Un sistema di gestione delle informazioni e degli eventi di sicurezza (SIEM) raccoglie log ed eventi di sicurezza da fonti quali endpoint, server, servizi di identità e dispositivi di rete. Normalizza e correla questi dati, aiutando i team di sicurezza a rilevare schemi sospetti, indagare sugli incidenti e monitorare le attività da un punto centrale.
Le regole e gli avvisi SIEM dipendono da dati telemetrici affidabili e da log analizzati correttamente. Negli attacchi reali, la correlazione può rivelare attività che, considerate singolarmente, sembrano innocue, come una sequenza di accessi insoliti seguita dall’accesso a sistemi sensibili. In ambito difensivo, i team testano e perfezionano le regole SIEM e verificano che le modifiche ai formati dei log o alle pipeline di raccolta non abbiano impedito l’attivazione degli avvisi previsti. Un SIEM supporta il rilevamento e l’analisi; non garantisce che ogni minaccia venga identificata.