Sophos Next-Gen SIEM: quando XDR o MDR non bastano?

Un accesso sospetto viene scoperto soltanto mesi dopo. Ora l’IT deve capire quali account fossero coinvolti, quali sistemi siano stati raggiunti e se gli eventi siano collegati. Una dashboard chiara serve a poco se i dati rilevanti sono già stati cancellati o non sono mai arrivati.

Sophos Next-Gen SIEM amplia XDR e MDR con ulteriore acquisizione di dati, analisi e conservazione più lunga. Può colmare una lacuna reale. Ma può anche diventare un’altra licenza per dati la cui utilità nessuno ha definito in precedenza.

Cos’è un SIEM e cosa aggiunge questa soluzione?

SIEM significa Security Information and Event Management. Un SIEM raccoglie i registri degli eventi, detti log, di diversi sistemi IT in un punto centrale. Tra questi rientrano, ad esempio, gli accessi a Microsoft Entra ID, le connessioni sul firewall, gli avvisi della protezione Endpoint e le modifiche a server o applicazioni. Un log registra cosa è accaduto, quando e su quale sistema, e quale account o dispositivo fosse coinvolto.

Raccogliere i dati e renderli comprensibili

Ogni prodotto registra gli eventi in modo diverso. Un firewall descrive una connessione con indirizzo sorgente, destinazione e azione; un servizio di identità registra, ad esempio, utente, orario di accesso ed esito. Il SIEM acquisisce i dati forniti e associa i campi rilevanti a uno schema comune. Questa normalizzazione permette di cercare insieme eventi provenienti da fonti diverse. Funziona soltanto se le informazioni necessarie sono presenti nel log originale.

Riconoscere e analizzare i collegamenti

Il vero valore emerge quando è possibile collegare i singoli eventi. Ad esempio, a più tentativi di accesso non riusciti segue un accesso riuscito dello stesso account. Poco dopo, questo account riceve ulteriori autorizzazioni e accede a un server. Ogni evento preso singolarmente può avere una spiegazione; la sequenza merita un’indagine.

Le regole di rilevamento e le correlazioni possono evidenziare queste combinazioni e generare avvisi. Gli analisti verificano poi se si tratti di un attacco, di un comportamento scorretto o di un’operazione legittima. A questo scopo eseguono ricerche nei dati, filtrano per account o dispositivi e ricostruiscono la sequenza temporale. I falsi positivi vanno valutati e le regole adattate all’ambiente. Un SIEM non comprende automaticamente ogni processo aziendale.

Conservare, analizzare e reagire

I log conservati aiutano anche quando un sospetto emerge soltanto in seguito. I report mostrano, ad esempio, schemi di accesso, modifiche alle autorizzazioni o lacune nelle fonti collegate. Quanto indietro possa risalire un’indagine dipende dai dati effettivamente raccolti e dalla loro conservazione.

Un avviso non ferma ancora un attacco. Bloccare un account o isolare un dispositivo richiede un’integrazione Response adeguata, autorizzazioni e una procedura definita. Le risposte automatiche sono possibili se la soluzione utilizzata e i sistemi collegati le supportano e se sono state configurate. In caso contrario deve intervenire la persona responsabile.

Dove si inserisce Sophos Next-Gen SIEM

Sophos integra queste funzioni in Sophos Fusion, precedentemente Sophos Central. Le fonti, le analisi e le risposte disponibili dipendono dai prodotti acquistati e dalle integrazioni configurate.

XDR collega i dati di sicurezza per rilevamento e indagine. MDR aggiunge un servizio gestito con analisti e interventi di risposta concordati. Next-Gen SIEM amplia la base dati e la sua utilizzabilità su periodi più lunghi. Chi possiede XDR non dispone per questo di un servizio di analisti operativo 24 ore su 24; chi possiede MDR non ottiene automaticamente, con una licenza SIEM, qualsiasi analisi immaginabile come nuova prestazione del servizio.

L’inquadramento tecnico nella nostra KB aiuta nella pianificazione. Prima dell’acquisto dovrebbe essere definita una domanda concreta alla quale l’attuale perimetro XDR/MDR non consente di rispondere in modo affidabile.

Quando è utile conservare ulteriori dati?

Un esempio sono gli incidenti relativi alle identità avvenuti molto tempo prima. Potrebbero servire dati di accesso, modifiche alle autorizzazioni ed eventi del firewall pertinenti. Tutte e tre le fonti devono quindi essere collegate, fornire i campi necessari e avere i dati conservati per il periodo rilevante. Un altro anno di telemetria Endpoint non sostituisce gli eventi di accesso mancanti.

Un secondo caso d’uso è fornire riscontri a revisori interni o clienti. Analisi predefinite possono aiutare a presentare eventi e copertura in modo comprensibile. Una dashboard di compliance, però, non rilascia una certificazione e non soddisfa automaticamente alcuna normativa. L’organizzazione deve definire quali dati servano e per quanto tempo, verificandoli rispetto ai propri requisiti.

Partirei quindi da due o tre domande di indagine reali. Ad esempio: si possono ricostruire i precedenti accessi di un fornitore che ha lasciato l’azienda? Si possono mostrare le modifiche agli account privilegiati per il periodo richiesto? Solo da queste domande derivano fonti, campi, conservazione e costi.

Cosa significa «fino a dieci anni»?

La guida tecnica per amministratori del 1° ottobre 2026 indica 13 mesi di conservazione standard ed estensioni a tre, cinque, sette o dieci anni. L’attuale pagina del prodotto Sophos indica invece un anno. Alla verifica del 28 ottobre, questa differenza non è spiegata in modo univoco. Per l’inquadramento tecnico facciamo riferimento ai 13 mesi della guida per amministratori specifica del prodotto; il periodo vincolante per il proprio tenant e i dati necessari deve comunque essere confermato nell’offerta.

«Fino a dieci anni» non descrive una dotazione di base inclusa indistintamente. La nostra KB sulla pianificazione della conservazione distingue le indicazioni del produttore, la conservazione ordinata e la successiva verifica. Chi necessita di più di dodici mesi di storico dovrebbe chiarire espressamente il periodo aggiuntivo prima dell’acquisto.

Altrettanto importante: una fonte configurata oggi non fornisce automaticamente gli eventi mancanti del passato. Per il periodo di indagine conta da quando i dati sono stati effettivamente raccolti. In caso di migrazione occorre quindi chiarire cosa accada ai log esistenti e per quanto tempo restino accessibili.

Conservazione, inoltre, non significa ripristino. Un SIEM non sostituisce il backup dei dati aziendali. Anche dopo un incidente ben documentato servono copie di sicurezza funzionanti per rimettere in servizio le applicazioni coinvolte.

Come arrivano gli eventi giusti?

Sophos offre integrazioni di prodotto e possibilità per fonti dati personalizzate. Una fonte presente nel catalogo non significa però che la categoria di eventi desiderata arrivi nel tenant. Licenza, accesso all’interfaccia, connettore e campi effettivamente forniti devono essere coerenti. La nostra guida alle integrazioni MDR/XDR descrive la verifica operativa.

Per un’applicazione interna occorre, ad esempio, definire il formato inviato, come vengono associati utenti e timestamp e se le operazioni decisive vengano effettivamente registrate. Un record tecnicamente leggibile ma privo di un’identità univoca può comunque risultare inutilizzabile per l’indagine. Un parser aiuta ad associare i dati, ma non crea eventi mai forniti dal sistema sorgente.

Il collegamento Syslog di Sophos Firewall è un esempio di percorso di trasporto. Un invio riuscito dimostra inizialmente soltanto il trasporto. Per il collaudo, un evento di test noto deve comparire nell’analisi con orario, sistema e azione corretti e restare nuovamente reperibile per il periodo previsto.

Quanto costa davvero Next-Gen SIEM?

L’add-on è destinato ai clienti XDR o MDR e viene concesso in licenza per utente e server. Secondo la policy di licenza Sophos, la quantità deve corrispondere al numero totale delle relative sottoscrizioni XDR/MDR. Contare soltanto gli amministratori o un piccolo gruppo pilota non produrrebbe quindi un calcolo completo.

Sophos promuove il modello senza tariffe di acquisizione dipendenti dal volume. Questo significa che il prezzo non viene calcolato per gigabyte acquisito come in un modello tradizionale. Non significa acquisizione illimitata di dati: la policy di licenza indica un limite di 1 GB di dati grezzi acquisiti al giorno complessivamente su tutte le fonti dati; l’applicazione di questo limite alla quantità acquistata deve essere chiarita inequivocabilmente nell’offerta.

Il prezzo totale comprende anche le estensioni di conservazione desiderate, eventuali licenze delle fonti dati, configurazione e gestione continuativa. Per un confronto utile, l’offerta deve coprire lo stesso perimetro di dati e la stessa conservazione dell’alternativa.

Chi analizza i dati raccolti?

Un SIEM deve monitorare le fonti, mantenere le associazioni dei campi e consentire le analisi. Un’integrazione guasta non deve emergere soltanto durante un incidente. Qualcuno deve sapere quali dati siano arrivati l’ultima volta e quando, e quali modifiche al sistema sorgente influenzino il flusso dei dati.

Con MDR ci sono già analisti per il servizio di sicurezza concordato. Questo non comporta però la gestione generalizzata di ogni report di compliance o di ogni fonte dati personalizzata. Prima dell’estensione occorre definire quali dati aggiuntivi Sophos analizzerà nel servizio acquistato e quali analisi resteranno all’IT interno. Un archivio condiviso non elimina questi confini di responsabilità.

Quando acquisterei l’add-on?

Se l’indagine o la conservazione necessarie non sono possibili con il perimetro esistente, Next-Gen SIEM può essere utile. Un progetto pilota dovrebbe avere una fonte rappresentativa, una domanda concreta e un responsabile nominato. Il risultato è un’analisi comprensibile, della quale si conoscono completezza dei dati e impegno richiesto.

Chi già non reagisce agli avvisi attuali trae poco vantaggio dalla sola conservazione più lunga. Prima devono funzionare le responsabilità e i controlli esistenti. Acquisterei l’add-on se colmasse una lacuna identificata, non soltanto perché «più log» suona come maggiore sicurezza.

Domande frequenti