Raccogliere i log giusti, per scenari definiti.
Un SIEM genera valore quando le fonti sono affidabili, i casi d'uso rispondono a rischi reali e gli alert attivano un processo. Il SOAR aggiunge orchestrazione e automazioni, ma richiede dati di qualità, autorizzazioni e gestione degli errori.
Attività SIEM
- analisi degli scenari di rischio e delle fonti necessarie;
- onboarding, parsing, normalizzazione e controllo qualità;
- progettazione di use case su ransomware, BEC, identità ed esfiltrazione;
- regole di correlazione, soglie, liste di eccezione e tuning;
- dashboard operative ed executive;
- retention, accessi e protezione dei log.
Attività SOAR
- arricchimento automatico di IP, domini, hash e asset;
- raccolta contestuale da EDR, identity e cloud;
- apertura e aggiornamento dei ticket;
- playbook con approvazione umana per azioni sensibili;
- gestione di timeout, errori e rollback;
- audit delle esecuzioni e misurazione del beneficio.
Miglioramento continuo
NESQ mantiene un catalogo dei use case con obiettivo, fonti, logica, owner, severità e test. Incidenti, threat hunting, Vulnerability Assessment e Red Team alimentano nuove regole. Le metriche includono copertura, qualità, falsi positivi e tempo risparmiato, non soltanto il volume degli eventi.