Tre strumenti, tre scopi diversi
Nel panorama della cybersecurity, SIEM, SOAR e XDR sono i tre pilastri del security operations. Ma le differenze non sono sempre chiare, e scegliere lo strumento sbagliato significa sprecare budget. Facciamo chiarezza.
SIEM: il centralizzatore di log
Il Security Information and Event Management raccoglie e correla log da tutta l'infrastruttura. È il "database della sicurezza".
- Cosa fa: raccoglie log da firewall, server, endpoint, applicazioni. Li normalizza, li correla con regole predefinite, genera alert.
- Punto di forza: visibilità completa su tutto ciò che accade nell'infrastruttura. Fondamentale per compliance (retention dei log).
- Limite: genera molti alert e richiede analisti per interpretarli, con un alto tasso di falsi positivi. Gli oltre 11.000 alert al giorno spesso citati vengono da uno studio Forrester Consulting commissionato da Palo Alto Networks nel 2020 e misurano tutto cio' che arriva a un team SecOps, che usa in media oltre dieci categorie di strumenti: non sono gli alert del solo SIEM.
- Esempi: Splunk, IBM QRadar, Elastic SIEM, Wazuh (open source).
- Costo PMI: da 0€ (open source) a 30.000-80.000€/anno (enterprise).
SOAR: l'automatore di risposta
Il Security Orchestration, Automation and Response automatizza le azioni di risposta agli incidenti tramite playbook.
- Cosa fa: riceve alert dal SIEM, esegue azioni automatiche (blocco IP, isolamento endpoint, creazione ticket), orchestra strumenti diversi.
- Punto di forza: riduce il tempo di risposta da ore a secondi. Elimina le attività ripetitive degli analisti.
- Limite: richiede playbook ben progettati. Non è un sostituto degli analisti: li potenzia.
- Esempi: Palo Alto XSOAR, Splunk SOAR, Shuffle (open source), Tines.
- Costo PMI: da 0€ (open source) a 20.000-50.000€/anno (enterprise).
XDR: il rilevatore intelligente
L'Extended Detection and Response unifica la telemetria da endpoint, rete, email e cloud in un'unica piattaforma con analytics avanzati.
- Cosa fa: raccoglie dati nativamente (non solo log), usa ML/AI per correlare eventi, rileva attacchi complessi, risponde automaticamente.
- Punto di forza: out-of-the-box detection con pochi falsi positivi. Non richiede tuning complesso come un SIEM.
- Limite: vendor lock-in (i dati sono nel formato del vendor). Meno flessibile di un SIEM per use case custom.
- Esempi: CrowdStrike Falcon, Microsoft Defender XDR, SentinelOne, Wazuh.
- Costo PMI: da 0€ (open source) a 5-20€/endpoint/mese (SaaS).
Perché l'EDR non basta più
Un attaccante moderno non opera su un singolo vettore. Lo scenario tipico:
- Email: phishing iniziale che ruba credenziali
- Identity: login con credenziali rubate da un IP anomalo
- Endpoint: download di tool di ricognizione
- Rete: scansione della rete interna
- Cloud: accesso ai file su SharePoint
- Endpoint: deployment del ransomware
L'EDR vede solo i passaggi 3 e 6. L'XDR vede tutti e 6 e li correla in un singolo incidente, rilevando l'attacco alla fase 2, prima che faccia danni.
I componenti di un XDR
- EDR (Endpoint): agent sugli endpoint che monitora processi, file, registro, connessioni
- NDR (Network): analisi del traffico di rete per rilevare comunicazioni anomale, C2, lateral movement
- Email Security: analisi delle email per phishing, BEC, allegati malevoli
- Identity Protection: monitoraggio di login anomali, privilege escalation, credential theft
- Cloud Security: visibilità su attività anomale nei servizi cloud (M365, AWS, Azure)
- SOAR: automazione della risposta con playbook predefiniti
Quale scegliere per una PMI
- PMI < 30 dipendenti: partite con un XDR. Protezione completa, facile da gestire, costo contenuto.
- PMI 30-100 dipendenti: XDR + SIEM basilare per compliance e log retention.
- PMI 100+ dipendenti o NIS2 essential: XDR + SIEM + SOAR per automazione e risposta rapida.
La piattaforma Presidio integra tutti e tre: Wazuh come SIEM/XDR, Shuffle come SOAR e Velociraptor per la forensic avanzata, in un'architettura unificata che elimina il problema della scelta e dell'integrazione.
La convergenza in corso
Il trend del 2026 è la convergenza: gli XDR stanno integrando funzionalità SIEM, i SIEM aggiungono SOAR, e tutti aggiungono AI. Per le PMI, questo è positivo: meno strumenti da gestire, meno integrazione da fare, più valore per euro speso.