Guida ai log e al SIEM

1. Scopo e ambito

Questa guida spiega come esaminare i log e le metriche di IntelliSuite e integrarli con il sistema di gestione delle informazioni e degli eventi di sicurezza (SIEM). OEE IntelliSuite collaborerà con il vostro team IT per soddisfare i requisiti del vostro SIEM.

Il prodotto IntelliSuite include i componenti descritti di seguito. Verificate con il team IT quali sono installati, come sono raggiungibili, chi può accedervi e quali controlli di sicurezza sono attivi. Questa guida non dimostra che un determinato servizio, una fonte di log, un account, un percorso di rete o un controllo di sicurezza sia configurato o funzionante presso la vostra sede.

2. La piattaforma locale di monitoraggio

Il prodotto IntelliSuite include una piattaforma locale di monitoraggio realizzata con componenti aperti standard:

• Grafana è l'interfaccia web utilizzata per visualizzare e interrogare i dati.
• Loki archivia i record di log: messaggi di testo dei servizi con i relativi campi.
• Prometheus archivia le metriche: misurazioni numeriche rilevate nel tempo, come conteggi e tassi.
• Tempo archivia le tracce che mostrano come una richiesta ha attraversato più servizi.
• Grafana Alloy è il collettore. Riceve la telemetria dai servizi IntelliSuite e la scrive in Loki, Prometheus e Tempo.

Log e metriche sono diversi. Usate Loki per leggere ciò che un servizio ha segnalato. Usate Prometheus per vedere come cambia un valore nel tempo. Nessuno dei due costituisce da solo una traccia di audit della sicurezza.

3. Fornire l'accesso

1. Il team IT e IntelliSuite confermano dove viene eseguito Grafana e l'indirizzo a cui gli utenti lo raggiungeranno, e concordano se sarà raggiungibile solo dalla vostra rete.
2. Concordate l'accesso con i responsabili autorizzati. Prima di concederlo, configurate e convalidate l'autenticazione e i controlli di accesso Grafana. Verificate che ogni lettore abbia solo i permessi concordati e non possa amministrare o scrivere senza un'autorizzazione separata.
3. Scegliete una fonte di log rappresentativa e non sensibile e un breve intervallo di tempo. In Grafana Explore selezionate l'origine dati Loki, il servizio e l'intervallo, quindi confermate che compaiano record con i campi previsti.
4. Esaminate insieme un record di esempio: marca temporale, fuso orario, nomi dei campi e presenza di dati sensibili in eventuali campi.
5. Concordate insieme il percorso verso il SIEM (vedere sezione 4), indicando un responsabile per ciascuna parte.
6. Eseguite una prova end-to-end: un evento noto di un servizio di origine dovrebbe apparire nel SIEM entro il tempo concordato. Documentate il risultato.

4. Trasferire i dati al SIEM

OEE IntelliSuite collaborerà con il team IT per stabilire una connessione al vostro SIEM. I team concorderanno le fonti degli eventi, il formato e il trasporto. A seconda del SIEM, le opzioni da valutare includono OTLP, syslog, trasferimento di file e acquisizione tramite API. L'integrazione deve essere verificata per la vostra installazione.

Il prodotto include un esportatore opzionale OTLP su HTTP che può inviare log, metriche e tracce a un secondo endpoint. La configurazione di distribuzione nel codice sorgente prevede requisiti specifici di trasporto e autenticazione; occorre accertare la compatibilità con il vostro SIEM o con un intermediario. I team devono concordare endpoint, ambito dei dati, cifratura e metodo di accesso, quindi configurare e provare l'intero percorso prima di farvi affidamento.

5. Cronologia delle modifiche di produzione (separata dai log)

Pulse fornisce una cronologia per le modifiche supportate ai dati di produzione nel database dell'applicazione, visualizzata nella pagina del registro modifiche di Pulse. Le voci possono includere ora della modifica, dispositivo, tipo di elemento, descrizione, valori modificati e identità dell'autore quando disponibile.

Quando l'autenticazione è disattivata, l'autore può essere sconosciuto. Si tratta di una cronologia operativa, non di una traccia completa di audit della sicurezza. Non abbiamo verificato l'inoltro di questi record a Loki o a un SIEM.

6. Cosa è possibile monitorare e cosa verificare

Scegliete il monitoraggio per fonte e fate affidamento solo sugli elementi confermati durante l'avvio.

• Eventi di identità, come accessi non riusciti o blocchi degli account, possono essere disponibili dal vostro provider di identità, se configurato. Confermate la copertura con il team IT.
• Eventi applicativi, come modifiche ai permessi locali, accessi non riusciti, esportazioni di dati e modifiche alla configurazione, richiedono verifiche separate della copertura. Il codice sorgente esaminato non dimostra che siano registrati come eventi di sicurezza; verificate le fonti e la copertura effettive.
• Stato operativo, come guasti dei servizi, lacune nella telemetria e volumi insoliti, può essere monitorato mediante log e metriche quando verificato durante l'avvio.
• Modifiche operative possono essere esaminate nella pagina del registro modifiche di Pulse, se la funzione è presente nella vostra versione.

Non è stato verificato un catalogo completo degli eventi di log di sicurezza o dei loro identificativi. Nomi e identificativi degli eventi, schema, conservazione e inoltro automatico devono essere confermati durante l'avvio. Questa guida serve per l'avvio. Non dimostra che un determinato evento sia acquisito, conservato o inoltrato.

7. Elenco di controllo per l'avvio

Concordate e verificate ogni punto con il team IT.

1. Responsabili: una persona nominata nella vostra organizzazione e una in IntelliSuite per log, accesso e connessione SIEM.
2. Accesso in lettura: account nominativi, ruoli e processo di approvazione delle modifiche.
3. Rete e trasporto: percorsi di rete consentiti e modalità di cifratura e autenticazione del traffico.
4. Marche temporali e campi: un campione di record reali con fuso orario e nomi dei campi verificati.
5. Conservazione: durata della conservazione dei dati in ogni archivio su ciascun lato e responsabile della cancellazione.
6. Dati sensibili: campi da filtrare o escludere prima che i dati lascino la sede.
7. Soglie di allerta: condizioni che generano un avviso e valori di soglia concordati.
8. Prova end-to-end: un evento noto seguito dalla fonte al SIEM, con il risultato registrato.
9. Responsabilità ed escalation: chi risponde a un avviso, come viene inoltrato e tempi di risposta concordati.
10. Controllo delle modifiche: come le modifiche alla configurazione vengono richieste, approvate e registrate.