Leggere i log non è un optional: è difesa attiva
Ogni giorno, i sistemi informatici della tua azienda generano migliaia — spesso milioni — di eventi registrati nei file di log. Accessi riusciti e falliti, connessioni di rete, errori applicativi, modifiche ai file, tentativi di autenticazione: una mole di informazioni che nella maggior parte delle PMI italiane viene semplicemente ignorata fino a quando non succede qualcosa di grave.
Ho perso il conto delle volte in cui, analizzando i log dopo un incidente di sicurezza, ho trovato segnali premonitori che erano lì da settimane, a volte mesi. Un picco anomalo di tentativi di login alle 3 di notte, connessioni verso IP in paesi con cui l’azienda non ha rapporti commerciali, accessi a cartelle sensibili da utenti che normalmente non le utilizzano. Tutti indizi che, se intercettati in tempo, avrebbero potuto prevenire il danno.
Cosa sono i log e perché contano
I log sono registrazioni cronologiche degli eventi che si verificano all’interno di un sistema informatico. Ogni componente dell’infrastruttura — server, firewall, switch, applicazioni, sistemi operativi — produce i propri log. Insieme, costituiscono una sorta di “scatola nera” dell’infrastruttura IT aziendale.
L’analisi sistematica di questi dati permette di:
- Rilevare intrusioni e attività sospette prima che causino danni significativi
- Ricostruire la dinamica degli incidenti per comprendere come è avvenuta una violazione
- Dimostrare la conformità normativa alle autorità di controllo (GDPR, NIS2)
- Identificare problemi di performance e colli di bottiglia nell’infrastruttura
- Ottimizzare le risorse sulla base dei pattern di utilizzo reali
I log critici da monitorare in azienda
Log di autenticazione
Sono i primi da tenere sotto controllo. Ogni tentativo di accesso — riuscito o fallito — ai sistemi aziendali viene registrato. Pattern da individuare: tentativi multipli falliti sullo stesso account (possibile brute force), accessi da posizioni geografiche inusuali, login in orari anomali, utilizzo di account dormienti. Su Active Directory, gli eventi 4625 (logon fallito) e 4624 (logon riuscito) sono fondamentali.
Log del firewall
Il firewall è la prima linea di difesa e i suoi log raccontano tutto ciò che accade ai confini della rete. Connessioni bloccate ripetute verso lo stesso target possono indicare un malware che tenta di comunicare con il proprio command & control. Traffico in uscita verso porte non standard merita sempre un approfondimento.
Log dei server e delle applicazioni
Errori ricorrenti, crash improvvisi, consumo anomalo di risorse: i log applicativi forniscono informazioni preziose sia per la sicurezza che per la stabilità operativa. Un’applicazione web che registra un picco di richieste malformate potrebbe essere sotto attacco SQL injection o cross-site scripting.
Log di posta elettronica
La posta elettronica resta il vettore di attacco numero uno. Monitorare i log del server di posta permette di identificare campagne di phishing in corso, account compromessi che inviano spam, e tentativi di data exfiltration tramite allegati sospetti.
Strumenti per l’analisi dei log
Analizzare manualmente i log è impraticabile quando i volumi superano le poche decine di eventi al giorno. Per questo esistono soluzioni specifiche che automatizzano la raccolta, la correlazione e l’analisi.
SIEM: il cervello dell’analisi
I sistemi SIEM (Security Information and Event Management) raccolgono i log da tutte le sorgenti dell’infrastruttura, li normalizzano e li correlano per identificare pattern sospetti. Un singolo tentativo di login fallito non è allarmante; ma se lo stesso IP tenta di accedere a 50 account diversi in 10 minuti, il SIEM genera un alert immediato.
Soluzioni come Wazuh (open source), Splunk o Microsoft Sentinel offrono dashboard intuitive, regole di correlazione preconfigurate e capacità di risposta automatica agli incidenti. Per le PMI, Wazuh rappresenta spesso il miglior compromesso tra funzionalità e costi.
Log management centralizzato
Prima ancora del SIEM, è fondamentale centralizzare la raccolta dei log. Strumenti come Graylog, ELK Stack (Elasticsearch, Logstash, Kibana) o anche un semplice syslog server permettono di avere tutti i dati in un unico punto, facilitando ricerche e analisi. La centralizzazione ha anche un vantaggio di sicurezza: se un attaccante compromette un server, non può cancellare i log già inviati al collector centrale.
Costruire una strategia di log management
Una strategia efficace di analisi dei log si costruisce seguendo alcuni principi chiave:
- Definire cosa monitorare: non tutti i log hanno la stessa importanza. Prioritizzare le sorgenti critiche — sistemi di autenticazione, firewall, server esposti a internet, applicazioni business-critical.
- Stabilire le policy di retention: per quanto tempo conservare i log? Il GDPR e la NIS2 forniscono indicazioni, ma in generale un minimo di 6-12 mesi è consigliabile per le analisi forensi.
- Creare baseline comportamentali: prima di poter identificare anomalie, bisogna conoscere il comportamento “normale” della rete. Serve un periodo di osservazione iniziale per calibrare gli alert.
- Definire procedure di escalation: quando un alert scatta, chi viene notificato? Quali azioni vengono intraprese? Senza procedure chiare, anche il miglior sistema di monitoraggio è inutile.
- Automatizzare dove possibile: la risposta automatica a eventi noti (blocco di un IP dopo N tentativi falliti, isolamento di un endpoint compromesso) riduce drasticamente i tempi di reazione.
Casi reali: quando i log salvano l’azienda
In un intervento recente, l’analisi dei log del firewall ha rivelato che un dispositivo IoT — una stampante di rete — stava effettuando connessioni periodiche verso un server in un paese dell’Est Europa. Il dispositivo era stato compromesso e utilizzato come testa di ponte per accedere alla rete interna. Senza il monitoraggio dei log, l’intrusione sarebbe potuta proseguire per mesi.
Un altro caso frequente riguarda gli account compromessi: un dipendente riceve un’email di phishing convincente, inserisce le proprie credenziali in un sito fasullo, e l’attaccante inizia ad accedere alla casella di posta per intercettare fatture e modificare gli IBAN. L’analisi dei log di accesso a Microsoft 365, con login simultanei da due continenti diversi, permette di identificare immediatamente la compromissione.
Non aspettare l’incidente per iniziare
L’analisi dei log è una delle attività più sottovalutate nella gestione IT delle PMI, eppure rappresenta uno degli investimenti con il miglior rapporto costo-beneficio in ambito sicurezza. Non serve un budget da multinazionale: servono competenza, metodo e gli strumenti giusti.
Se la tua azienda non ha ancora una strategia strutturata di log management e monitoraggio, è il momento di iniziare. Auxilia Sistemi può aiutarti a progettare e implementare un sistema di analisi dei log su misura per la tua infrastruttura. Chiamaci al 06 2170 1593 per un confronto senza impegno.
