Regole di Cyber Intelligence per la conformità¶
Le norme sulla sicurezza delle informazioni chiedono, fra le altre cose, di rilevare certi eventi e di poterlo dimostrare: accessi privilegiati, modifiche a configurazioni e policy, malware, backup falliti, cancellazione dei log. La libreria di regole del Log Manager raggruppa in cinque temi le regole che producono queste evidenze, una per norma. Copiare il tema con un'azione Journal fa sì che ogni evento rilevante finisca nel registro, dove resta consultabile e rientra nel report giornaliero.
Come leggere i riferimenti¶
Le descrizioni delle regole della libreria riportano i riferimenti normativi che la regola supporta, per esempio:
Accesso di rete alle share amministrative nascoste (ADMIN$, C$, D$) […] ISO 27001 A.8.20 / A.8.16; NIS2 art.21 c.2 lett. e.
Il riferimento dice quale controllo la regola aiuta a soddisfare. Non sostituisce l'analisi del rischio e la documentazione richiesta dalla norma: indica che, per quel controllo, l'appliance è in grado di rilevare e registrare l'evento.
I temi di conformità non coprono tutti i controlli di una norma
ISO 27001, NIS2, PCI DSS, DORA e ISO 22301 richiedono anche controlli che un sistema di log management non può soddisfare: politiche e organizzazione, formazione del personale, gestione dei fornitori, sicurezza fisica, analisi del rischio, piani di continuità, cifratura dei dati. Un tema della libreria copre la parte rilevabile dai log di quella norma — accessi, modifiche, malware, backup, integrità dei registri — e va inteso come strumento coadiuvante del percorso di conformità, non come la conformità stessa. L'elenco dei controlli da soddisfare resta quello della norma e della propria analisi del rischio.
Le tabelle che seguono riportano i controlli coperti da ciascun tema, come li descrive la libreria, con esempi del tipo di regole presenti. L'elenco esatto delle regole di un tema è quello che la libreria mostra filtrandolo.
ISO/IEC 27001 (Annex A)¶
Il tema più ampio della libreria. Copre i controlli dell'Annex A 2022 che si possono verificare dai log:
| Controlli | Che cosa rilevano le regole |
|---|---|
| 5.15–5.18, 8.2, 8.5 — accessi e privilegi | Login falliti e riusciti, accessi con privilegi speciali (4672), modifiche a gruppi privilegiati, account creati o abilitati, uso di sudo, accesso alle share amministrative |
| 8.15, 8.16 — logging e monitoraggio | Registro eventi cancellato, audit interrotto o registro pieno, auditpol azzerato, arresto di rsyslog/auditd, agent LMService fermato |
| 8.7 — malware | Rilevazioni e quarantene di Defender e degli antivirus di terze parti, protezione disattivata, firme obsolete |
| 8.9, 8.19, 8.32 — configurazioni e software | Modifiche a Group Policy, al registro, a file di sistema (FIM), a crontab e systemd, nuovi servizi installati |
| 8.13 — backup | Errori di Windows Backup, Veeam, VSS |
| 8.20–8.23 — rete e web filtering | Firewall disattivato, modifiche alla configurazione del firewall, web filter e application control |
| 8.24 — crittografia | Errori BitLocker, Kerberos con RC4, autenticazione legacy |
Compliance NIS2 (art. 21)¶
La direttiva NIS2 elenca all'art. 21 comma 2 le misure minime di gestione del rischio. Le regole del tema sono etichettate con la lettera della misura:
| Lettera | Misura | Esempi di regole |
|---|---|---|
| b | Gestione degli incidenti | Traffico verso botnet o C2 rilevato dal firewall, fail2ban che blocca un IP, manomissione dei log |
| c | Continuità e backup | Backup falliti, arresto di servizi |
| d | Sicurezza della supply chain | |
| e | Sicurezza di reti e sistemi | Accesso alle share amministrative, firewall disattivato, modifiche a crontab e servizi |
| g | Igiene cyber | |
| h | Crittografia | |
| i | Controllo accessi e asset | Accessi con privilegi speciali, ogni comando sudo, sudo rifiutato, accesso a documenti riservati |
| j | MFA e autenticazione | Cambio password di utenti locali, MFA negata ripetuta su Office 365 |
PCI DSS v4.0¶
Per chi tratta dati di carte di pagamento. Il tema raccoglie i requisiti rilevabili dai log, indicati con il numero del requisito:
| Requisito | Regole tipiche |
|---|---|
| 1 — firewall e rete | Firewall disattivato o riconfigurato, IPS |
| 5 — anti-malware | Rilevazioni, protezione disattivata, firme obsolete |
| 6 — sistemi sicuri e change | Nuovi servizi, task pianificati, modifiche al registro |
| 7 — accessi e privilegi minimi | Accessi con privilegi speciali, modifiche ai gruppi |
| 8 — autenticazione e MFA | Brute force, account bloccati, password reimpostate |
| 10 — logging e monitoraggio | Registro cancellato, audit interrotto |
| 11 — IDS e file integrity monitoring | Modifiche a file di sistema e configurazioni critiche |
DORA (Reg. UE 2022/2554)¶
Per il settore finanziario dell'Unione. Le regole sono riferite agli articoli del regolamento: protezione e prevenzione ICT (art. 9), rilevamento di attività anomale (art. 10), risposta, ripristino e backup (art. 11–12), gestione degli incidenti ICT. In pratica: rilevazioni antivirus, dump di credenziali, accessi anomali, backup falliti, inibizione del ripristino, arresto di servizi di sicurezza.
ISO 22301 (continuità operativa)¶
Non una norma di sicurezza ma di business continuity. Il tema raccoglie gli eventi che minacciano la continuità del servizio: guasti hardware e dischi, arresti di servizi e di sistema, backup falliti, shadow copy cancellate, ransomware, saturazione di CPU, RAM e disco.
Come usare i temi di conformità¶
- Copiare il tema con un'azione Journal di livello Importante (procedura): ogni evento rilevante finisce nel registro e nel report giornaliero.
- Verificare che le sorgenti ci siano: le regole su file e share richiedono l'audit dei file nel profilo dell'Endpoint Client, quelle su Office 365 il connettore cloud, quelle sul firewall il suo syslog.
- Aggiungere l'azione Email o Webhook sulle regole che richiedono una risposta immediata — per NIS2 e DORA la gestione degli incidenti ha tempi definiti.
- In sede di audit, il Journal e l'archivio dei log firmato sono le evidenze: mostrano che l'evento è stato rilevato, quando, e che cosa è stato fatto. Le regole copiate, con i riferimenti normativi nella descrizione, documentano quali controlli sono coperti dal monitoraggio; gli altri controlli della norma vanno dimostrati con i loro strumenti.
I temi si sovrappongono: una regola copiata con il tema ISO 27001 viene saltata quando si copia anche NIS2, se ne fa parte. Copiare più temi di conformità non crea doppioni.