Risposta — dal segnale all'azione¶

Traduzione automatica dell'originale francese.

Un segnale che non porta a nulla è inutile. Questa pagina descrive cosa succede dopo: chi viene informato e attraverso quale canale, cosa fa il parco autonomamente, come si indaga durante l'incidente e come viene dichiarato un incidente grave.

I termini tecnici si riferiscono al glossario.

sequenceDiagram
    autonumber
    participant D as Détecteur
    participant S as SIEM
    participant R as Réponse automatique
    participant H as Répartiteur d'alertes
    participant O as Opérateur
    participant V as Investigation à chaud
    participant I as Registre d'incidents

    D->>S: événement
    S->>S: règle → identifiant → niveau
    alt règle liée à une action
        S->>R: blocage, redémarrage ou isolement
        Note over R: toujours avec une durée :<br/>le blocage se lève seul
    end
    S->>H: alerte filtrée par identifiant de règle
    H->>O: deux messageries, un seul envoi
    O->>V: question posée à toute la flotte
    V-->>O: une réponse par machine
    opt incident important
        O->>I: déclaration datée
        I-->>O: échéances 24 h · 72 h · 1 mois
    end

1. Informare — un unico canale¶

Tutto ciò che deve informare qualcuno viene inviato attraverso un unico ripetitore, che duplica il messaggio a due sistemi di messaggistica. Esiste un percorso diretto nel caso in cui il ripetitore stesso non risponda. L'azione, i formati e le precauzioni sono descritti nella procedura Configurare l'invio di una notifica.

Perché un solo canale: un terzo canale di notifica significherebbe anche un terzo canale da mantenere, e spesso è proprio quello che viene dimenticato quando serve. L'emettitore non conosce le destinazioni; quando una di esse cambia, solo la mappa del ripetitore si aggiorna.

Tre regole governano l'invio:

Filtrare in base all'identificatore della regola. Un filtro per gruppo invia regole correlate e crea duplicati. E il livello di gravità decide anche cosa viene inviato: un segnale che ha il suo percorso deve rimanere al di sotto del limite generale, altrimenti viene inviato due volte.
Misurare prima di attivare. Ogni nuovo sensore passa prima attraverso un periodo di raccolta dati, con una data di attivazione predefinita. Si attiva un allarme di cui si conosce il volume, non un allarme di cui si scoprirà il volume.
Un allarme ricorrente ha un [intervallo di tempo](glossaire.md#hysteresis e la durata della sua serie. Si legge: "Fallimento continuo, da 3 giorni"; la stessa frase ripetuta ogni ora non viene più visualizzata.

2. Agire autonomamente — la risposta automatica¶

Un SIEM che rileva, correlaziona e segnala senza mai intervenire lascia aperta l'intera finestra tra l'allarme e il momento in cui un utente lo legge – di notte, questa finestra si misura in ore.

La risposta automatica di Wazuh dispone di tre azioni:

Azione	Cosa fa
Blocco di una sorgente	Regola del firewall applicata al sistema contro l'indirizzo che ha innescato la rilevazione
Riavvio di un servizio	Per le rilevazioni che segnalano un servizio in uno stato anomalo
Isolamento di un container	Interruzione del suo traffico tramite una regola dedicata, e messaggio al gestore per consentire a un utente di intervenire

E tre vincoli, che sono più importanti delle azioni:

Ogni azione è legata a regole specifiche, mai a un gruppo: una L'azione automatica deve essere attivata solo in seguito a rilevazioni che sono state lette una alla volta.
Ogni blocco ha una durata (timeout). Un blocco permanente su un falso positivo è un errore che ci infliggiamo, e più è prolungato, meno persone ne sono a conoscenza.
I blocchi si applicano a ciò che l'host effettivamente vede. Nel caso del traffico web, l'host dei container vede l'indirizzo del server, non quello del client: è CrowdSec, a livello applicativo, che agisce in questo caso. La risposta automatica del SIEM elabora le fonti che l'host vede direttamente.

Il testimone. Un sensore rilegge ogni settimana i blocchi attivi e quelli disattivati, e richiede che non esistano blocchi isolati — ovvero, blocchi attivati, ma mai disattivati. Un meccanismo di disattivazione difettoso non si manifesta in altro modo: i blocchi si accumulano silenziosamente.

3. Indagare durante l'incidente — Velociraptor¶

Il SIEM raccoglie informazioni secondo regole predefinite. Non risponde alle domande che si pongono durante l'incidente, e che non erano state previste: "Quali processi sono stati avviati su queste tre macchine a partire da ieri?", "Quali connessioni sono aperte, e tramite quali processi?". Senza uno strumento, ogni macchina deve effettuare la ricerca manualmente, una alla volta — e questo prolunga la durata dell'indagine.

Velociraptor è lo strumento di DFIR del parco: un server e un client su ogni macchina — hypervisor, host di container, host GPU, server off-site e macchina macOS. Una domanda viene scritta in VQL e inviata a tutta la flotta in una sola volta (hunt).

Scelta	Perché
Verifica della firma dell'editore prima dell'installazione	Uno strumento che controlla tutte le macchine è la risorsa più efficiente del parco
Interfaccia accessibile solo dalla rete locale e dalla rete privata, senza nome pubblico	Non c'è motivo per cui Internet la conosca
Connessione tramite OIDC, riservata al conto di amministratore	Un'unica autorità di identità, anche qui
Client limitato in termini di CPU e memoria sull'hypervisor	Un'indagine non deve rallentare tutte le macchine virtuali contemporaneamente
Autorità di certificazione del server salvata in due posizioni	Perderla obbligherebbe a reinserire ogni client

Il testimone. Una richiesta di inventario lanciata su tutta la flotta deve restituire quante risposte corrispondono al numero di client. Lo strumento distingue due tipi di guasti: un client assente (mai registrato, o disinstallato) e un client silenzioso (registrato, ma che non risponde). Il primo viene risolto con una registrazione, il secondo con un'indagine.

Le registro delle azioni da intraprendere in caso di incidente viene redatto prima di essere necessario, in un manuale dettagliato.

4. Dichiarazione – il registro degli incidenti¶

NIS2 impone alle entità interessate, per ogni incidente significativo glossaire.md#incident-important, tre scadenze: un avviso precoce entro 24 ore, una notifica entro 72 ore e un rapporto finale entro un mese. Il parco non è soggetto a questa direttiva; applica il meccanismo, perché costringe a classificare un incidente invece di lasciarlo dissolversi in un flusso di conversazioni.

Il registro raccoglie la descrizione, la data di rilevamento e la classificazione. Per un incidente significativo, calcola le scadenze e segnala eventuali superamenti. Un sistema di monitoraggio le controlla.

Ciò che il sistema di monitoraggio non dimostra

Dimostra che le scadenze per gli incidenti dichiarati vengono rispettate. Non dimostra che un incidente reale è stato dichiarato: un registro vuoto non viene utilizzato. Questo limite è scritto nell'intestazione del sistema di monitoraggio stesso – vedere Conformità.

Tre oggetti distinti, da non confondere:

Oggetto	Cosa contiene
La nota di incidente	La descrizione: ciò che è stato visto, creduto, misurato e corretto
Il ticket	Lo stato: aperto, risolto e il modo per verificare la risoluzione
Il registro	Le scadenze normative di un incidente classificato come significativo

Nessuno dei tre sostituisce gli altri.

Da leggere successivamente¶

Rilevamento – da dove provengono i segnali.
Continuità – quando l'incidente ha causato danni.
Gestire una notifica – l'azione.

Dernière vérification de cette page : 2026-09-11