Abbiamo i log ma nessuno li guarda
Firewall, server, posta registrano tutto, ma se nessuno legge, l'attaccante resta invisibile per settimane. Ecco come trasformare i log in occhi.
Il problema
I sistemi producono milioni di righe di log. Restano su ogni apparato per pochi giorni, poi si sovrascrivono. Nessuno li guarda finché non succede qualcosa, e a quel punto spesso non ci sono più. Così un attaccante può muoversi in rete per settimane, e dopo l'incidente è impossibile ricostruire cosa ha fatto.
Come capire se ti riguarda
- I log restano sui singoli sistemi e non sono raccolti in un punto unico.
- Non sapete per quanto tempo vengono conservati.
- Nessuno riceve un avviso se un amministratore accede alle tre di notte da un Paese insolito.
- Dopo un problema, ricostruire la sequenza degli eventi richiede giorni.
Il primo passo
Scegliete le fonti che contano di più: accessi (dominio e cloud), posta, firewall, VPN, sistemi di protezione degli endpoint. Iniziate a raccoglierle in un punto centrale.
Come risolverlo
- Centralizzate. Una piattaforma che raccoglie i log delle fonti principali, con orari sincronizzati. *Evidenza: elenco fonti collegate.*
- Conservate abbastanza. Abbastanza a lungo da ricostruire un incidente scoperto in ritardo, e protetti da modifiche. *Evidenza: politica di conservazione.*
- Pochi allarmi, buoni. Accessi impossibili, nuovi amministratori, disattivazione delle protezioni, regole di inoltro della posta, cancellazione dei backup.
- Qualcuno che risponde. Un allarme senza chi lo legge è rumore. Definite chi interviene, anche fuori orario.
- Rispettate le regole. I log contengono dati dei dipendenti: finalità chiare, accessi limitati, informativa, e attenzione ai vincoli sul controllo dei lavoratori.
Come evitare che si ripeta
Rivedete gli allarmi ogni trimestre: quali hanno trovato qualcosa, quali erano falsi positivi, cosa manca. Il monitoraggio migliora solo se viene curato.
Quando chiedere aiuto
Una PMI raramente può avere un presidio 24 ore su 24. Un servizio esterno di monitoraggio (SOC o MDR) dà gli occhi che mancano, purché sia chiaro chi fa cosa quando suona l'allarme.
Dal libro
«Senza quella traccia, a incidente finito, resta solo il ricordo confuso di giorni difficili, che non vale come prova di nulla.»
— *NIS2. La carta che guida*, capitolo 9
Uno spunto in più
Chiedete: "Se un nostro account amministratore fosse usato stanotte da un attaccante, chi se ne accorgerebbe, e quando?". Se la risposta è "lunedì mattina", sapete cosa fare.
Schede collegate
Abbiamo i backup ma non sappiamo se ripartiamo
Un backup non dimostra che ripartirete: servono priorità, ruoli e prove di ripristino registrate.
Abbiamo i documenti NIS2 ma restano nel cassetto
Politiche scritte per l'audit e mai lette: un documento utile non descrive il passato, indica la direzione. Ecco come farlo vivere.
Abbiamo un incidente: cosa fare e cosa notificare
Attivate ruoli, contenete l'incidente, annotate le decisioni e valutate subito la notifica tramite il Portale ACN.