Managed Security Services: monitoring di una rete aziendale mediante tecnologie di log consolidation e correlazione degli eventi

Lo scopo di questo lavoro è mostrare un possibile approccio alla risoluzione del problema della sicurezza informatica di una rete aziendale.
Realizzare dei processi aziendali che implementino una strategia efficace di risposta a tale problema non è una attività semplice: richiede professionalità e competenze specifiche oltre che investimenti ingenti in strumenti adeguati.
Da ciò emerge come alternativa il trasferire a terzi la gestione di questi processi, ossia l’ipotesi dell’outsourcing della propria information security. I soggetti che rendono questo possibile sono i Managed Security Service Provider.
Essi offrono un’ampia gamma di servizi, regolati dal contratto di outsourcing e da un documento che ne determina i requisiti qualitativi minimi: il Service Level Agreement.
Tra i servizi offerti il monitoring in tempo reale di una rete assume un fondamentale ruolo strategico, perché consente di attivare una risposta immediata di fronte ad un attacco e permette di verificare l’efficacia delle contromisure utilizzate.
Lo strumento attraverso cui viene sorvegliata la rete aziendale si chiama Enterprise Security Manager e si basa sull’utilizzo dell’informazione contenuta in un qualsiasi evento relativo alla sicurezza prodotto da qualunque dispositivo, applicazione o sistema operativo.
La registrazione di questi eventi si chiama log e la loro gestione è il compito di un sistema di Enterprise Security Management.
I log vengono innanzitutto consolidati in un unico punto di centralizzazione per poter essere consultati da un’unica postazione. L’architettura che permette questo consolidamento deve essere in grado di lavorare con grosse quantità di dati, eventualmente filtrando ciò che non è significativo nel contesto della sicurezza informatica.
Questo, però, non basta: i log sono normalizzati, cioè sono rappresentati in modo uniforme per far fronte al problema delle loro diverse e numerose sintassi. La normalizzazione consente di archiviare più facilmente gli eventi raccolti e soprattutto consente di analizzarli.
Un Enterprise Security Manager permette di controllare il verificarsi di eventi diversi provenienti da distinte fonti di informazione presenti all’interno di una rete. Questo è il concetto dell’event correlation, vero valore aggiunto per fornire capacità di monitoring evolute.