{"id":24141,"date":"2025-05-20T10:08:33","date_gmt":"2025-05-20T08:08:33","guid":{"rendered":"https:\/\/www.advens.test\/?p=24141"},"modified":"2025-05-20T10:11:17","modified_gmt":"2025-05-20T08:11:17","slug":"componenti-di-security-operations-center","status":"publish","type":"post","link":"https:\/\/www.nifty-shtern.217-160-68-194.plesk.page\/it\/media\/security-operations-it\/componenti-di-security-operations-center\/","title":{"rendered":"Strumenti SOC: i componenti di un Security Operations Center"},"content":{"rendered":"\n

Il SOC si basa su una serie di strumenti che aiutano gli analisti di cybersicurezza a monitorare in tempo reale le attivit\u00e0 di sicurezza all’interno dell’infrastruttura IT dell’azienda. Ma sono progettati anche per aiutare i membri del team di sicurezza a identificare, classificare e analizzare incidenti ed eventi e a porvi rimedio.<\/strong><\/p>\n\n\n\n

MDR, XDR, SIEM, ecc.: quali sono le differenze tra tutti gli strumenti SOC?<\/strong><\/strong><\/h1>\n\n\n\n

Un centro operativo di sicurezza \u00e8 composto da un team umano e da soluzioni di sicurezza che agiscono da torre di controllo<\/strong> e rilevamento per aiutare le aziende a proteggere i loro sistemi informatici. Il SOC coordina tutti questi strumenti per il monitoraggio e la correzione in tempo reale.<\/p>\n\n\n\n

SIEM (Security Information and Event Management)<\/strong><\/strong><\/h2>\n\n\n\n

Il SIEM coniuga due elementi: un archivio di log<\/strong> (SDK, Security Data Lake), che centralizza i dati, e uno strumento di rilevamento<\/strong>, che pu\u00f2 essere configurato per identificare le falle nella sicurezza.<\/p>\n\n\n\n

Tuttavia, il limite di un SIEM \u00e8 che, aggregando questi due strumenti, limita l’agilit\u00e0 in termini di architettura SDL, in particolare per quanto riguarda l’ubicazione dello strumento e il formato dei dati di input e output. Un altro limite \u00e8 il suo costo finanziario, che il pi\u00f9 delle volte \u00e8 correlato al volume di dati che acquisisce.<\/p>\n\n\n\n

Il suo ruolo \u00e8 quello di creare regole di rilevamento; ma, attenzione: il numero di avvisi pu\u00f2 rapidamente diventare ingestibile. Il SIEM \u00e8 utilizzato dal SOC per la sicurezza operativa<\/strong> e la compliance<\/strong> (il rilevamento delle prove di intrusione in caso di attacco).<\/p>\n\n\n\n

EDR (Endpoint Detection & Response)<\/strong><\/strong><\/h2>\n\n\n\n

L’EDR \u00e8 un antivirus di nuova generazione. Il suo ruolo \u00e8 duplice e sfrutta le analisi basate sul machine Learning: la prevenzione (analisi dei malware sconosciuti) e una modalit\u00e0 reattiva che analizza i comportamenti sugli host (laptop e server).<\/p>\n\n\n\n

Analizza in tempo reale i processi in esecuzione su postazioni di lavoro e server, per rilevare sequenze di comportamenti dannosi<\/strong>. Consente di intervenire direttamente sull’host (PC\/server) e di eseguire un primo livello di correzione<\/strong> isolata.<\/p>\n\n\n\n

Tuttavia, la sua capacit\u00e0 di analizzare gli eventi tra gli endpoint, come i movimenti laterali e la gestione degli endpoint sconosciuti, \u00e8 limitata. Inoltre, \u00e8 uno strumento reattivo<\/strong>: interviene quando i processi dannosi sono gi\u00e0 in corso su almeno un endpoint.<\/p>\n\n\n\n

NDR (Network Detection & Response)<\/strong><\/strong><\/h2>\n\n\n\n

L’NDR analizza in tempo reale il frame della rete informatica, per identificare i flussi di dati tra gli host e i comportamenti dannosi. Il suo ruolo, quindi, \u00e8 complementare a quello del SIEM e dell’EDR: copre le reti, stabilisce dei collegamenti tra gli host, ma non monitora gli endpoint.<\/p>\n\n\n\n

XDR (eXtended Detection & Response)<\/strong><\/strong><\/h2>\n\n\n\n

Un XDR collega i dati dell’EDR con le altre informazioni della rete (tra cui il Cloud, l’identit\u00e0, l’Active Directory e i log) per creare delle strategie di rilevamento mediante correlazione<\/strong>.<\/p>\n\n\n\n

Inoltre, incorpora modalit\u00e0 di automazione del Threat Hunting<\/strong>, orchestrando la CTI (Cyber Threat Intelligence) e le informazioni contestuali dei clienti. Un XDR, quindi, rileva le minacce pi\u00f9 rapidamente: i tempi di indagine si riducono e la risposta agli incidenti<\/strong> di sicurezza \u00e8 pi\u00f9 efficace grazie a una visione completa della catena di eventi. Offre, inoltre, maggiore automazione, visibilit\u00e0 e contesto in relazione alle minacce.<\/p>\n\n\n\n

Open XDR<\/strong><\/strong><\/h2>\n\n\n\n

Un open XDR \u00e8 una declinazione della piattaforma XDR. La sua infrastruttura di rilevamento \u00e8 costruita per funzionare con qualsiasi interfaccia EDR<\/strong>, indipendentemente dai produttori di soluzioni di sicurezza. Perci\u00f2, una piattaforma XDR \u00e8 senza limiti e “agnostica” dal punto di vista delle tecnologie.<\/p>\n\n\n\n

MDR (Managed Detection & Response)<\/strong><\/strong><\/h2>\n\n\n\n

Basato su soluzioni EDR o XDR, l’MDR \u00e8 il fornitore di servizi<\/strong> che raccoglie la maggiore quantit\u00e0 di informazioni contestualizzate per gestire gli incidenti di sicurezza, dal rilevamento alla correzione.<\/p>\n\n\n\n

Strumenti SOC: come differenziare gli XDR fra loro?<\/strong><\/strong><\/h1>\n\n\n\n

Quando si parla del funzionamento di un SOC, \u00e8 necessario porsi una serie di domande per differenziare i diversi XDR.<\/p>\n\n\n\n