Tre strumenti, tre scopi diversi
Nel panorama della cybersecurity, SIEM, SOAR e XDR sono i tre pilastri del security operations. Ma le differenze non sono sempre chiare, e scegliere lo strumento sbagliato significa sprecare budget. Facciamo chiarezza.
SIEM: il centralizzatore di log
Il Security Information and Event Management raccoglie e correla log da tutta l'infrastruttura. È il "database della sicurezza".
- Cosa fa: raccoglie log da firewall, server, endpoint, applicazioni. Li normalizza, li correla con regole predefinite, genera alert.
- Punto di forza: visibilità completa su tutto ciò che accade nell'infrastruttura. Fondamentale per compliance (retention dei log).
- Limite: genera molti alert (11.000/giorno in media), richiede analisti per interpretarli. Alto tasso di falsi positivi.
- Esempi: Splunk, IBM QRadar, Elastic SIEM, Wazuh (open source).
- Costo PMI: da 0€ (open source) a 30.000-80.000€/anno (enterprise).
SOAR: l'automatore di risposta
Il Security Orchestration, Automation and Response automatizza le azioni di risposta agli incidenti tramite playbook.
- Cosa fa: riceve alert dal SIEM, esegue azioni automatiche (blocco IP, isolamento endpoint, creazione ticket), orchestra strumenti diversi.
- Punto di forza: riduce il tempo di risposta da ore a secondi. Elimina le attività ripetitive degli analisti.
- Limite: richiede playbook ben progettati. Non è un sostituto degli analisti: li potenzia.
- Esempi: Palo Alto XSOAR, Splunk SOAR, Shuffle (open source), Tines.
- Costo PMI: da 0€ (open source) a 20.000-50.000€/anno (enterprise).
XDR: il rilevatore intelligente
L'Extended Detection and Response unifica la telemetria da endpoint, rete, email e cloud in un'unica piattaforma con analytics avanzati.
- Cosa fa: raccoglie dati nativamente (non solo log), usa ML/AI per correlare eventi, rileva attacchi complessi, risponde automaticamente.
- Punto di forza: out-of-the-box detection con pochi falsi positivi. Non richiede tuning complesso come un SIEM.
- Limite: vendor lock-in (i dati sono nel formato del vendor). Meno flessibile di un SIEM per use case custom.
- Esempi: CrowdStrike Falcon, Microsoft Defender XDR, SentinelOne, Wazuh.
- Costo PMI: da 0€ (open source) a 5-20€/endpoint/mese (SaaS).
Quale scegliere per una PMI
- PMI < 30 dipendenti: partite con un XDR. Protezione completa, facile da gestire, costo contenuto.
- PMI 30-100 dipendenti: XDR + SIEM basilare per compliance e log retention.
- PMI 100+ dipendenti o NIS2 essential: XDR + SIEM + SOAR per automazione e risposta rapida.
La piattaforma Presidio integra tutti e tre: Wazuh come SIEM/XDR, Shuffle come SOAR e Velociraptor per la forensic avanzata — in un'architettura unificata che elimina il problema della scelta e dell'integrazione.
La convergenza in corso
Il trend del 2026 è la convergenza: gli XDR stanno integrando funzionalità SIEM, i SIEM aggiungono SOAR, e tutti aggiungono AI. Per le PMI, questo è positivo: meno strumenti da gestire, meno integrazione da fare, più valore per euro speso.