Prodotto

Come funziona SiemShield

Il percorso di un log dentro SiemShield è sempre lo stesso: entra da un canale autorizzato, resta separato dai dati di ogni altro cliente, viene analizzato mentre arriva e finisce in un archivio sigillato con valore probatorio. Sei tappe, tutte tracciabili.

Colleghi tutto in minuti

Non devi uniformare l'infrastruttura né sostituire apparati: SiemShield si adatta a quello che hai già. Firewall, server, postazioni, apparati di rete e sistemi di posta iniziano a mandare i loro log senza riprogettare nulla.

Parser dedicati per i firewall dei principali produttori: i dati arrivano già leggibili.
Qualunque apparato che parli syslog standard è supportato, con o senza cifratura del canale.
Server e postazioni Windows con o senza installare nulla.
Un solo punto di raccolta, un solo archivio, una sola console.

Entra solo ciò che hai autorizzato

Alla piattaforma arriva soltanto ciò che hai autorizzato: le sorgenti si dichiarano dalla console e tutto il resto resta fuori.

Ogni sorgente va autorizzata dalla console prima di poter inviare log.
Una nuova sorgente diventa operativa in pochi minuti, senza interventi sui server.

Ogni dato resta a casa propria

Ogni evento appartiene a un cliente dal momento in cui entra fino all'archiviazione. Ricerche, cruscotti ed esportazioni mostrano soltanto i dati a cui l'utente ha diritto: è la base dell'isolamento descritto in Multi-tenant e MSP.

Ti accorgi delle cose mentre succedono

Il motore di correlazione applica le regole di rilevamento del SOC mentre gli eventi arrivano, lavorando su campi normalizzati e quindi trasversali ai vendor.

Anche una regola scritta male resta contenuta, senza degradare la piattaforma.
Lo stato del motore è visibile in console: vedi in ogni momento se sta lavorando.

Un allarme che qualcuno prende in carico

Quando una regola scatta, l'allarme entra nell'Alert Center con il suo ciclo di vita completo: presa in carico, chiusura, silenziamento e statistiche.

Audit trail che sopravvive anche alla cancellazione dell'allarme.
Mappa geografica che collega l'origine dell'attacco alla sede del cliente.

Il dettaglio delle singole funzioni è su Funzionalità della piattaforma.

L'archivio si difende da solo

In parallelo all'analisi, ogni log entra nell'archivio sigillato, ancorato a una marca temporale qualificata eIDAS: da quel momento ogni alterazione è matematicamente rilevabile e le prove sono pronte se qualcuno le chiede.

Archiviazione dei log a norma di legge

Dalla configurazione alla prova legale, tutto dalla console

La prima giornata di lavoro va così: apri la console, dichiari il firewall, aggiungi due server. In pochi minuti i log scorrono in diretta e nel pomeriggio arriva il primo allarme da leggere. Da lì in avanti raccolta, analisi e sigillo procedono da soli 24 ore su 24. Il certificato di integrità si scarica dalla console quando serve.

Approfondimenti

Guide pratiche

Event ID di Windows da monitorare: la lista corta di un SOC

Microsoft classifica a bassa criticità gli eventi da cui nasce quasi tutto il lavoro di un SOC. La lista corta che raccogliamo, con il valore predefinito di ogni criterio di audit verificato sulla documentazione, e il rumore che copre l'unica riga che conta.

Vuoi vedere SiemShield sui tuoi log?

Ti mostriamo la piattaforma su casi reali: raccolta, correlazione, allarmi e archivio a norma.