SIEM e AI: la svolta proattiva, ma non senza costi e compromessi

In un panorama digitale caratterizzato da minacce informatiche in continua evoluzione, i sistemi SIEM (Security Information and Event Management, ovvero “Gestione delle Informazioni e degli Eventi di Sicurezza”) si sono trasformati da semplici contenitori di log a veri e propri motori della sicurezza aziendale.

L’integrazione dell’Intelligenza Artificiale e del Machine Learning ha permesso un’evoluzione importante di questi sistemi, modificandone la logica del funzionamento, facendoli assurgere a strumenti chiave di rilevamento delle minacce non solo per le grandi realtà ma anche per organizzazioni di dimensioni più ridotte.

Cosa sono i SIEM e come funzionano

Il SIEM è una soluzione di cybersecurity che combina due funzioni principali:

• SIM (Security Information Management), un sistema che permette la raccolta e conservazione in un server centralizzato dei log generati dai vari dispositivi;
• SEM (Security Event Management), una soluzione software che permette il monitoraggio e la correlazione degli eventi che accadono all’interno di una rete e nei vari sistemi di sicurezza in tempo reale.

Questi sistemi hanno iniziato a diffondersi nei primi anni 2000 come strumenti finalizzati principalmente alla gestione dei log, i quali venivano raccolti in un unico luogo centralizzato, permettendo ai team di sicurezza di individuare attività sospette.

Con il progredire delle minacce informatiche le soluzioni SIEM si sono evolute includendo analisi avanzate e apprendimento automatico così da consentire alle organizzazioni di rilevare anomalie e rispondere alle minacce in tempi più rapidi.

Dalla raccolta dei dati alla normalizzazione

Il SIEM opera attraverso un processo continuo di raccolta, normalizzazione, analisi che consente al team IT di vedere il quadro generale, identificare le violazioni o gli incidenti fin dalle prime fasi e rispondere in modo tempestivo.

Il funzionamento dei SIEM può essere sintetizzato nelle seguenti attività:

1. raccolta di dati: il sistema raccoglie informazioni di sicurezza da tutta l’organizzazione (ad esempio firewall, server, database, applicazioni cloud, endpoint, dispositivi BYOD), con l’obiettivo di individuare anomalie che indichino una potenziale minaccia. I moderni sistemi sono progettati per supportare grandi di moli di dati, aggregando i log in tempo reale da centinaia o migliaia di fonti;
2. normalizzazione: i dati raccolti possono avere formati diversi tra loro. Il SIEM converte i dati raccolti in un formato standard per poterli confrontare, raggruppando eventi simili, fase determinante in quanto, senza la normalizzazione, non sarebbe possibile confrontare file provenienti da fonti diverse;

Correlazione, alerting e gestione degli incidenti

3. correlazione: è la fase cruciale che costituisce il cuore delle attività. Il sistema cerca relazioni tra eventi apparentemente isolati e non dannosi e che invece, tramite un’analisi più approfondita, possono essere indicatori di compromissione, fornendo insight utili per individuare e mitigare rapidamente potenziali minacce. Ad esempio, il tentativo di accesso fallito a un server seguito da un accesso riuscito da un IP estero insolito genera un allarme critico perché potrebbe indicare un attacco in corso;
4. reporting e alerting: se viene rilevata un’anomalia, il sistema invia una notifica immediata al team di sicurezza, fornendo report dettagliati sull’attività di rete e sugli incidenti di sicurezza rilevati in base a regole predefinite. Il sistema consolida la sua analisi in un’unica dashboard centrale in cui viene monitorata l’attività, si assegnano priorità agli avvisi, si identificano le minacce e si avviano la risposta o la correzione;
5. gestione degli incidenti: i sistemi SIEM consentono un processo di risposta e risoluzione degli incidenti di sicurezza ben strutturato e immediato, guidando il team di sicurezza.

A titolo esemplificativo, i SIEM possono costituire un ausilio importante per identificare:

• minacce interne: i sistemi possono rilevare le minacce provenienti dagli utenti autorizzati facenti parte della rete aziendale, rilevando improvvise anomalie (es. accessi ad orari o a dati insoliti, accessi da parte di ex dipendenti a cui non sono state ancora disabilitate le credenziali) che potrebbero essere sintomo di comportamenti scorretti o involontari da parte di un utente;
• phishing: i sistemi possono rilevare la maggior parte delle caratteristiche delle campagne di phishing, generando un alert ed intervenendo per bloccare le mail malevole;
• malware: i sistemi monitorano la presenza di indicatori della presenza del malware, avviando misure di contenimento;
• rilevamento di intrusioni: monitorando il traffico di rete, i SIEM sono in grado di rilevare accessi non autorizzati e potenziali tentativi di intrusione, attivando avvisi e risposte automatizzate per bloccare l’evento.

Le nuove funzionalità AI-driven

Fino a pochi anni fa, i SIEM si basavano su regole statiche. Questo poteva comportare sia la mancata rilevazione di eventi che si ponevano al di fuori delle regole impostate, sia a falsi positivi, in quanto gli analisti venivano saturati da un’enorme mole di avvisi, anche innocui, finendo per ignorare quelli realmente pericolosi (la c.d. “alert fatigue”).

L’integrazione dell’Intelligenza Artificiale e del Machine Learning ha cambiato le regole del gioco, permettendo il passaggio dalla logica reattiva dei SIEM tradizionali, che costituivano strumenti “post evento” finalizzati principalmente alle analisi forensi dopo che l’attacco era terminato, a strumenti real time proattivi, in grado di rispondere in via autonoma rilevando la minaccia e risolvendola.

Queste integrazioni appaiono ora fondamentali, tenuto conto della velocità con cui cambia il panorama della cybersecurity, caratterizzato da malware e minacce polimorfe in continua evoluzione, permettendo di rilevare e rispondere sia alle minacce alla sicurezza note che a quelle sconosciute, cosa che i SIEM tradizionali non sarebbero in grado di fare.

La caratteristica distintiva dell’IA SIEM è la capacità di automatizzare i processi fondamentali di aggregazione e normalizzazione dei dati in modo intelligente, sfruttando gli algoritmi di IA per migliorare il rilevamento delle minacce.

Gli algoritmi sono addestrati per riconoscere le firme delle minacce note e rilevare nuove minacce in evoluzione attraverso l’analisi dei modelli di comportamento, prevedendo potenziali violazioni della sicurezza prima che si verifichino, in modo da permettere alle organizzazioni di rafforzare le proprie difese contro le minacce in modo proattivo.

UEBA, riduzione del rumore e threat intelligence

In particolare, l’integrazione dell’IA nell’architettura dei SIEM può articolarsi nelle seguenti funzionalità:

• UEBA (User and Entity Behavior Analytics): l’IA impara il comportamento “normale” di ogni utente ed entità di un’organizzazione nel tempo, rilevando anomalie e devianze. Ad esempio, se un utente inizia improvvisamente a scaricare interi database alle due del mattino, il sistema lo rileva e interviene anche se l’utente ha credenziali valide;
• riduzione del rumore: gli algoritmi filtrano i falsi positivi, raggruppando centinaia di eventi simili in un unico incidente significativo, permettendo agli analisti di concentrarsi solo sugli aspetti rilevanti;
• predizione delle minacce – threat intelligence: analizzando le tendenze globali, l’IA può prevedere quali vulnerabilità della rete hanno più probabilità di essere colpite da un nuovo malware in circolazione;
• automazione della risposta: i moderni SIEM non si limitano ad avvisare, ma, potendosi integrare, ad esempio, con potenti sistemi SOAR (Security Orchestration, Automation, and Response) possono adottare riposte adeguate automatizzate, riducendo così il tempo di risposta e migliorando l’efficienza operativa.

Uno sguardo al futuro: l’Agentic SIEM

L’ultima frontiera in termini di cybersecurity è l’evoluzione degli Agentic SIEM, basati su agenti AI autonomi interconnessi capaci di ragionare, pianificare ed eseguire task complessi come farebbe un analista umano per raggiungere gli obiettivi di sicurezza di un’organizzazione.

L’Agentic SIEM utilizza modelli linguistici avanzati (LLM) per comprendere il contesto e, rilevando il processo di pensiero alla base di ogni azione, attinge alla sua memoria in continua crescita e impara a prendere decisioni intelligenti attraverso le API (Application Programming Interface).

Benefici e limiti di un sistema SIEM

L’adozione di un sistema SIEM è un passo significativo per la cybersecurity di un’azienda da ponderare attentamente. Come ogni tecnologia complessa, infatti, è necessario valutare i vantaggi strategici e le barriere operative.

Vantaggi

• gestione centralizzata: il sistema permette di controllare l’intera organizzazione IT dell’azienda tramite un’unica dashboard invece di controllare sistemi e applicativi diversi, fornendo una visione generale del panorama di sicurezza ed agevolando gli IT;
• efficienza operativa: l’integrazione di sistemi di IA permette di gestire e analizzare grandi volumi di dati che sarebbero impossibili da analizzare per un essere umano, individuando minacce complesse che potrebbero eludere i sistemi di sicurezza tradizionali, prioritizzando gli alert e permettendo interventi rapidi e mirati;
• compliance normativa: il SIEM, permettendo la conservazione dei log e la generazione di report, è uno strumento strategico per la conformità alle normative di settore tra le quali, ad esempio, la NIS2.

Limiti e sfide

L’implementazione di un SIEM è un processo complesso che non si esaurisce con una semplice installazione e richiede attente valutazioni su molteplici fronti:

• costi elevati: i SIEM sono sistemi che hanno un impatto economico rilevante. Oltre al costo della licenza (ci sono diversi vendor sul mercato), bisogna considerare i costi di storage e il costo del personale esperto necessario per configurare e gestire il sistema, di cui spesso le imprese non dispongono. Si tratta quindi di investimenti importanti sia in termini economici che di risorse, che non tutte le aziende sono in grado di sostenere;
• competenze specialistiche: il SIEM è un sistema complesso che richiede competenze specialistiche di livello, molto spesso assenti nelle piccole e medie imprese;
• tempi di implementazione: proprio per la sua complessità, possono volerci mesi per integrare il sistema e affinare gli algoritmi di IA;
• impatti sulla protezione dei dati: il SIEM, permettendo la raccolta e l’analisi dei dati di comportamento degli utenti all’interno dell’infrastruttura, comporta il trattamento sistematico di grandi moli di dati personali (i log) con il rischio di un potenziale controllo sui lavoratori, circostanza che implica la necessità di attente valutazioni sia in termini di data protection che di tutela dei lavoratori per assicurarsi la compliance del sistema.

Conclusione

L’evoluzione dei sistemi SIEM, culminata nell’integrazione dell’Intelligenza Artificiale Agentica, segna il passaggio definitivo ad un concetto di sicurezza come asset strategico finalizzato non più ad una reazione agli avventi avversi ma a un monitoraggio continuo proattivo in grado di garantire continuità operativa e fiducia da parte degli stakeholders, da introdursi dopo un’attenta valutazione e bilanciamento di tutti gli interessi in gioco.