Le tracce ci sono, manca chi le guarda
Un attacco raramente comincia con i file cifrati. Prima ci sono segnali più piccoli: un accesso alla posta da un paese in cui non hai né clienti né filiali, un account dell'amministrazione che alle due di notte apre cartelle che di giorno non tocca mai, un server che spedisce dati verso un indirizzo sconosciuto. Molti di questi eventi finiscono nei log del firewall, dei server e di Microsoft 365, a volte giorni prima del danno.
Ma un log non avvisa nessuno: viene scritto, conservato per un po' e sovrascritto. Se l'evento sospetto arriva sabato notte, spesso il primo a notarlo è chi lunedì mattina trova il gestionale del magazzino bloccato.
Antivirus, EDR, SIEM, SOC: chi fa cosa
Nei preventivi le sigle finiscono mescolate. Conviene separarle.
- Antivirus tradizionale: blocca i file che riconosce come minacce conosciute.
- EDR (Endpoint Detection and Response): un agente su PC e server che registra il comportamento della macchina (programmi avviati, connessioni, modifiche ai file), segnala le sequenze sospette e può isolarla dalla rete.
- SIEM (Security Information and Event Management): raccoglie i log di sistemi diversi e li mette in relazione. Tre accessi falliti alla VPN, poi uno riuscito, poi un nuovo amministratore: presi uno per uno non dicono niente, messi in fila sì.
- SOC (Security Operations Center): le persone e le procedure che guardano gli allarmi e decidono cosa fare.
- MDR (Managed Detection and Response): il servizio gestito che mette insieme strumenti, analisti e intervento.
| Strumento | Cosa fa | Cosa non fa |
|---|---|---|
| Antivirus | Blocca il software malevolo già conosciuto | Non vede chi entra con una password rubata e usa strumenti legittimi del sistema |
| EDR | Registra il comportamento di PC e server, segnala, isola la macchina | Non vede cloud, firewall e dispositivi senza agente; se nessuno legge gli avvisi, resta un registratore |
| SIEM | Raccoglie i log e li mette in relazione | Non decide e non interviene: produce allarmi che qualcuno deve leggere |
| SOC e MDR | Valutano gli allarmi, decidono, rispondono secondo regole concordate | Non rimediano a password deboli, sistemi non aggiornati e backup mai provati |
Rilevare non è rispondere
Sono le 3 di notte e l'EDR segnala che sul PC della contabilità un processo sta rinominando file a raffica. L'allarme è scattato correttamente. Se però finisce in una casella di posta che qualcuno aprirà alle 8:30, è come se non fosse mai arrivato.
La domanda vera è chi, a quell'ora, ha l'autorità per isolare quel PC o bloccare un account senza aspettare il mattino. E fino a dove può spingersi da solo: un portatile sì, il server del gestionale forse solo dopo una telefonata a un referente. Queste regole si scrivono prima, con nomi, numeri di telefono e soglie.
Un attacco attraversa in genere cinque fasi: ricognizione, intrusione, movimento laterale, esfiltrazione, impatto. Il monitoraggio serve a intervenire nelle prime. Fermato all'intrusione, l'attacco costa un account da bloccare; arrivato all'impatto, diventa la notte descritta nella guida sulle prime ore di un attacco ransomware.
Le domande da fare a un fornitore
- Copertura 24/7 reale o reperibilità? Analisti in turno che guardano gli allarmi mentre arrivano non sono un tecnico che riceve una chiamata quando scatta una regola. Vanno bene entrambi, purché il contratto dica quale stai comprando.
- Cosa è nel perimetro? Server, PC, portatili dei commerciali in trasferta, cloud, Microsoft 365, firewall. Quello che non manda dati al servizio non è monitorato.
- Chi è autorizzato ad agire, e fino a dove? Quali azioni sono automatiche, quali richiedono il tuo via libera e chi lo dà di notte.
- Come vengono ridotti i falsi positivi? Con un periodo iniziale in cui si impara il comportamento normale dei tuoi sistemi e regole riviste nel tempo. Un allarme che suona sempre smette presto di essere ascoltato.
- Per quanto tempo si conservano i log? Un'intrusione scoperta tardi si ricostruisce solo con i log di quel periodo. Chiedi anche se, a fine contratto, restano a te.
- Che report ricevi? Un riepilogo periodico leggibile dalla direzione e una relazione dopo ogni incidente.
Quando serve a una PMI, e cosa viene prima
Un servizio di monitoraggio ha senso quando l'operatività dipende da sistemi che non possono fermarsi e in azienda nessuno può seguire gli allarmi fuori orario, oppure quando clienti e normative chiedono di dimostrare che sai rilevare e gestire un incidente, come accade a chi rientra nella NIS2.
Un SOC che sorveglia una rete senza MFA, con sistemi non aggiornati e backup mai provati vedrà molti allarmi e potrà fare poco. Si parte da lì: l'autenticazione a più fattori, il patch management e un backup con una copia isolata, verificato con un ripristino reale.
Gli errori più frequenti
- Comprare lo strumento senza il servizio. L'EDR è installato, ma gli avvisi arrivano a un indirizzo che nessuno controlla.
- Monitorare solo i PC. L'attaccante entra da un account Microsoft 365 o dalla VPN, dove nessuno guarda.
- Nessuna regola su chi decide. Il SOC telefona, il referente non risponde e nessun altro è autorizzato.
- Considerarlo un'assicurazione su tutto. Il monitoraggio accorcia i tempi di reazione; non sostituisce il backup né il piano di ripristino.
In sintesi
Antivirus ed EDR lavorano sui dispositivi, il SIEM mette in relazione i log, il SOC è chi guarda gli allarmi e decide. Il valore sta nella risposta: chi interviene di notte, su quali sistemi e con quale autorità. Per una PMI viene dopo MFA, aggiornamenti e backup provati, non al loro posto.