quel mondo.
• IBM QRadar: uno dei SIEM storici, ampiamente adottato in ambienti enterprise, con una lunga tradizione on-prem. Chi valuta un percorso di aggiornamento può leggere come si affronta una migrazione da QRadar a Google SecOps.
• Splunk: una piattaforma molto potente per l'analisi dei dati e dei log, usata sia per la sicurezza sia per l'osservabilità, apprezzata per la flessibilità delle ricerche.

Nessuna di queste piattaforme è "la migliore" in assoluto: sono strumenti diversi, pensati per scenari diversi. La domanda utile non è quale sia in cima a una classifica, ma quale si adatta meglio ai tuoi volumi, alle tue sorgenti e a chi la dovrà far funzionare ogni giorno.

Perché il SIEM conta (e quali sono le sfide)

Il valore del SIEM sta tutto nella correlazione centralizzata. Senza un punto in cui i log convergono e vengono messi in relazione, un attacco che tocca più sistemi resta invisibile: ogni pezzo appare innocuo, e il quadro completo non lo vede nessuno. Ecco perché il SIEM viene spesso descritto come il cuore del SOC, il componente attorno a cui ruota tutto il resto.

Detto questo, un SIEM non è una bacchetta magica, e conviene conoscerne le due sfide reali prima di adottarlo.

• Il volume di log. Un'infrastruttura moderna produce quantità enormi di dati. Raccoglierli, normalizzarli e conservarli ha un costo di gestione e richiede scelte precise su cosa raccogliere e per quanto tempo. È il motivo per cui il modello cloud-native, con la scala che offre, ha preso piede.
• I falsi positivi. Regole troppo larghe generano un mare di allarmi, la maggior parte dei quali non è nulla. Un team sommerso di falsi positivi finisce per ignorarli, ed è così che passano inosservati quelli veri. Tenere le detection calibrate sul contesto è un lavoro continuo, non una configurazione da fare una volta.

Queste due sfide spiegano perché comprare un SIEM non equivale ad avere sicurezza. Lo strumento va alimentato con le sorgenti giuste, va calibrato per ridurre il rumore e, soprattutto, qualcuno deve guardarne gli alert quando scattano, comprese le ore in cui l'azienda è chiusa. È lì che si separa la tecnologia dal servizio.

Dal SIEM al SOC: chi lo fa funzionare

Il SIEM è la base tecnologica, ma la sicurezza vera nasce quando quella base è presidiata da persone competenti e da processi rodati. Un SIEM ben configurato in mano a nessuno resta un archivio costoso di allarmi che nessuno legge.

AmagisTech costruisce SOC gestiti per il mid-market italiano su piattaforma aperta, così che i dati restino tuoi e leggibili, senza vincoli di lock-in. Il modello è quello di mettere la piattaforma SIEM al centro e sopra costruire detection engineering e presidio continuo, con l'aiuto dell'automazione per accelerare triage e risposta. Se vuoi vedere come si passa dallo strumento al servizio, parti dai nostri servizi di observability e SecOps.

In sintesi: il SIEM è il sistema che raccoglie, normalizza e correla i log di tutta l'infrastruttura per far emergere gli attacchi, lavorando in fasi che vanno dalla raccolta al reporting. Si è evoluto dal modello on-prem al cloud-native, con UEBA, SOAR e threat intelligence ormai integrate. Resta però uno strumento: il SIEM è il cuore del SOC, ma è il team, interno o gestito, a trasformare gli alert in azione. La tecnologia si compra, il presidio si costruisce.