Log Manager — manuale completo

Tutti i 24 capitoli del manuale in una pagina sola.

Stampa o salva in PDF

Come ottenere un PDF

Premi il pulsante qui sopra e, nella finestra di stampa, scegli "Salva come PDF" al posto della stampante. Menu, barra laterale e piè di pagina non vengono stampati.

Avvio rapido

1. Primo accesso all'appliance

Collegare l'apparato

Collega la scheda di rete dell'appliance, marcata LAN, a una porta libera dello switch, e alimenta l'apparato. Se lavori su un'appliance virtuale, verifica che la scheda di rete della macchina virtuale sia collegata alla rete corretta prima di avviarla.

Attendi il completamento dell'avvio prima di cercare l'appliance in rete: al primo avvio il sistema prepara i propri servizi e può impiegare qualche minuto.

Aprire l'interfaccia web

L'interfaccia di gestione risponde in HTTPS sulla porta 8443. Da un computer sulla stessa rete apri il browser all'indirizzo dell'appliance indicando la porta:

https://<indirizzo-appliance>:8443

Se in fase di installazione non è stato indicato un indirizzo diverso, l'appliance risponde all'indirizzo predefinito:

https://192.168.4.1:8443

Se non riesci a raggiungere l'indirizzo predefinito

Il computer da cui ti colleghi deve trovarsi sulla stessa rete: assegnagli temporaneamente un indirizzo della rete 192.168.4.0/24, per esempio 192.168.4.50. Al termine della configurazione di rete potrai ripristinare le impostazioni originali del computer.

Il certificato presentato è generato dall'appliance stessa, quindi il browser mostra un avviso di sicurezza: è normale su un apparato interno non ancora dotato di un certificato riconosciuto.

Autenticarsi

Dove trovare le credenziali dipende da come è stata fornita l'appliance.

Appliance con hardware. Nome utente e password sono riportati su un'etichetta fornita insieme all'apparato. Conservala: sono le credenziali del primo accesso.

Installazione da software. L'utente è quello definito durante l'installazione, con la password scelta in quel momento.

Se le credenziali sono andate perdute

Non c'è modo di recuperarle dall'interfaccia web. Contatta l'assistenza GIGASYS indicando il numero di serie dell'apparato, che trovi in fondo a ogni pagina dell'interfaccia.

La pagina iniziale

Dopo l'accesso compare la pagina Home, con il riepilogo dei log ricevuti e lo stato delle aziende censite. Da qui si raggiungono tutte le sezioni tramite il menu a sinistra.

Sostituire il certificato

L'avviso di sicurezza del browser sparisce sostituendo il certificato autofirmato con uno emesso dalla vostra Certification Authority. È un'operazione da fare a configurazione conclusa, non al primo accesso.

2. Volume di home

Su un'appliance installata ex novo il volume di home va creato prima di mettere il sistema in produzione. È lo spazio su cui l'appliance scrive i log raccolti, gli archivi firmati e l'inventario: senza volume di home il sistema si avvia ma non ha dove conservare i dati.

Se il volume manca, ci pensa l'appliance

Finché il volume non è configurato l'interfaccia porta da sola alla procedura guidata al primo accesso: non devi cercarla nel menu. Se l'appliance ti è stata consegnata già configurata, il volume esiste già e puoi passare al capitolo successivo.

2.1 Aprire la gestione dei dischi

La pagina si raggiunge anche direttamente all'indirizzo https://<indirizzo-appliance>:8443/adm/harddisk.

La pagina è divisa in tre zone. In alto Crea Nuovo Volume, con a sinistra l'area di destinazione e a destra l'elenco delle Partizioni Gestibili, cioè i dischi e gli spazi liberi che l'appliance può utilizzare. In basso la Lista Hard Disk, con la composizione di ogni disco, e i Volumi Montati già presenti.

2.2 Creare il volume

Individua a destra, sotto Partizioni Gestibili, i dischi o le partizioni libere da utilizzare: ognuno riporta dimensione, tipo e nome del dispositivo, per esempio [FREE] 1.2G — scsi QEMU — /dev/sda_free.

Trascina nell'area di sinistra le partizioni che vuoi far confluire nel volume. Puoi trascinarne più di una: è il numero di partizioni trascinate a determinare quali livelli RAID saranno disponibili.

Appena la prima partizione entra nell'area compaiono le opzioni del volume.

Directory

Il punto in cui il volume verrà montato nel filesystem dell'appliance.

Livello RAID

Vengono elencati solo i livelli compatibili con le partizioni trascinate, ciascuno con lo spazio che ne risulterebbe indicato fra parentesi. Con una sola partizione l'unica voce è Nessun Raid; i criteri di scelta sono nel paragrafo 2.3.

Crittografia

L'impostazione predefinita è Non Crittografato. Scegliendo Crittografato si indica una Password di Crittografia e il contenuto del volume viene cifrato sul disco: chi sottrae fisicamente i dischi non può leggerli.

La password di crittografia non è recuperabile

Senza quella password il volume non è più apribile, e con esso spariscono i log e gli archivi che contiene. Conservala in un gestore di password aziendale prima di procedere, non solo nella memoria di chi installa.

Filesystem

Filesystem	Quando sceglierlo
BtrFS	Sottovolumi, clonazione, snapshot, compressione e deduplica. Ottimale per fileserver
EXT 4	Standard, molto veloce, per utilizzo generico
ZFS	Stesse funzioni evolute di BtrFS, ottimale per la virtualizzazione

ZFS solo su dischi a stato solido

L'appliance stessa segnala che l'uso di ZFS è consigliato solo su dischi SSD. Su dischi meccanici preferisci BtrFS o EXT 4.

Completate le scelte, premi Crea Nuovo Volume.

L'operazione cancella i dati presenti

Le partizioni che confluiscono nel nuovo volume vengono riscritte: quanto contengono va perso. Verifica di aver selezionato i dischi giusti prima di confermare, soprattutto su un'appliance che ha già volumi in uso.

Il primo volume creato, se non ne esistono altri, diventa automaticamente il volume di home. Non serve indicarlo da nessuna parte: è la conseguenza del fatto che sia il primo.

2.3 Scegliere il livello RAID

Il sistema propone i livelli compatibili con il numero di partizioni trascinate. La scelta accompagna il volume per tutta la sua vita, quindi conviene ragionarci prima.

Livello	Dischi necessari	Tolleranza ai guasti	Spazio utilizzabile
Nessun RAID	1	Nessuna: un guasto perde tutti i dati	Tutto
RAID 1	2	Un disco	Metà
RAID 5	3 o più	Un disco	Totale meno un disco
RAID 6	4 o più	Due dischi contemporaneamente	Totale meno due dischi

Nessun RAID è la sola opzione con un disco solo, ed è la configurazione tipica delle appliance virtuali, dove la ridondanza è già garantita dallo storage del virtualizzatore.

RAID 1 duplica gli stessi dati su due dischi. Semplice e robusto, costa metà dello spazio.

RAID 5 distribuisce dati e parità su tre o più dischi: buon compromesso fra capacità e sicurezza. Durante la ricostruzione dopo un guasto il volume è però esposto, e un secondo guasto in quella finestra perde tutto.

RAID 6 regge la rottura di due dischi contemporaneamente ed è la scelta prudente sui volumi grandi, dove la ricostruzione dura a lungo.

Il RAID non è un backup

Il RAID protegge dal guasto di un disco, non dalla cancellazione accidentale, da un errore di configurazione o dalla perdita dell'apparato. Per i dati che devono essere conservati nel tempo, affianca l'archiviazione programmata e il backup remoto.

2.4 Verificare il risultato

A creazione conclusa il volume compare fra i Volumi Montati e nella Lista Hard Disk, dove il grafico mostra come è ripartito lo spazio di ogni disco.

Il pulsante Gestione Volumi apre le operazioni sui volumi esistenti; Disconnetti smonta un volume.

Non disconnettere il volume di home

Smontare il volume su cui l'appliance sta scrivendo interrompe la raccolta dei log. Usa Disconnetti solo su volumi accessori e solo sapendo cosa contengono.

2.5 Dimensionare il volume

Lo spazio necessario dipende da quanti log arrivano e per quanto a lungo vanno conservati. Un'indicazione realistica la dà la stessa appliance una volta avviata: nella pagina Home compaiono i log ricevuti nella giornata e la media al secondo, da cui si stima la crescita.

Se prevedi di raccogliere anche gli Endpoint Client, considera che ciascuno contribuisce con il proprio flusso di eventi e che l'inventario hardware e software occupa spazio a sua volta.

3. Configurazione di rete

Su un raccoglitore di log l'indirizzo va deciso prima di collegare qualsiasi dispositivo: i client che inviano i log puntano a quell'indirizzo, e se cambia smettono di scrivere senza segnalare nulla.

L'appliance va raggiunta a un indirizzo stabile, deciso da te e non assegnato dal DHCP: i sistemi che la utilizzano puntano a quell'indirizzo, e se cambia smettono di funzionare.

Aprire la gestione delle interfacce

Dal menu laterale scegli Rete → Interfaccia di Rete. La pagina elenca le schede presenti sull'appliance con l'indirizzo assegnato e l'indirizzo MAC.

I due pulsanti in alto aprono due sezioni collegate:

• Hosts: la tabella dei nomi host risolti localmente, utile quando i dispositivi con cui l'appliance dialoga non sono censiti nel DNS aziendale.
• Rotte e Failover: le rotte statiche e l'eventuale seconda via di uscita.

Assegnare l'indirizzo

Fai clic sul nome dell'interfaccia, per esempio eth0, per aprirne i parametri. Compila indirizzo IP, maschera di rete e gateway predefinito concordati con l'amministratore di rete, poi salva.

Dopo il salvataggio l'indirizzo cambia

Se stai lavorando sull'interfaccia web attraverso il vecchio indirizzo, la pagina smette di rispondere non appena confermi. Riapri il browser sul nuovo indirizzo, sulla porta 8443: per esempio https://192.168.1.10:8443.

DNS e nome host

Sempre da Rete → Interfaccia di Rete, il pulsante Hosts apre la gestione del nome host dell'appliance e delle risoluzioni locali. Imposta un nome host significativo: comparirà nelle notifiche inviate dall'apparato.

Indica poi i server DNS che l'appliance deve interrogare. Servono per risolvere i nomi dei sistemi con cui dialoga e per raggiungere lo smart host della posta.

Se l'appliance non è più raggiungibile

Sbagliando l'indirizzo si perde l'accesso all'interfaccia web. La correzione si fa dalla console locale: vedi Accedere tramite console seriale.

Conseguenze sulle funzioni del Log Manager

Il nome host compare nelle notifiche e dentro gli archivi firmati: ritrovare un archivio mesi dopo è molto più facile se l'apparato non si chiama come tutti gli altri.

Conseguenze di un DNS non configurato

Con i DNS non configurati l'appliance funziona lo stesso, ma nei log e nell'inventario i dispositivi compaiono come indirizzi IP invece che con il loro nome, e le notifiche via posta possono non partire.

4. Data e ora

Su un raccoglitore di log l'orologio ha conseguenze dirette: ogni evento viene registrato con il proprio istante, e le firme digitali degli archivi certificano quando i dati sono stati sigillati. Un orologio sbagliato rende le ricerche per intervallo inaffidabili e indebolisce il valore probatorio degli archivi.

Aprire la configurazione dell'orologio

Fai clic sull'orario mostrato in alto a sinistra nell'interfaccia, oppure vai direttamente a /adm/common/clock_setup/.

La pagina è divisa in due riquadri indipendenti, ciascuno con il proprio pulsante Salva.

Impostare il time server

Il riquadro inferiore è quello che conviene usare. Indica un Time Server raggiungibile dall'appliance e seleziona il Time Zone corretto: per l'Italia Europe/Rome, che gestisce da solo il passaggio a ora legale e solare.

Puoi usare un server NTP pubblico oppure, se la rete non ha accesso a Internet, un server interno. Premi Salva in fondo al riquadro.

Impostazione manuale

Il riquadro superiore permette di scrivere data e ora a mano. Serve solo quando nessun time server è raggiungibile: senza sincronizzazione automatica l'orologio deriva nel tempo e va corretto periodicamente.

Non cambiare l'ora a raccolta avviata

Spostare l'orologio all'indietro mentre l'appliance sta ricevendo log crea eventi con date incoerenti, che nelle ricerche per intervallo compaiono fuori posto. Se devi correggere l'ora di molto, fallo prima di collegare i dispositivi.

5. Notifiche via posta elettronica

L'appliance usa la posta per avvisare quando un dispositivo smette di inviare log, per recapitare i report pianificati e per segnalare le anomalie. Finché questa sezione non è configurata quei messaggi non partono, e l'appliance resta silenziosa anche quando avrebbe qualcosa da dire.

Dal menu laterale scegli Rete → Smart Host.

L'appliance non è un server di posta: si appoggia a un server esistente, detto smart host, a cui consegna i messaggi.

Compilare i campi

Campo	Cosa indicare
Smarthost	Nome o indirizzo del server di posta che inoltra i messaggi
Porta	La porta SMTP del server: tipicamente 25 in rete locale, 587 con autenticazione
Autenticazione	Senza Autenticazione se il server accetta l'appliance in base all'indirizzo IP, altrimenti il metodo richiesto con le relative credenziali
(Postmaster) destinatario / mittente di default	La casella che compare come mittente dei messaggi e che riceve gli avvisi di sistema
Email Assistenza	La casella dell'assistenza tecnica, a cui l'appliance invia le segnalazioni e, ogni mese, la propria configurazione

Premi Salva per applicare.

A cosa serve l'invio mensile della configurazione

All'indirizzo indicato in Email Assistenza l'appliance recapita con cadenza mensile una copia della propria configurazione. Serve a chi presta assistenza: in caso di guasto o di sostituzione dell'apparato, permette di ricostruire l'impostazione senza doverla ricavare dalla memoria di chi l'aveva fatta.

Indica quindi una casella presidiata e conservata nel tempo, non quella personale di chi installa.

Verificare l'invio

La scheda SMTP Test, accanto a Impostazioni, invia un messaggio di prova usando i parametri appena salvati. È il modo più rapido per scoprire subito un errore di porta o un blocco del server, invece di accorgersene settimane dopo quando un avviso non arriva.

Se il messaggio di prova non arriva

Nell'ordine: verifica che il server di posta accetti connessioni dall'indirizzo dell'appliance, che la porta indicata sia aperta sul percorso di rete, e che il messaggio non sia finito nella posta indesiderata del destinatario. Un mittente su un dominio diverso da quello del server viene spesso rifiutato dai controlli antispam.

6. Verifica del funzionamento

Prima di collegare i dispositivi conviene accertarsi che le basi siano a posto. Sono quattro controlli, tutti dalla pagina Home.

6.1 L'appliance riceve log

In alto nella Home compare il conteggio dei log ricevuti nella giornata, con la media al secondo:

Log ricevuti oggi 165.192, media (4/sec)

Su un'appliance appena installata il conteggio è a zero: è corretto, finché non avrai configurato l'invio da almeno un dispositivo. Il valore diventa la spia più utile del sistema — se un giorno scende bruscamente, qualcosa ha smesso di inviare.

6.2 La diagnosi non segnala errori

Il pulsante Diagnosi Appliance, sempre nella Home, esegue un controllo dello stato del sistema. Eseguilo ora, a configurazione appena terminata: è il momento in cui un errore è più facile da attribuire a quello che hai appena impostato.

6.3 L'orologio è corretto

L'orario in alto a sinistra deve corrispondere all'ora locale. Se è sbagliato, torna al capitolo Data e ora: correggerlo dopo, con i log già in archivio, è molto più scomodo.

6.4 Le notifiche partono

Se non l'hai già fatto al capitolo precedente, esegui l'SMTP Test dalla pagina dello smart host e controlla che il messaggio arrivi nella casella indicata.

Passo successivo

L'appliance è pronta a ricevere. Il passo successivo è configurare le sorgenti: gli apparati di rete che inviano via syslog e i computer su cui installare l'Endpoint Client.

Utenti e aziende

1. Livelli di accesso

Ogni utente dell'interfaccia web ha un tipo di accesso, che ne determina sia i permessi sia il perimetro: su quali aziende può operare. I livelli disponibili sono cinque, in ordine crescente di ampiezza.

Livello	Perimetro	A cosa serve
Utente di sola lettura della azienda	Una sola azienda	Consultare log e report senza poter modificare nulla
Utenti/Gruppi di lettura/scrittura della azienda	Una sola azienda	Operare sulla configurazione della propria azienda
Amministratore della azienda	Una sola azienda	Autonomia completa, ma limitata alla propria azienda
Rivenditore	Le aziende che gli sono assegnate	Gestire il parco clienti di cui è responsabile
Amministratore del sistema	Tutta l'appliance	Configurare l'apparato e tutte le aziende

L'interfaccia mostra una descrizione del livello selezionato subito sotto il menu a tendina. Per l'amministratore dell'azienda, per esempio, recita: "L'amministratore dell'azienda può operare in totale autonomia solo sulla propria azienda".

1.1 Come scegliere il livello

I primi tre livelli riguardano una singola azienda e si distinguono per quanto l'utente può modificare: sola lettura per chi deve solo consultare, lettura/scrittura per chi opera sulla configurazione, amministratore dell'azienda per il referente che deve poter fare tutto nel proprio perimetro.

Il rivenditore è il livello pensato per chi rivende il servizio: vede e gestisce le aziende che gli sono state assegnate, senza toccare le altre né la configurazione dell'apparato. L'associazione fra azienda e rivenditore si imposta nella scheda dell'azienda, non in quella dell'utente.

L'amministratore del sistema è l'unico livello che governa l'apparato: rete, aggiornamenti, volumi, archiviazione. Assegnalo con parsimonia.

Il livello determina anche cosa si vede

Cambiando il tipo di accesso di un utente non si modificano solo i permessi di modifica: cambia anche quali dati gli sono visibili. Un utente declassato a una singola azienda smette di vedere i log delle altre.

2. Gestione degli utenti

Dal menu Utenti e Aziende → Gestione Utenti si governa chi può accedere all'interfaccia web.

2.1 Leggere l'elenco

In testa alla pagina compaiono tre conteggi che riguardano l'intera appliance:

• Licenziato per N devices: le postazioni che la licenza dell'apparato consente di gestire.
• Licenze concesse ai clienti: la somma dei massimali assegnati alle singole aziende.
• Licenze realmente utilizzate: quante ne risultano effettivamente in uso.

Il secondo valore può superare il primo: è la conseguenza dell'assegnare alle aziende più licenze di quante l'apparato ne preveda, contando sul fatto che non tutte vengano usate. È una scelta consapevole, ma va tenuta d'occhio confrontando il terzo valore con il primo.

La tabella riporta per ogni utente indirizzo email di accesso, nome, cognome, azienda di appartenenza e tipo di accesso. I pulsanti a destra di ogni riga permettono di modificare l'utente, eliminarlo, impersonarlo e inviargli un messaggio.

2.2 Creare o modificare un utente

Il pulsante di modifica apre la scheda dell'utente; la creazione di un nuovo utente presenta gli stessi campi, vuoti.

Campo	Note
Indirizzo email	È anche il nome utente per l'accesso, e non è modificabile
Nome, Cognome	Dati anagrafici, usati nelle notifiche
Invia report giornaliero	Se attivo, l'utente riceve ogni giorno il riepilogo via posta
Azienda	L'azienda di appartenenza, che definisce i dati visibili
Tipo di accesso	Il livello descritto nel capitolo precedente

Il pulsante Reimposta password avvia la procedura di reimpostazione: la password non viene mostrata né impostata a mano da questa pagina.

Il report giornaliero richiede lo smart host

L'opzione Invia report giornaliero produce effetti solo se l'appliance sa inviare posta. Se non l'hai ancora fatto, configura prima lo smart host.

2.3 Che cosa contiene il report giornaliero

Agli utenti con l'opzione attiva l'appliance invia ogni mattina un messaggio di riepilogo sull'attività del giorno precedente. L'oggetto ha la forma [nome-appliance] LOG REPORT gg/mm/aaaa.

Il nome fra parentesi quadre nell'oggetto è quello dell'appliance che lo ha inviato: un motivo in più per assegnarle un nome host parlante.

Il contenuto è organizzato per azienda. Per ciascuna il report riporta:

Volumi e distribuzione. La ripartizione percentuale dei log fra gli host che ne hanno prodotti di più, con una voce Altri host a raccogliere la coda, lo spazio occupato e il totale dei log ricevuti con la media al secondo.

Dettaglio per asset. Per ogni apparato censito, i log ricevuti, la media al secondo e le applicazioni che hanno prodotto più eventi, ciascuna con il proprio conteggio.

Apparati silenti. Gli asset che non hanno inviato nulla compaiono in rosso con la dicitura Nessun dato ricevuto, e quelli fermi da tempo con la domanda Il dispositivo è stato dismesso?.

Eventi rilevati e Cyber Intelligence. Gli indicatori e gli allarmi scattati sulle regole di Cyber Intelligence, con il numero di occorrenze: per esempio i login amministrativi o i programmi eseguiti con privilegi elevati.

Aggiornamenti mancanti. Dove è attivo il monitoraggio delle patch, l'elenco degli aggiornamenti non installati con la relativa priorità, Importante o Consigliato.

Totale generale. In chiusura, il totale dei log di tutte le aziende con la media al secondo.

Apparati segnalati in rosso

Il report stesso lo spiega in fondo: un apparato in rosso non ha inviato log, e conviene verificare che l'agente sia attivo o riavviarne il servizio. Se invece l'apparato è stato dismesso, va rimosso dalla dashboard aprendo la scheda dell'apparato stesso.

Il report è il modo più rapido per accorgersi che qualcosa si è fermato: un server che smette di inviare non genera un allarme, genera un silenzio, e il silenzio si nota solo confrontando i numeri di oggi con quelli di ieri.

2.4 Autenticazione a due fattori

Su un'appliance multi-tenant l'autenticazione a due fattori non si attiva sul singolo utente ma sull'azienda: una volta abilitata vale per tutti gli utenti che vi appartengono. L'impostazione si trova nella scheda dell'azienda, descritta nel capitolo seguente.

Sulle appliance non multi-tenant funziona diversamente

Dove non ci sono aziende, il secondo fattore si abilita sul singolo utente al momento della creazione, insieme all'eventuale autenticazione tramite Active Directory. Vedi il capitolo Utenti su appliance non multi-tenant.

3. Gestione delle aziende

Sulle appliance multi-tenant ogni azienda è un compartimento a sé: i suoi log, i suoi dispositivi e i suoi utenti non si mescolano con quelli delle altre. La sezione Utenti e Aziende → Gestione delle Aziende governa questi compartimenti.

3.1 Leggere l'elenco

La tabella riporta per ogni azienda il nome, l'eventuale rivenditore di riferimento, il numero massimo di licenze concesse e quelle attualmente utilizzate.

Quando le licenze usate superano il massimale, il valore compare in rosso: è il modo più rapido per accorgersi di un'azienda che ha sforato.

3.2 Dettagli dell'azienda

Il pulsante di modifica apre la scheda completa.

Anagrafica

Nome azienda, stato, codice fiscale, indirizzo, C.A.P., città, email di fatturazione e numero di telefono. La Chiave univoca identifica l'azienda nel sistema e non è modificabile.

Licenze

Il campo Numero massimo di licenze stabilisce quante postazioni l'azienda può registrare. La casella Permetti di superare le licenze consente di andare oltre quel limite invece di bloccare le nuove registrazioni.

Superare le licenze: quando ha senso

Lasciare la casella disattivata protegge dal consumo involontario: al raggiungimento del massimale i nuovi dispositivi non vengono registrati e l'anomalia si nota subito. Attivarla evita invece che una registrazione legittima fallisca in un momento critico, al prezzo di scoprire lo sforamento più tardi.

Autenticazione a due fattori

La casella Abilita 2FA (Google Authenticator) attiva il secondo fattore per gli utenti dell'azienda: all'accesso, dopo la password, viene richiesto il codice temporaneo generato dall'app Authenticator.

L'attivazione riguarda tutti gli utenti dell'azienda

Il 2FA si imposta sull'azienda, non sul singolo utente: attivandolo, tutti gli utenti che vi appartengono dovranno registrare la propria app al successivo accesso. Avvisali prima, o si troveranno bloccati fuori senza sapere perché.

Rivenditore

Il menu Rivenditore associa l'azienda a un utente di livello Rivenditore, che potrà così gestirla. È qui, e non nella scheda dell'utente, che si costruisce il rapporto fra rivenditore e clienti.

Notifiche e profilo

La casella Notifica quando un nuovo dispositivo viene registrato avvisa all'ingresso di ogni nuova postazione, e l'Email di notifica indica a chi. È un controllo utile: una registrazione inattesa può segnalare tanto un errore di configurazione quanto un dispositivo che non dovrebbe essere lì.

Il Profilo predefinito stabilisce quale profilo viene assegnato ai dispositivi della nuova azienda quando non ne viene indicato uno specifico.

4. Utenti su appliance non multi-tenant

Non tutte le appliance Log Manager ospitano più aziende. Sulle versioni non multi-tenant esiste il solo livello di utente di sistema, e le voci Gestione Utenti e Gestione delle Aziende del menu non sono presenti: non c'è alcun compartimento da separare, perché l'apparato serve una sola realtà.

Di conseguenza non hanno significato, su queste appliance, i livelli di accesso per azienda, l'associazione a un rivenditore e i massimali di licenza per azienda descritti nei capitoli precedenti.

Restano gli utenti dell'interfaccia web, cioè chi amministra l'apparato. Si gestiscono in Setup → Gestione utenti web, ed è una sezione identica su tutte le appliance GIGASYS.

Prima configura lo smart host

L'appliance recapita per posta il codice QR del secondo fattore e le comunicazioni di servizio agli utenti. Se lo smart host non è configurato, quei messaggi non partono.

La pagina si chiama Gestione utenti appliance e riguarda soltanto chi amministra l'apparato dall'interfaccia web. È divisa in quattro schede: Utenti, Profili, Active Directory e Sicurezza.

Utenti

L'elenco riporta per ciascun utente il login, l'indirizzo di posta, lo stato, il profilo assegnato, se ha il secondo fattore attivo e se è un'utenza locale o di dominio. Modifica apre la scheda del singolo utente, Aggiungi nuovo utente ne crea uno.

Campo	Note
Login	Il nome con cui l'utente si autentica. Obbligatorio
Indirizzo email	Usato per le comunicazioni di servizio. Obbligatorio
Password, Ripeti password	Vanno digitate due volte. Obbligatorie
Profilo	Il livello di permessi da assegnare

Requisiti della password

L'appliance impone almeno 12 caratteri, con almeno una lettera minuscola, una maiuscola, una cifra e un carattere speciale fra .!@#$%^&*. Una password che non li rispetta viene rifiutata al salvataggio.

Autenticazione a due fattori

La casella Abilita 2FA (Google Authenticator) attiva il secondo fattore per il singolo utente. All'attivazione l'appliance invia per posta elettronica il codice QR da inquadrare con l'app Authenticator.

Serve lo smart host configurato

Il codice QR arriva via email: se l'appliance non sa inviare posta, l'utente non riceve nulla e non può completare la registrazione del secondo fattore.

Utenti di Active Directory

Spuntando Utente Active Directory la password non viene più gestita dall'appliance: la verifica avviene interrogando il dominio configurato nella scheda omonima. È la scelta da preferire dove un dominio esiste già, perché evita di duplicare le credenziali e fa valere sull'appliance le politiche di password del dominio.

Profili

I profili disponibili sono quattro: 1) Base, 2) Intermedio, 3) Elevato e 9) Amministratore. L'ultimo ha accesso a tutto e non è configurabile.

Per gli altri tre la scheda funziona per esclusione: si sceglie il profilo dal menu a tendina e si spuntano i moduli che devono essergli negati. Le caselle sono raggruppate come le voci del menu laterale, quindi il profilo si costruisce guardando l'interfaccia che l'utente vedrà.

Un profilo per il presidio quotidiano

Chi controlla ogni giorno che i backup siano andati a buon fine non ha bisogno di poter riconfigurare i volumi. Un profilo Base con negati i moduli di configurazione, e lasciati quelli di consultazione, permette di distribuire il presidio senza distribuire anche il rischio.

Active Directory

La scheda configura il collegamento al dominio usato dagli utenti contrassegnati come Utente Active Directory.

Campo	Note
Protocollo	ldap:// oppure ldaps://, la variante cifrata
Host	Indirizzo del controller di dominio
Porta	389 per LDAP, 636 per LDAPS
Utente e dominio dell'account di binding	L'utenza con cui l'appliance interroga il dominio
Password	La password dell'account di binding

Il pulsante Testa connessione verifica subito i parametri; l'etichetta accanto a Server AD indica se il collegamento risulta configurato.

Preferisci ldaps://

Con ldap:// le credenziali degli utenti transitano in chiaro sulla rete a ogni accesso all'interfaccia. Dove il controller di dominio espone LDAPS, non c'è ragione di usare l'altro.

Sicurezza

La scheda contiene due protezioni dell'accesso all'apparato.

Protezione brute force blocca temporaneamente gli indirizzi IP che superano una soglia di tentativi falliti. Si impostano il numero massimo di tentativi, la finestra temporale entro cui vengono conteggiati e la durata del blocco, tutti in minuti.

Console SSH attiva o disattiva l'accesso al terminale di sistema. Va tenuta spenta dove non serve: è la via d'accesso più potente all'apparato e la meno sorvegliata.

Prima cosa da fare su un'appliance nuova

Se l'apparato ti è stato consegnato con le credenziali stampate sull'etichetta, cambia la password al primo accesso: l'etichetta viaggia insieme all'apparato e chiunque l'abbia vista conosce le credenziali iniziali.

Raccolta dei dati

1. Installare gli Endpoint Client

La pagina Downloads → Software Clients raccoglie tutti gli agenti e i connettori disponibili.

1.1 Scegliere il client

Voce	A cosa serve
Windows Endpoint Client (single click preconfigurato 64Bit)	Agente per Windows a 64 bit, già configurato per questa appliance
Windows Endpoint Client 32 Bit (setup installer)	Versione a 32 bit, con installazione guidata
MacOS Endpoint Client	Agente per macOS
Linux Endpoint Client	Agente per Linux
Cloud Microsoft 365	Connettore via API per il tenant Microsoft 365
Cloud Google G-Suite	Connettore via API per l'ambiente Google Workspace

Le due voci cloud non sono agenti

Microsoft 365 e Google Workspace non prevedono alcun pacchetto da installare: sono connettori che interrogano le API del fornitore. Si configurano in modo diverso dagli agenti, ed è l'argomento del capitolo Connettori cloud.

1.2 L'agente Windows preconfigurato

È la via più rapida: il pacchetto scaricato contiene già l'indirizzo dell'appliance e l'azienda di destinazione, quindi non c'è nulla da configurare sulla postazione.

Prima di scaricare, seleziona nel menu Location/Tenant l'azienda a cui il dispositivo dovrà appartenere. Il riquadro Parametri configurati mostra l'indirizzo del server e l'azienda che verranno scritti nel pacchetto.

Il tenant si sceglie prima di scaricare

L'azienda è inclusa nel pacchetto: scaricando l'agente con il tenant sbagliato, le postazioni installate finiscono nell'azienda sbagliata. Su un'appliance multi-tenant conviene scaricare un pacchetto per ogni azienda e tenerli distinti.

Requisiti e installazione

L'agente richiede TLS 1.2 e .NET Framework 4. L'installazione avviene con un singolo clic, ma il file va eseguito come amministratore: senza privilegi elevati il servizio non viene registrato.

Che cosa fa l'agente

• Registra gli eventi sia quando la postazione è collegata all'appliance sia quando è isolata, accodandoli e inviandoli al ripristino della connessione (OnLine e OffLine logging).
• Raccoglie l'inventario hardware e software.
• Si aggiorna da solo, senza interventi sulla postazione.
• Comunica con l'appliance su TCP/SSL, quindi il traffico è cifrato.

Effetto del logging offline sui conteggi

Un portatile che lavora fuori sede continua a registrare: gli eventi non vanno persi, arrivano in ritardo. È la ragione per cui i conteggi del report giornaliero possono variare quando i dispositivi mobili si ricollegano.

2. Autorizzare e gestire i dispositivi

La pagina Gestione → Endpoint Clients elenca le postazioni che hanno contattato l'appliance e permette di autorizzarle, assegnarne il profilo e rimuoverle.

In testa compaiono i due numeri che contano: per quanti dispositivi l'apparato è licenziato e quanti ne risultano in uso.

2.1 Autorizzazione automatica o manuale

L'interruttore Autorizza automaticamente i nuovi clients decide che cosa succede quando un agente si presenta per la prima volta.

Con Sì il dispositivo entra subito in raccolta. È comodo durante un'installazione massiva, quando si devono attivare decine di postazioni in poche ore.

Con No il dispositivo resta in attesa finché un amministratore non lo autorizza. È la scelta prudente a regime: nessuna postazione inizia a inviare dati, e a consumare licenze, senza che qualcuno se ne accorga.

Quando conviene l'una o l'altra impostazione

Tieni l'autorizzazione automatica attiva durante il roll-out e disattivala quando hai finito. Così l'installazione è veloce e, dopo, ogni nuova comparsa richiede una decisione consapevole.

Ricordati di premere Salva dopo aver cambiato l'interruttore.

2.2 Ingest asincrono dei log

Il menu Ingest asincrono dei log (worker CLI) decide chi si occupa di acquisire i log in arrivo.

Con No, l'impostazione predefinita, se ne occupa direttamente il frontend, cioè lo stesso processo che serve l'interfaccia web.

Con Sì vengono istanziati dei worker dedicati, che sollevano l'interfaccia web dal carico dell'acquisizione. L'interfaccia resta più reattiva anche quando arrivano molti log.

Conviene solo se l'hardware regge

I worker sono processi in più: su un apparato non adeguatamente dimensionato per il carico che deve sostenere, attivarli può introdurre un ritardo nell'acquisizione dei log invece di migliorare le cose. La scelta dipende dal volume effettivo e dalle risorse disponibili.

L'attivazione è consigliata nelle configurazioni multi-tier, cioè negli scenari a cluster dove più nodi si dividono raccolta e concentrazione: lì la separazione fra acquisizione e interfaccia è quella che rende il sistema prevedibile sotto carico.

2.3 La lista dei dispositivi

La scheda Lista Dispositivi riporta per ogni postazione:

Colonna	Contenuto
Stato	Un'icona che indica il tipo di dispositivo e la sua condizione
Dispositivo	Il nome o l'indirizzo con cui l'agente si presenta
Locazione	L'azienda o la sede a cui il dispositivo appartiene
Profilo	Il profilo di raccolta assegnato, modificabile dal menu
Data di installazione	Quando l'agente si è registrato la prima volta
Operazioni	I pulsanti per intervenire sul singolo dispositivo

Ogni colonna ha il proprio campo di ricerca, utile su parchi macchine estesi dove scorrere l'elenco non è praticabile.

2.4 Assegnare il profilo

Il menu nella colonna Profilo cambia il profilo di raccolta del singolo dispositivo. Accanto c'è una casella di selezione, che permette di agire su più dispositivi insieme.

Il profilo determina che cosa viene raccolto da quella postazione: è l'argomento del capitolo seguente.

Le licenze si consumano per dispositivo autorizzato

Ogni dispositivo in elenco occupa una licenza, anche se ha smesso di inviare dati. Le postazioni dismesse vanno rimosse, non solo spente: è la stessa indicazione che il report giornaliero dà per gli apparati segnalati in rosso.

3. Profili di raccolta

Il profilo stabilisce che cosa un Endpoint Client deve registrare. Invece di configurare ogni postazione, si definiscono dei profili e si assegnano ai dispositivi: un profilo leggero per i portatili, uno completo per i server di file, uno con l'audit di dominio per i controller.

Si possono creare quanti profili si vuole, senza limite di numero, e assegnare a ciascun asset quello di competenza. Non c'è quindi ragione di accontentarsi di un profilo unico che vada bene per tutti: conviene modellarne uno per ogni categoria di macchina che si gestisce.

Per ogni azienda si può inoltre stabilire un profilo predefinito, che viene attribuito automaticamente ai dispositivi nuovi quando non ne viene indicato uno specifico. L'impostazione si trova nella scheda dell'azienda, alla voce Profilo predefinito: vedi Gestione delle aziende.

Profilo predefinito e nuove postazioni

Su un'appliance multi-tenant ogni cliente ha esigenze diverse. Assegnando a ciascuna azienda il proprio profilo predefinito, le postazioni che si registrano entrano già con la configurazione giusta, senza che qualcuno debba ricordarsi di cambiarla a mano una per una.

La scheda Profili della pagina Endpoint Clients raccoglie tutte le opzioni. Il menu in alto sceglie su quale profilo si sta lavorando.

3.1 Eventi di sistema

Accesso Utente registra gli eventi di Login e Logout. È la base di qualsiasi analisi: sapere chi era collegato e quando è il primo dato che serve in un'indagine. La casella Solo account amministrativi (login/logout) restringe la registrazione ai soli account con privilegi elevati: riduce di molto il volume, al prezzo di non sapere più chi altro fosse collegato.

Esecuzione dei programmi distingue fra programmi Eseguiti con privilegi amministrativi e Eseguiti come Utente. La prima categoria è quella da tenere sempre attiva: un programma lanciato come amministratore può modificare il sistema, disattivare protezioni e installare software.

Agent Updates con Disabilita aggiornamenti automatici impedisce all'agente di aggiornarsi da solo. Lasciala disattivata, salvo ambienti dove ogni aggiornamento passa da un collaudo formale.

Audit Active Directory abilita la registrazione degli eventi di dominio: ha senso sui controller di dominio, non sulle postazioni.

3.2 File, supporti rimovibili e prestazioni

Operazioni sui file locali e supporti rimovibili registra creazione, modifica, rinomina, cancellazione ed errori di accesso. La casella Monitora solo le cartelle utente restringe l'osservazione ai documenti delle persone, riducendo di molto il volume prodotto dai file di sistema.

Operazioni sui file condivisi (share) fa lo stesso sulle cartelle di rete, con un'unica casella per creazione, modifica ed eliminazione.

Dispositivi rimovibili USB registra l'inserimento e la rimozione delle chiavette. La terza casella, Prova a bloccare i dispositivi non autorizzati, non si limita a osservare: interviene.

Il blocco delle USB va provato prima

Attivare il blocco su un profilo assegnato a molte postazioni può impedire l'uso di dispositivi legittimi, dalle chiavette ai lettori di smart card. Provalo su un profilo dedicato e su poche macchine prima di estenderlo.

Performance Monitor raccoglie l'andamento delle risorse della postazione; la casella lo disabilita.

Windows Defender con Monitor WindowsDefender raccoglie gli eventi dell'antivirus di sistema: rilevamenti, azioni intraprese e stato della protezione.

Inventario dispositivo governa la raccolta di inventario hardware e Inventario Software, la Verifica le vulnerabilità, la catalogazione degli aggiornamenti software e la loro installazione. Sono le voci che alimentano la sezione Aggiornamenti mancanti del report giornaliero.

Come funziona la verifica delle vulnerabilità

Sui sistemi Windows l'appliance confronta il software rilevato sull'inventario dell'asset con i database NVD (National Vulnerability Database), segnalando le vulnerabilità note dei programmi installati. È quindi una verifica che si appoggia all'inventario software: senza Inventario Software attivo non ha su cosa lavorare.

Differenza fra catalogare e installare

Cataloga aggiornamenti software si limita a rilevare che cosa manca; Installa aggiornamenti software interviene sulla postazione. La prima è informativa e innocua, la seconda modifica i sistemi: attivala solo dove hai deciso che gli aggiornamenti li gestisce l'appliance.

Proxy per dispositivi syslog fa istanziare all'agente un server syslog sulle porte 514 UDP e 6514 TCP con TLS. Serve quando in una sede remota ci sono apparati che parlano solo syslog e non raggiungono direttamente l'appliance: la postazione con l'agente fa da tramite.

Il vantaggio non è però solo di raggiungibilità. Facendo passare i log dall'agente si guadagnano due cose che il syslog da solo non può dare.

Un trasporto sicuro. Dall'agente all'appliance i log viaggiano in TLS 1.2 o superiore, anche quando l'apparato di origine li ha consegnati in chiaro sulla 514 UDP. La tratta esposta si riduce così al solo segmento locale fra apparato e agente.

La persistenza dell'agente. Il proxy eredita il comportamento dell'Endpoint Client: se il collegamento con l'appliance cade, i log vengono accodati localmente e inviati al ripristino. Con il syslog puro questo non è possibile — un datagramma che non trova destinatario è semplicemente perso, e nessuno se ne accorge.

Utilità anche senza problemi di raggiungibilità

Il proxy non serve solo alle sedi remote. Anche in una rete dove gli apparati arriverebbero all'appliance da soli, farli passare dall'agente aggiunge cifratura e recupero degli eventi persi durante un'interruzione: due proprietà che il protocollo syslog, nato senza entrambe, non offre.

3.3 Event Viewer e allarmi

EventViewer ha due caselle. Non registrare altri eventi limita la raccolta a quanto già selezionato sopra, escludendo il resto del registro eventi di Windows. Event Viewer Esteso fa l'opposto, allargando la raccolta.

Escludi i seguenti eventi permette di indicare filtri per gli eventi da scartare. È lo strumento con cui si toglie di mezzo il rumore ricorrente, quello che riempie l'archivio senza dire nulla.

Allarme Dispositivo Offline associa al profilo una definizione oraria: è l'intervallo entro cui il silenzio di una postazione va considerato anomalo. Un computer d'ufficio spento la notte non è un problema, lo stesso computer muto alle dieci del mattino sì.

Quando un dispositivo resta in silenzio oltre la soglia prevista, e dentro gli intervalli configurati, l'appliance invia una notifica via posta elettronica. Ne manda una seconda quando il dispositivo torna a farsi vivo, così l'allarme si chiude da solo senza dover andare a controllare.

Il messaggio ha per oggetto [nome-appliance] Device OFFLINE: nome-dispositivo e riporta il dispositivo, il tenant di appartenenza, lo stato, il profilo di controllo che ha generato l'allarme, la soglia in minuti superata e il profilo di log assegnato.

La configurazione degli allarmi è responsabilità di chi gestisce

Soglie, intervalli orari e destinatari vanno decisi e mantenuti da chi amministra l'appliance. Un profilo con soglie troppo strette riempie la casella di falsi allarmi finché nessuno li legge più; uno con soglie troppo larghe lascia passare inosservato un agente fermo da giorni.

Effetto delle opzioni sul volume raccolto

Ogni opzione attivata aumenta i log prodotti da ciascuna postazione, quindi lo spazio occupato sul volume e la velocità con cui si riempie. Conviene partire da un profilo essenziale e aggiungere le voci necessarie una alla volta, verificando l'effetto sul conteggio giornaliero della pagina Home.

4. Connettori cloud

Microsoft 365 e Google Workspace compaiono nell'elenco dei Software Clients insieme agli agenti, ma non sono agenti: non c'è nulla da installare. Sono connettori che interrogano le API del fornitore cloud e portano i log dentro l'appliance.

La differenza è sostanziale. Un Endpoint Client vive sulla postazione e invia quello che osserva; un connettore cloud vive sull'appliance e va a chiedere i dati al servizio, autenticandosi con credenziali che gli concedi tu. Di conseguenza quello che serve non è un pacchetto da distribuire, ma un'autorizzazione da creare sul tenant.

4.1 Microsoft 365

Il connettore acquisisce i log di Microsoft 365 utilizzando le API di Azure.

Serve una licenza Microsoft adeguata

Il connettore richiede una licenza Microsoft Azure AD Premium P1, P2 o Azure AD B2C. Senza, le API che espongono i log di audit non sono disponibili e la configurazione non produce dati. È un requisito del fornitore cloud, non dell'appliance: verificalo prima di iniziare.

Per il setup servono le credenziali di amministratore del tenant Azure, che si usano una sola volta per registrare l'applicazione lato Microsoft.

Configurare un tenant

Campo	Contenuto
Descrizione	Un'etichetta con cui riconoscere il collegamento
Locazione	L'azienda dell'appliance a cui attribuire i log raccolti
ID applicazione (client)	L'identificativo dell'applicazione registrata su Azure
ID della directory (tenant)	L'identificativo del tenant Azure
APP SECRET	Il segreto generato per l'applicazione
Filtra	L'eventuale filtro sugli eventi da acquisire

I primi tre valori si ottengono registrando un'applicazione nel portale Azure. Il collegamento Guida alla configurazione, in fondo alla scheda, apre le istruzioni passo-passo lato Microsoft.

L'APP SECRET è una credenziale

Il segreto vale quanto una password: chi lo possiede può leggere i log di audit del tenant. L'appliance lo mostra mascherato dopo il salvataggio. Conservalo in un gestore di password e ricordati che i segreti di Azure hanno una scadenza: quando scade, la raccolta si ferma senza altri segnali che l'assenza di dati nuovi.

4.2 Google Workspace

Il connettore acquisisce i log di Google Workspace utilizzando le API. Per il setup servono le credenziali di un amministratore del tenant Google.

A differenza di Microsoft, non è richiesta alcuna licenza aggiuntiva.

Configurare un tenant

Campo	Contenuto
Descrizione	Un'etichetta con cui riconoscere il collegamento
Locazione	L'azienda dell'appliance a cui attribuire i log raccolti
JSON Config	Il contenuto del file di autenticazione JSON generato su Google

Il file JSON è quello dell'account di servizio creato nella console Google Cloud, con delega a livello di dominio sugli ambiti di audit necessari. Va incollato per intero nel campo.

Il file JSON contiene la chiave privata

Il contenuto incollato include la chiave privata dell'account di servizio. Trattalo come una credenziale: non lasciarlo in file condivisi né in allegati di posta, e revoca la chiave sulla console Google se sospetti che sia stata esposta.

4.3 Verificare che i log arrivino

Entrambe le liste dei tenant mostrano una colonna Stato con l'esito del collegamento. Un'icona di errore segnala che l'appliance non riesce a interrogare le API: le cause più frequenti sono un segreto scaduto, permessi non concessi sul tenant o, per Microsoft, la licenza mancante.

Dopo la configurazione, conferma dal conteggio dei log nella pagina Home che i dati stiano effettivamente arrivando: un connettore configurato ma senza permessi sufficienti non produce errori vistosi, produce silenzio.

Consultazione e analisi

1. La scheda di un asset

Ogni dispositivo censito ha una propria scheda, che raccoglie in una pagina sola lo stato di salute, l'inventario e l'accesso ai suoi log. Ci si arriva da Query → Consulta Inventario, oppure facendo clic sul nome del dispositivo ovunque compaia.

Quello che vedi dipende dal profilo dell'asset

La scheda mostra soltanto ciò che il dispositivo ha effettivamente raccolto, e quello che raccoglie è deciso dal profilo di logging associato. Se in quel profilo l'inventario hardware è disattivato, il pannello dei componenti resta vuoto; senza Verifica le vulnerabilità non compaiono i CVE; senza Performance Monitor mancano i grafici di CPU e memoria.

Prima di concludere che un dato manchi, verifica il profilo assegnato: lo trovi nel riquadro Profilo di logging in questa stessa pagina, e le sue opzioni sono descritte in Profili di raccolta.

1.1 L'intestazione: il livello di rischio

Sotto il nome del dispositivo e l'azienda di appartenenza, una fascia colorata riassume la condizione della macchina con il livello di rischio, e accanto i numeri che lo determinano:

• CVE critici: le vulnerabilità gravi rilevate sul software installato.
• Patch mancanti: gli aggiornamenti non installati.
• Errori (7g): gli errori registrati nell'ultima settimana.

Sulla stessa riga compaiono il sistema operativo con la sua build, lo stato dell'agente — Online o Offline — e l'ora dell'ultimo check-in.

Stato dell'agente e attendibilità dei dati

Prima l'agente: se è offline e l'ultimo check-in è vecchio, tutti i numeri sotto sono fermi a quella data e descrivono il passato, non il presente. Un livello di rischio basso su una macchina che non si fa viva da settimane non è una buona notizia.

1.2 I riquadri di stato

Sotto l'intestazione, una serie di riquadri riporta le informazioni essenziali.

Riquadro	Contenuto
Profilo di logging	Il profilo di raccolta assegnato al dispositivo
CPU	Processore e numero di core
Utilizzo CPU	L'ultimo campione rilevato
Utilizzo RAM	L'ultimo campione rilevato
Software installato	Quanti programmi risultano inventariati
Patch	Gli aggiornamenti mancanti, se l'informazione è disponibile
Critical Vulns	Le vulnerabilità critiche sul totale rilevato
Antivirus	Il prodotto attivo, con lo stato di attivazione e aggiornamento

Il riquadro Critical Vulns riporta due numeri: le critiche e il totale. È il dato che discende dalla Verifica le vulnerabilità del profilo, cioè dal confronto fra il software inventariato e i database NVD.

1.3 I log del dispositivo

Il pannello Log mostra un istogramma con la ripartizione degli eventi registrati: errori, avvisi, informativi e totale.

I conteggi sono cliccabili. Facendo clic su una delle colonne si apre la ricerca già filtrata su quel dispositivo e su quel livello di gravità: è il modo più rapido per passare dal "questa macchina ha 280 errori" al "vediamo quali".

1.4 Andamento delle risorse e hardware

I grafici Utilizzo CPU e Utilizzo RAM mostrano l'andamento nel tempo, non solo l'ultimo valore: servono a distinguere un picco isolato da un problema che dura.

Il pannello Componenti hardware riporta produttore, modello, numero di serie, scheda madre, processore, memoria, scheda video e unità di sistema. Più in basso la sezione Dischi riporta le unità presenti e lo spazio occupato.

Uso pratico dell'inventario hardware

Non è un elenco da consultare per curiosità: è quello che permette di rispondere in fretta a domande come quali macchine hanno meno di 8 GB di RAM o su quali gira ancora quella scheda di rete, senza andare a controllarle una per una.

2. Ricerca nei log

La pagina Query → Ricerca Log interroga l'archivio con parametri liberi. È il punto in cui si passa da avere i dati a servirsene.

2.1 Scegliere il tipo di ricerca

Il menu Tipo di ricerca cambia la natura dell'interrogazione.

Tipo	Cosa cerca
Ricerca Libera	Tutti i log, filtrati con i parametri sottostanti
Login/Logout	Solo gli eventi di accesso e disconnessione
Operazioni su file in locale	Solo le operazioni sui file delle postazioni
Operazioni sulle condivisioni	Solo le operazioni sulle cartelle di rete

Le tre ricerche specializzate presentano i risultati già organizzati per quel tipo di evento: conviene usarle quando la domanda è di quel genere, invece di filtrare a mano una ricerca libera.

2.2 Filtri sorgente

Filtro	Note
Locazione	L'azienda in cui cercare
Host	Il dispositivo, o Tutti gli host
Stringa di ricerca	Il testo che il messaggio deve contenere
Livello Log	La gravità minima o esatta
Applicazione	Il programma che ha prodotto l'evento
Cyber Intelligence	Se considerare o ignorare gli indicatori

I livelli disponibili seguono la scala syslog, dal più grave al più prolisso: Critical, Alert, Error, Warning, Notice, Info, Debug, oltre a Tutti.

Filtrare per applicazione

Sui volumi reali la stringa di ricerca da sola restituisce troppo. Sapere quale applicazione produce l'evento che interessa — e quel nome si legge nella colonna Applicazione dei risultati e nel report giornaliero — restringe il campo molto più di qualsiasi parola chiave.

2.3 Intervallo temporale e opzioni

I campi Dal e Al delimitano il periodo. Righe per pagina stabilisce quanti risultati mostrare per volta, e Ordinamento se partire dai Log più recenti o dai Log più vecchi.

Restringere il periodo prima di allargare la ricerca

Su un archivio che contiene mesi di dati, una ricerca senza filtri su un intervallo ampio impegna l'appliance a lungo per restituire un risultato inutilizzabile. Parti da un intervallo stretto attorno al momento che ti interessa e allargalo solo se serve.

2.4 Template di ricerca

Ogni ricerca può essere salvata come template. Il pulsante Salva come template memorizza l'intera combinazione di filtri impostata e le assegna un nome; da quel momento la ricerca torna disponibile nel menu accanto e si richiama con un clic. Reset filtri riporta tutto ai valori iniziali.

Il vantaggio non è solo di risparmiare qualche clic. Un template permette di dare un nome comprensibile a una ricerca che altrimenti è solo una combinazione di parametri: accessi amministrativi fuori orario, modifiche alla cartella amministrazione, errori del gestionale. Chi la richiama mesi dopo, o un collega che non l'ha costruita, capisce a cosa serve senza dover interpretare i filtri.

È lo strumento adatto quando l'azienda ha necessità di rendicontazione ricorrenti: una serie di eventi da verificare a cadenza fissa — settimanale, mensile, a ogni chiusura — oppure ogni volta che si presenta una certa segnalazione. Si costruisce la ricerca una volta sola, con la cura che merita, e la si riesegue cambiando soltanto l'intervallo temporale.

Quando definire un template

Una ricerca costruita con calma, con i filtri giusti su applicazione e livello, è molto più precisa di una improvvisata mentre si sta rincorrendo un problema. Salvarla come template significa avere quella precisione disponibile anche nel momento in cui si va di fretta.

2.5 Leggere i risultati

I risultati sono una tabella con Livello, Host, Giorno, Ora, Applicazione e Messaggio. In alto è indicato quanti risultati sono mostrati sul totale trovato.

Ogni colonna ha un proprio campo di filtro sopra l'intestazione: si può quindi restringere ulteriormente senza rifare la ricerca da capo.

Il menu Opzioni di esportazione in alto a destra permette di portare fuori i risultati.

Accesso dalla scheda asset e dalla dashboard

Questa stessa vista si apre facendo clic sui conteggi nella scheda di un asset o sui riquadri della dashboard: in quel caso i filtri sono già impostati su dispositivo e livello, e il titolo della pagina lo ricorda.

3. Cyber Intelligence

La ricerca serve quando si sa cosa cercare. La Cyber Intelligence fa il contrario: sorveglia i log mentre arrivano e reagisce da sola quando compare un evento che hai indicato come rilevante.

La pagina si raggiunge da Gestione → Cyber Intelligence e si intitola Cyber threat intelligence.

Il dispositivo deve già inviare log

La funzione lavora su ciò che l'appliance riceve. Il dispositivo da sorvegliare deve essere già replicato, tramite configurazione syslog o con l'Endpoint Client installato.

3.1 Come è organizzata la funzione

La configurazione si articola su tre oggetti distinti, e conviene averlo chiaro prima di iniziare perché corrispondono a tre schermate diverse.

Oggetto	Cosa contiene
Criterio	Il contenitore: quando valutare, quali condizioni, con quale frequenza, quali azioni eseguire
Condizione	Un singolo test su un campo del log
Azione	La reazione da eseguire

Condizioni e azioni sono riutilizzabili: una volta create si possono richiamare in più criteri. Questo evita di riscrivere ogni volta lo stesso test, ma comporta che modificarne una si ripercuota su tutti i criteri che la usano.

3.2 Partire da un log reale

Il modo più affidabile di costruire un criterio è partire da un esempio vero dell'evento da intercettare. Provoca la condizione — per esempio un accesso fallito — e cerca il log corrispondente da Query → Ricerca Log, filtrando sul dispositivo. Il log ti dice quali valori assumono i campi in quella circostanza: livello, programma, testo del messaggio, ID evento.

3.3 L'elenco dei criteri

La scheda Elenco dei criteri di gruppo riporta etichetta, azienda e azioni collegate, con lo stato Attivato o Disattivato.

Un criterio senza azioni non viene mai valutato

Nell'elenco compare in rosso la dicitura Azione da definire. Finché non gli assegni almeno un'azione, l'appliance lo salta: le condizioni non vengono nemmeno verificate.

3.4 Creare un criterio

Campo	Note
Nome Criterio	Obbligatorio, massimo 64 caratteri
Se l'azienda è	Solo su appliance multi-tenant: una azienda, Qualsiasi, o Template Condiviso
Nel seguente orario	Fascia oraria di validità, da 00:00 a 23:59
Nei seguenti giorni	I giorni della settimana in cui il criterio è attivo
Quando si verificano tutte le seguenti condizioni	Le condizioni da soddisfare, valutate in AND
Frequenza	Quante volte, in quanti minuti
Esegui le seguenti azioni	Le azioni da eseguire
Descrizione	Testo libero, facoltativo

Il pulsante Duplica crea una copia di un criterio esistente, comodo per varianti dello stesso controllo.

La scheda Cruscotto

Il secondo tab della scheda permette di rappresentare il criterio come grafico in una dashboard: tipo di grafico (lineare, radar, torta, barre), giorni da mostrare (fino a 180), posizione, dimensione, colore e dashboard di destinazione. I grafici radar, torta e barre possono includere più criteri sulla stessa figura.

3.5 Le condizioni

Le condizioni sono oggetti riutilizzabili

Una condizione non appartiene a un criterio: è un oggetto a sé, con un proprio nome, che vive indipendentemente e può essere richiamato in quanti criteri si vuole. Creata una volta la condizione il programma è uguale a LsaSrv, la si riusa ovunque serva senza riscriverla.

Quando apri il campo Quando si verificano tutte le seguenti condizioni, l'appliance propone l'elenco di tutte le condizioni già esistenti, da cui scegliere; il collegamento Aggiungi nuova condizione in cima all'elenco serve a crearne una nuova quando quella che ti occorre non c'è ancora.

Le condizioni già associate al criterio compaiono come etichette sopra l'elenco, e si possono togliere singolarmente.

Modificare una condizione cambia tutti i criteri che la usano

Essendo condivisa, una modifica si ripercuote ovunque sia richiamata. Se ti serve una variante per un solo criterio, creane una nuova invece di ritoccare quella esistente. Prima di cancellarne una, l'appliance mostra l'elenco dei criteri che ne verrebbero impattati.

Un criterio contiene più condizioni, tutte in AND

Un criterio può e in genere deve contenere più di una condizione: è la combinazione a descrivere l'evento con precisione sufficiente. E il legame fra loro è sempre e solo la congiunzione: l'azione scatta quando tutte le condizioni sono vere contemporaneamente, sullo stesso log.

Il criterio della schermata qui sopra, per esempio, si intitola Login amministrativo nel WE, è limitato ai giorni di sabato e domenica, e combina quattro condizioni: tutte devono risultare vere perché le azioni partano.

Una sola condizione produce quasi sempre troppi falsi positivi: il messaggio contiene "failed" corrisponde a mezzo archivio. Aggiungendo il programma, il livello e l'ID evento si restringe il campo all'evento cercato.

Se ti serve una alternativa, non una congiunzione

Fra condizioni diverse non esiste l'OR. Per esprimere «questo oppure quello» si usa il pulsante + Oppure dentro la singola condizione, che aggiunge valori alternativi allo stesso campo. Se le alternative riguardano campi diversi, servono due criteri separati.

Come è fatta una condizione

Una condizione è composta da una descrizione — che è anche il nome con cui la si richiama negli altri criteri, quindi conviene sceglierlo parlante — dal campo da esaminare, dall'operatore e dal valore.

Campi disponibili

Campo	Cosa valuta
Il messaggio	Il testo del log
L'hostname	Il nome della macchina che ha generato il log
L'indirizzo IP	L'indirizzo del client
Il livello	La severità dell'evento
ID Evento	L'identificativo dell'evento, tipicamente su Windows
Il programma	L'applicazione o il servizio di origine
L'utilizzo della CPU	La percentuale di CPU dell'endpoint
L'utilizzo della RAM	La memoria usata, in GB
Il tempo di attività del disco	La percentuale di attività del disco
Lo spazio disco utilizzato	La percentuale di spazio occupato

I valori del campo Il livello sono: Alert, Debug, Errori, Informazioni, Avvisi, Avvertimenti, Errori Critici.

Operatori

Sono disponibili È maggiore di, Contiene, Non contiene, È uguale a, Non è uguale a, Tra le ore, Non tra le ore, Sono e Non sono.

Gli operatori dipendono dal campo scelto

L'interfaccia propone solo quelli sensati: su Il messaggio e L'indirizzo IP compaiono contiene, non contiene, è uguale e non è uguale; su Il programma, Il livello e ID Evento contiene e non contiene; sui campi hardware — CPU, RAM, disco — l'unico operatore è È maggiore di.

Più valori per la stessa condizione

Il pulsante + Oppure aggiunge valori alternativi: la condizione è soddisfatta se almeno uno corrisponde.

Solo per il campo Il messaggio, e solo con l'operatore Contiene, compare anche l'opzione E anche: in quel caso tutti i termini indicati devono comparire contemporaneamente nello stesso messaggio.

Come detto, fra condizioni diverse dello stesso criterio vale sempre l'AND.

Le condizioni sui campi hardware seguono un'altra strada

CPU, RAM, attività e spazio disco non si valutano sui log ma sui dati di prestazione inviati dall'Endpoint Client. Senza agente installato e senza Performance Monitor attivo nel profilo, quelle condizioni non hanno dati su cui lavorare.

3.6 Le azioni

Tipo	Cosa fa	Parametri principali
Email	Invia un messaggio di alert, con oggetto preceduto dal nome dell'appliance e corpo che riporta la regola scattata e i dati dell'evento	Mittente, destinatario, oggetto (max 30 caratteri), messaggio
Journal	Scrive l'evento nel registro, senza avvisare nessuno	Livello Default o Importante; con Importante l'evento è classificato come allarme. Nota predefinita facoltativa
Notifica Push	Notifica sull'app mobile GIGASYS	I dispositivi mobili registrati a cui inviarla
Webhook (API esterna)	Chiama un sistema esterno, per esempio un SOAR o una piattaforma di SOC management	URL, metodo, autenticazione (Bearer o API key), header aggiuntivi, timeout, tentativi, verifica TLS, firma HMAC, severità e categoria dell'evento
Conta	Nessuna notifica: l'evento viene solo conteggiato per le statistiche e i grafici del Cruscotto	—

L'invio di email richiede lo smart host configurato in Rete → Smart Host; le notifiche push richiedono dispositivi già registrati in Gestione Mobile.

Quando scegliere Journal o Conta

Email e push interrompono qualcuno. Journal registra soltanto, ed è la scelta per gli eventi che vuoi poter ricostruire a posteriori senza essere avvisato ogni volta. Conta non registra nemmeno: serve quando l'evento interessa solo come numero su un grafico.

3.7 La frequenza e la protezione dal rumore

La frequenza stabilisce quante ripetizioni servono, e in quanti minuti, perché le azioni partano.

• 1 volta in 1 minuto: l'azione scatta alla prima corrispondenza.
• 10 volte in 5 minuti: adatta agli accessi falliti, dove un errore isolato è normale e una raffica no.
• 200 volte in 1 minuto: adatta alle operazioni sui file, dove il segnale non è la singola cancellazione ma il volume improvviso.

Il conteggio avviene su una finestra scorrevole: l'appliance guarda quante volte il criterio si è verificato negli ultimi minuti indicati.

Dopo uno scatto le azioni non si ripetono subito

Per lo stesso criterio sullo stesso host, le azioni non vengono rieseguite prima che sia trascorso l'intervallo impostato come frequenza. Serve a evitare valanghe di messaggi su un evento che si ripete. La scrittura sul Journal fa eccezione quando la frequenza è di 1 volta al minuto: viene registrata comunque, per non perdere eventi nel registro.

3.8 Come vengono valutati i criteri

La valutazione avviene in tempo reale su ogni log in arrivo, non a intervalli. Per ciascun log l'appliance verifica nell'ordine: che l'ora corrente rientri nella fascia impostata, che il giorno sia fra quelli previsti, che il criterio abbia almeno un'azione, che tutte le condizioni siano soddisfatte e infine che sia stata raggiunta la soglia di frequenza.

Una modifica può richiedere fino a un minuto

I criteri attivi sono tenuti in memoria per sessanta secondi. Dopo aver salvato una modifica, può passare fino a un minuto prima che diventi operativa: se stai facendo delle prove, attendi prima di concludere che non funzioni.

Protezione contro il sovraccarico

Se un asset supera la soglia di log al secondo prevista, la Cyber Intelligence viene disabilitata automaticamente per quell'asset per 24 ore, con il messaggio "Log rate eccessivo, CyberIntelligence disabilitata per oggi" e l'icona dell'host in rosso. È una protezione dell'appliance: se la incontri, la causa da cercare è il motivo per cui quella macchina produce così tanti log.

3.9 Provare un criterio prima di attivarlo

Il pulsante Test permette di sottoporre uno o più log di prova alle regole attive e vedere quali scattano. Permette di validare un criterio senza attendere che l'evento si presenti, evitando di scoprire mesi dopo che una condizione non corrispondeva a nulla.

3.10 La libreria di regole

La scheda Libreria regole raccoglie criteri già pronti, che si copiano nel proprio ambiente e restano poi modificabili. Il prodotto ne fornisce una trentina, fra cui:

• accessi: Login Fallita, Login Riuscita, Logout, Password brute force attack (preimpostato a 60 volte in 5 minuti), Login utente Administrator nel week end, Windows Account Locked;
• sistema e sicurezza Windows: Clean Windows Event Log, Windows Audit policy changes, Windows Firewall policy change, Windows new service installed, Windows NTLM (protocollo debole), Windows local account change;
• infrastruttura e applicazioni: Spazio disco quasi terminato, Agent LMService fermato, Errori WindowsUpdate, Windows errori disco, Crash App .NET, Errore DropBox, Fortinet Login, Login Sonicwall Admin;
• dati e supporti: Drive USB bloccato, FileAudit file modificato, Accesso alle share, Operazione su documenti Office.

I criteri copiati arrivano senza azione

I template della libreria non hanno azioni preassegnate. Dopo la copia devi aggiungere tu l'azione, altrimenti il criterio resta inerte e compare come Azione da definire.

3.11 Report giornaliero degli eventi importanti

In fondo alla pagina si abilita un report giornaliero per gli eventi importanti del Journal, con l'indirizzo a cui recapitarlo. È il complemento delle azioni di tipo Journal: gli eventi registrati senza avviso arrivano comunque, raccolti una volta al giorno in un unico messaggio.

L'impostazione è riservata agli amministratori di sistema.

3.12 Permessi e oggetti condivisi

La creazione e la modifica di criteri, condizioni e azioni richiedono almeno il livello di amministratore dell'azienda; il report giornaliero è riservato all'amministratore di sistema.

Gestori azienda e rivenditori possono modificare solo gli oggetti creati dalla propria organizzazione: sugli altri l'interfaccia avvisa che l'oggetto non è modificabile e può essere soltanto rimosso.

Prima di cancellare una condizione o un'azione

Essendo riutilizzabili, possono essere in uso in più criteri. L'appliance lo verifica e mostra l'elenco dei criteri che ne sarebbero impattati: leggilo prima di confermare.

4. Journal

Il Journal è il registro degli eventi che l'appliance ha classificato come rilevanti. Ci finiscono le voci scritte dalle azioni di tipo Journal dei criteri di Cyber Intelligence.

Non è però un secondo archivio di log da consultare: è un registro delle giustificazioni.

4.1 A che cosa serve

Quando un evento viene scritto nel Journal, si apre una questione che resta aperta finché un operatore non la chiude spiegando perché quell'evento è accaduto. La nota non descrive il fatto — quello lo dice già il log — ma la ragione: chi ha fatto l'operazione, su richiesta di chi, per quale motivo.

Questo trasforma un elenco di eventi tecnici in un documento leggibile anche a distanza di mesi, e da chi non era presente. Il caso d'uso tipico è la verifica dell'operato degli amministratori di sistema: un accesso privilegiato di domenica notte, la cancellazione di un registro eventi, la modifica di una policy di dominio sono operazioni legittime nella maggior parte dei casi, ma nessuno lo può stabilire guardando solo il log. Con la giustificazione accanto, la verifica diventa possibile.

4.2 Consultare il Journal

Si apre da Query → Journal.

L'elenco riporta per ogni voce:

Colonna	Contenuto
Classe	L'etichetta del criterio che ha generato la voce
Livello	La gravità dell'evento
Host	La macchina di origine
Giorno e Ora	Quando è avvenuto
Applicazione	Il programma che ha prodotto l'evento
Messaggio	Il testo del log
Nota	La giustificazione, o il pulsante per inserirla

Come nella ricerca dei log, ogni colonna ha un proprio campo di filtro e il menu Opzioni di esportazione permette di portare fuori l'elenco.

4.3 Inserire la giustificazione

Il pulsante nella colonna Nota apre la finestra Aggiungi nota, dove si scrive la spiegazione dell'evento e si conferma con Salva.

La nota può essere scritta una sola volta

È l'avviso che l'appliance mostra nella finestra stessa. Una volta salvata, la giustificazione non è più modificabile né cancellabile.

È una scelta voluta: un registro di giustificazioni riscrivibili non avrebbe alcun valore in una verifica, perché nulla impedirebbe di correggere a posteriori quanto scritto. Scrivi quindi la nota quando hai tutti gli elementi, non appena vedi l'evento.

Una nota utile risponde a tre domande: chi ha eseguito l'operazione, su richiesta o autorizzazione di chi, e per quale motivo. Un riferimento a un ticket, a una richiesta o a una finestra di manutenzione pianificata vale più di qualsiasi descrizione generica.

Nota predefinita dalle azioni

Le azioni di tipo Journal dei criteri di Cyber Intelligence possono portare con sé una nota predefinita. È utile per gli eventi la cui ragione è nota in anticipo e sempre la stessa, per esempio un'attività pianificata ricorrente: la voce arriva già giustificata e non resta in sospeso.

4.4 Le voci che restano senza nota

Una voce del Journal senza giustificazione è una domanda a cui nessuno ha risposto. Tenerne poche e chiuderle presto mantiene il registro utilizzabile: un Journal con centinaia di voci in sospeso non distingue più le operazioni legittime da quelle che nessuno ha saputo spiegare.

Per non doverle rincorrere, l'appliance può inviare un report giornaliero degli eventi importanti del Journal: si abilita in fondo alla pagina della Cyber Intelligence, indicando l'indirizzo a cui recapitarlo.

Scegliere con cura cosa mandare nel Journal

Ogni criterio con azione Journal produce voci da giustificare. Mandarci eventi frequenti e di routine significa creare un arretrato che nessuno riuscirà a smaltire. Nel Journal vanno gli eventi per cui ha senso pretendere una spiegazione.

5. Dashboards

Le dashboard non sono una funzione a sé: sono raggruppamenti grafici alimentati dai criteri di Cyber Intelligence. Ogni grafico corrisponde a un criterio, e mostra nel tempo quante volte quel criterio si è verificato.

Ne consegue che una dashboard si costruisce dai criteri, non dalla dashboard: si apre il criterio che interessa, si abilita la sua rappresentazione grafica e si sceglie in quale dashboard collocarla.

Il tipo di azione Conta

Se un criterio serve solo a produrre un grafico, senza dover avvisare nessuno, gli si assegna l'azione Conta: l'evento viene conteggiato per le statistiche senza generare notifiche. Ricorda che un criterio senza alcuna azione non viene valutato, quindi Conta è il modo corretto di avere un grafico e basta.

5.1 Abilitare il grafico di un criterio

Nella scheda di un criterio, accanto alla linguetta Criterio, c'è la linguetta Cruscotto con una casella che ne abilita la rappresentazione grafica.

Campo	Cosa imposta
Tipo di grafico	La forma della rappresentazione
Mostra gli ultimi	Il numero di giorni da rappresentare, fino a 180
Posizione	L'ordine con cui il grafico compare nella dashboard
Dimensione	Quanto spazio occupa: Small, Medium, Half, Large, Full
Colore	Il colore della serie, indicato in esadecimale o scelto dal selettore
Dashboard	In quale dashboard collocarlo

Il menu Dashboard permette di scegliere una dashboard esistente oppure di crearne una nuova al momento: è così che nascono le dashboard, non da una pagina dedicata.

5.2 I tipi di grafico

Tipo	Forma	Quando usarlo
LINEAR	Linea nel tempo	Andamento di un singolo criterio giorno per giorno: serve a vedere tendenze e picchi
BAR	Barre	Confronto fra valori, anche di criteri diversi affiancati
PIE	Torta	Peso relativo di più criteri sul totale
RADAR	Radar	Confronto simultaneo di più criteri su assi diversi, per un profilo d'insieme

Grafici a serie multipla

LINEAR rappresenta il solo criterio su cui stai lavorando. RADAR, PIE e BAR possono invece includere più criteri sulla stessa figura: nella scheda compare il campo Includi i seguenti criteri, da cui selezionare gli altri criteri da confrontare.

La scelta segue la domanda a cui il grafico deve rispondere. Per come sta andando nel tempo serve una linea; per quale di questi eventi pesa di più una torta; per confrontare più indicatori a colpo d'occhio un radar.

5.3 Consultare le dashboard

Le dashboard si aprono dal menu Dashboards, che le raggruppa per azienda: ogni azienda ha le proprie, e sotto ciascuna compaiono le dashboard definite, a partire da quella chiamata default.

Ogni grafico riporta il nome del criterio che lo alimenta e il numero di giorni rappresentati. Sotto i grafici, la pagina prosegue con il totale dei log ricevuti nella giornata e il riepilogo per host, dove ogni riga mostra i contatori per categoria di evento e lo stato del dispositivo.

Un grafico vuoto non è un errore

Se il criterio non si è mai verificato nel periodo rappresentato, il grafico resta a zero. Prima di sospettare un guasto, verifica con lo strumento Test della Cyber Intelligence che il criterio corrisponda a qualcosa, e controlla il numero di giorni impostato in Mostra gli ultimi.

5.4 Comporre una dashboard utile

Poiché posizione e dimensione si impostano sul singolo criterio, la composizione della pagina è la somma di scelte fatte in punti diversi. Conviene deciderla prima: quali indicatori stanno in alto, quali occupano tutta la larghezza, quali si affiancano.

Una dashboard con troppi grafici perde la funzione di sintesi che dovrebbe avere. Meglio poche dashboard tematiche — una sugli accessi, una sull'infrastruttura, una sui dati — che una sola pagina con tutto dentro.

6. Motore di intelligenza artificiale

Un log di sistema è scritto per essere elaborato da una macchina, non letto da una persona. Un evento di accesso di Windows può occupare venti righe di campi tecnici e riferimenti interni, dai quali capire cosa sia successo richiede esperienza specifica.

Il motore di intelligenza artificiale traduce quel contenuto in una spiegazione in italiano corrente, quando l'operatore lo chiede.

6.1 Abilitazione per azienda

La funzione si abilita da Gestione → Motore di intelligenza artificiale, per singola azienda: le aziende per cui non è stata attivata continuano a lavorare come prima, senza alcun invio.

La pagina richiede due consensi distinti, corrispondenti a due funzioni diverse.

Consenso	Funzione che abilita
Interpretazione dei log	Fa comparire il pulsante che traduce un log in linguaggio comprensibile
Classificazione di sicurezza	Fa comparire il pulsante che valuta se il log rappresenti una minaccia

Il primo consenso comporta la dichiarazione di aver acquisito il consenso degli eventuali interessati a cui i log si riferiscono. Il secondo richiede la lettura dell'informativa estesa del produttore.

Le due funzioni trattano i dati in modo diverso

L'interpretazione dei log avviene su un'intelligenza artificiale privata, ospitata presso FSYS, e non su modelli di frontiera di terze parti: è la scelta che garantisce la riservatezza del contenuto. Nessun risultato viene registrato.

La classificazione di sicurezza funziona diversamente: il risultato viene condiviso con il produttore del software per alimentare il sistema di apprendimento automatico e migliorare la classificazione dei log. È il motivo per cui i due consensi sono separati e vanno valutati distintamente.

Nulla viene inviato automaticamente

L'appliance non trasmette log per proprio conto. Anche a funzione abilitata, l'invio avviene solo quando un operatore preme il pulsante su uno specifico log, una volta per volta.

6.2 Usare la funzione

A funzione abilitata, nei risultati della ricerca e nelle altre viste dei log compaiono due pulsanti aggiuntivi accanto a ciascuna riga: uno chiede l'interpretazione del contenuto, l'altro la valutazione di sicurezza.

Premendo il primo, sotto al log compare l'analisi.

L'analisi è strutturata e riporta, per l'evento esaminato:

• una valutazione iniziale, che dice subito se l'evento rappresenti o meno un rischio;
• la ricostruzione in linguaggio comune di chi ha fatto cosa: l'account coinvolto, il processo che ha operato, il tipo di accesso, il metodo di autenticazione;
• una tabella dei campi più significativi, con il valore trovato e il suo significato;
• una conclusione che sintetizza se l'evento sia normale o meritevole di approfondimento.

Uso tipico

La funzione conviene sugli eventi che non si riconoscono a colpo d'occhio: un identificativo di evento sconosciuto, un errore di un componente di sistema, un accesso con parametri insoliti. Sui log che si leggono quotidianamente è più rapido interpretarli da sé.

6.3 Considerazioni sulla riservatezza

Il contenuto di un log può contenere nomi di account, nomi di macchina, indirizzi e riferimenti a percorsi di file. Prima di abilitare la funzione per un'azienda ci sono tre aspetti da considerare.

La prima è che l'invio è puntuale e volontario: nessun flusso continuo, solo i log che un operatore decide di sottoporre.

La seconda è che l'interpretazione avviene su infrastruttura privata di FSYS e non lascia traccia: nessun risultato viene conservato.

La terza è che la classificazione di sicurezza, a differenza dell'interpretazione, condivide l'esito con il produttore. Se questo non è compatibile con le vostre politiche, si può abilitare il solo consenso all'interpretazione lasciando disattivata la classificazione.

Amministrazione

1. Backup remoto

La funzione Rete → Backup copia cartelle dell'appliance su un sistema esterno, secondo una pianificazione.

Quando serve

Non è una funzione da attivare per abitudine. Serve in un caso preciso: quando occorre portare gli archivi dei log fuori dall'apparato e l'apparato non è già protetto in altro modo.

Su un'appliance virtualizzata il backup è di norma già garantito dagli strumenti dell'infrastruttura, che salvano l'intera macchina virtuale: gli archivi sono compresi in quella copia, e attivare anche il backup interno significa duplicare lo stesso lavoro.

Su un'appliance fisica, o comunque non coperta da una procedura di backup esistente, questa funzione è il modo per avere una copia degli archivi altrove.

Che cosa conviene copiare

L'oggetto naturale del backup sono gli archivi dei log, cioè i file firmati prodotti dall'archiviazione programmata. Sono quelli che, in caso di guasto dell'apparato, non si possono ricostruire: i log ancora online si perdono comunque insieme al sistema, ma gli archivi hanno valore probatorio e vanno conservati.

Configurare un backup

L'orario va scelto dopo l'archiviazione

Colloca l'esecuzione dopo il ciclo notturno di archiviazione, così la copia comprende l'archivio appena prodotto. Anticiparla di poco significa copiare ogni notte gli archivi del giorno prima.

La funzione copia su un sistema esterno le cartelle indicate, secondo una pianificazione. L'appliance si connette alla destinazione e vi deposita i dati: non serve alcun programma sul sistema che riceve, basta che offra una condivisione o un accesso SSH.

Configurazione

Campo	Cosa indicare
Nome	L'etichetta con cui riconoscere il backup nell'elenco
Abilitato	L'interruttore che lo rende operativo
Indirizzo E-Mail a cui inviare i log	Dove recapitare il resoconto di ogni esecuzione
Ulteriore indirizzo email	Un secondo destinatario, facoltativo
Directory da backuppare	Le cartelle da copiare, aggiunte una alla volta con Aggiungi

Le tre modalità di archiviazione

L'opzione Crea un archivio per ogni giorno della settimana? decide come si accumulano le copie sulla destinazione. È la scelta che determina quanto indietro si potrà tornare e quanto spazio servirà.

No — copia singola. Sulla destinazione esiste una sola copia dei dati, nella radice dell'archivio. Le esecuzioni successive alla prima sono incrementali: viaggiano solo le modifiche. È la modalità che occupa meno spazio e non conserva alcuno storico.

Sì — una copia per giorno della settimana. Viene creata una cartella per ogni giorno in cui il backup viene eseguito (1 per il lunedì, 2 per il martedì e così via), ciascuna con i dati completi di quel giorno. La prima settimana copia tutto; dalla seconda ogni cartella viene aggiornata in modo incrementale rispetto allo stesso giorno della settimana precedente. Con 10 GB di dati e cinque esecuzioni settimanali servono quindi circa 50 GB sulla destinazione.

Differenziale. Alla prima esecuzione viene creata una cartella fullbackup con la copia completa, aggiornata poi una volta alla settimana. Accanto restano le cartelle dei singoli giorni, che contengono soltanto i file modificati rispetto alla copia completa. Offre uno storico settimanale a un costo di spazio molto inferiore rispetto alla modalità precedente.

Con una sola copia non c'è storico

Impostando No, un problema che si manifesta dopo l'esecuzione del backup sovrascrive l'unica copia buona: la copia riflette fedelmente i dati danneggiati. Se lo spazio sulla destinazione lo consente, Sì o Differenziale offrono un margine di recupero.

Schedulazione

Si indicano i giorni — tutti oppure alcuni scelti — e l'orario di esecuzione. Conviene collocare la copia quando il sistema è scarico e dopo le elaborazioni notturne che producono i dati da salvare.

La destinazione remota

Il backup può essere depositato su quattro tipi di destinazione:

Destinazione	Note
Condivisione Windows	Una cartella condivisa SMB: indirizzo del server, nome della condivisione, utente e password
Condivisione Unix	Una condivisione NFS su sistemi Unix
Condivisione RSYNC	Un servizio rsync, adatto ai trasferimenti incrementali
Server SSH	Copia su un server raggiungibile via SSH

I campi richiesti cambiano in base al tipo scelto.

Opzioni

La scheda Opzioni, accanto a Impostazioni, governa il comportamento della copia:

• Rimuovi i file locali non più presenti sul server di origine allinea la destinazione all'origine, cancellando ciò che nell'origine non esiste più. Lasciandola su No la destinazione conserva anche i file cancellati, e cresce nel tempo.
• Cancella vecchi files prima di aggiornarli e Aggiornamento dei files diretto riguardano il modo in cui i file vengono sostituiti sulla destinazione.
• Crea un unico file compresso raccoglie la copia in un solo archivio invece di replicare l'albero delle cartelle.
• Escludi i seguenti file e cartelle accetta un criterio per riga: /miacartella/ per una cartella specifica, *.tmp per un'estensione, **/miacartella per una cartella ovunque si trovi.

L'esclusione riduce il tempo di copia più di quanto sembri

File temporanei, cache e archivi già compressi occupano spazio e tempo senza aggiungere nulla al valore della copia. Escluderli è il primo intervento da fare quando un backup non riesce a concludersi nella finestra notturna.

Provare prima di salvare

Il pulsante Test verifica che la destinazione sia raggiungibile e che le credenziali siano corrette, senza attendere la prima esecuzione pianificata. Usalo sempre: un backup configurato male fallisce in silenzio ogni notte, e ci si accorge del problema quando la copia serve.

Controlla i messaggi di esito

L'indirizzo indicato in configurazione riceve il resoconto di ogni esecuzione. Se smettono di arrivare, il backup non sta girando: il silenzio è esso stesso una segnalazione, e va trattato come tale.

2. Multi Tier: architettura a più nodi

Un'appliance singola raccoglie, conserva e rende consultabili i log con lo stesso apparato. Quando i volumi crescono, o quando il servizio deve restare disponibile anche durante un guasto, la versione multi-tenant del Log Manager può essere distribuita su più nodi.

È la configurazione Multi Tier, e si raggiunge dal menu omonimo.

Quando conviene valutarla

Come indicazione di massima, l'architettura a più nodi diventa consigliabile a partire da circa 300 dispositivi gestiti. Sotto quella soglia un'appliance singola regge di norma senza difficoltà; sopra, separare chi riceve i log da chi li serve migliora sensibilmente i tempi di risposta dell'interfaccia.

1.1 Come sono divisi i compiti

I nodi non sono tutti uguali: ciascuno assume un ruolo.

Un nodo si occupa del frontend, cioè di tutto ciò con cui l'utente interagisce e di ciò che conserva i dati nel tempo: interfaccia web, consultazione, ricerche, archiviazione.

Gli altri nodi si occupano dell'ingest, cioè della ricezione dei log in arrivo, e assicurano insieme ridondanza e bilanciamento del carico.

Questa separazione è la ragione per cui l'architettura si chiama a livelli: chi riceve i dati e chi li serve non sono lo stesso apparato, e possono crescere in modo indipendente.

Rapporto con l'ingest asincrono

Sul singolo apparato lo stesso principio si applica in piccolo con l'opzione Ingest asincrono dei log, che affida l'acquisizione a processi dedicati invece che al frontend. Nelle configurazioni Multi Tier quell'opzione è consigliata, come indicato in Autorizzare e gestire i dispositivi.

1.2 Requisiti

Numero di nodi. Servono almeno tre nodi; la configurazione consigliata ne prevede almeno quattro. Con tre si ottiene la separazione dei ruoli, con quattro si guadagna il margine che permette al servizio di reggere il guasto di un nodo senza degradare.

Indirizzi e nomi host. Servono in tutto due indirizzi IP, tipicamente pubblici, a cui associare due nomi host distinti:

Nome host	A cosa serve
Consultazione	Il nome con cui gli utenti raggiungono l'interfaccia web
Ingest	Il nome verso cui i dispositivi inviano i log

Il traffico di ingest viene distribuito fra i nodi da un HA proxy, che bilancia le connessioni in arrivo e le indirizza al nodo disponibile. I dispositivi restano configurati sempre sullo stesso nome: sono il proxy e l'architettura a decidere quale nodo serve quella connessione.

I nomi host vanno decisi prima

Il nome di ingest finisce nella configurazione di ogni Endpoint Client e di ogni apparato che invia via syslog. Cambiarlo dopo significa rimettere mano a tutte le sorgenti, quindi va concordato in fase di progetto e non modificato in seguito.

1.3 Le voci del menu

Il menu Multi Tier raccoglie gli strumenti dell'architettura distribuita.

Voce	A cosa serve
Ruoli dei nodi	L'assegnazione dei compiti ai nodi che compongono l'installazione
Tunnel SSH	I collegamenti cifrati fra i nodi
Chiavi di sistema	Le chiavi che autenticano i nodi fra loro

1.4 Attivazione a progetto

La configurazione Multi Tier non è un'operazione da eseguire da soli

L'impostazione di un'installazione a più nodi è seguita direttamente dai tecnici GIGASYS e viene fornita a progetto, perché dipende dai volumi attesi, dalla topologia di rete, dagli indirizzi disponibili e dai requisiti di continuità del servizio.

Se stai valutando di passare a un'architettura Multi Tier, o se l'installazione attuale non regge più il carico, contattaci: il dimensionamento e la messa in opera vengono definiti insieme.

Le pagine descritte in questo capitolo servono quindi a riconoscere e verificare una configurazione esistente, non a costruirne una da zero.

Passare al Multi Tier in un secondo momento

Non è una scelta da fare all'inizio e per sempre. Un'installazione singola può essere convertita in Multi Tier anche in seguito, aggiungendo i nodi a un sistema già in produzione con i suoi dati e le sue sorgenti.

La conversione avviene senza interruzione del servizio: la raccolta dei log prosegue durante il passaggio, e non è necessario fermare l'appliance né riconfigurare i dispositivi già installati.

È quindi ragionevole partire con un'appliance singola e valutare il passaggio quando i volumi lo richiedono, senza dover sovradimensionare l'installazione iniziale per timore di doverla rifare.

Conservazione e conformità

1. Archiviazione programmata

I log non restano indefinitamente nell'archivio consultabile. L'appliance gestisce il loro ciclo di vita in due fasi, con due durate distinte che si impostano da Schedulazione → Archiviazione Programmata.

1.1 I due periodi

Periodo	Cosa stabilisce
Mantieni Log online per (Mesi)	Per quanti mesi i log restano nell'archivio consultabile, quindi ricercabili dalle pagine di ricerca
Mantieni gli archivi log per (Mesi)	Per quanti mesi vengono conservati gli archivi prodotti, dopo che i log sono usciti dalla consultazione online

I valori predefiniti dell'appliance sono 6 mesi online e 12 mesi di archivio, indicati in testa alla pagina e modificabili con Modifica default.

Entrambi i periodi si impostano da 6 a 24 mesi. Per gli archivi è disponibile anche l'opzione Per sempre, che disattiva la cancellazione.

Sei mesi è il minimo assoluto

Non è solo un valore predefinito: l'appliance non accetta durate inferiori e riporta automaticamente a sei mesi qualunque valore più basso. Se il vostro contesto normativo o contrattuale richiede periodi più lunghi, i valori vanno alzati di conseguenza.

La creazione degli archivi avviene giornalmente, con un ciclo notturno che lavora sui dati del giorno precedente: la giornata in corso non è archiviabile. Prima di produrre l'archivio l'appliance risincronizza il proprio orologio, così la data del file resta coerente con la marca temporale.

1.2 Impostazioni per azienda

La tabella elenca le aziende censite, ciascuna con i propri due periodi. Ogni riga si salva singolarmente con Salva; il pulsante Rimuovi, presente sulle aziende con impostazione propria, riporta l'azienda ai valori predefiniti.

Questo permette di trattare diversamente clienti con esigenze diverse: chi ha obblighi di conservazione più lunghi tiene periodi più ampi, senza imporli a tutti gli altri.

Abbassare i periodi cancella, e non si torna indietro

Riducendo Mantieni Log online per, al primo ciclo notturno i log più vecchi vengono eliminati definitivamente dagli indici di ricerca: restano solo negli archivi firmati. Riducendo Mantieni gli archivi log per, i file scaduti vengono cancellati dal disco, senza cestino né possibilità di recupero.

Prima di abbassare un periodo, accertati che gli archivi firmati del periodo esistano e siano stati messi al sicuro.

Alzare i periodi occupa spazio

Ogni mese in più di conservazione online è spazio occupato sul volume di home e, per l'archivio, spazio occupato dai file prodotti. Prima di estendere i periodi su tutte le aziende, verifica lo spazio disponibile: l'indicazione dei log ricevuti al giorno nella pagina Home permette di stimare la crescita.

1.3 Che cosa contiene un archivio

Gli archivi prodotti sono file eseguibili autoestraenti, con nome nella forma log-AAAA-MM-GG.exe, che racchiudono i log della giornata separati per singola azienda: l'archivio di un'azienda non contiene dati di altre.

All'interno i log sono presenti in due forme:

• un dump in formato JSON, adatto all'elaborazione automatica;
• una versione in XML con foglio di stile XSLT, pensata per la lettura.

L'archivio contiene anche il registro della sincronizzazione oraria del giorno. Gli orari degli eventi esportati sono espressi in UTC.

L'archivio è compresso, non cifrato

Il file non è protetto da password e il suo contenuto è leggibile da chiunque lo possieda. Le garanzie fornite dalla firma digitale riguardano l'integrità e la data, non la riservatezza: trattate gli archivi con la stessa cura dei log che contengono.

Gli archivi si consultano con un normale browser

Grazie all'XSLT, il contenuto XML si apre e si legge in modo ordinato con un comune browser web, senza bisogno dell'appliance né di strumenti particolari. È la caratteristica che rende l'archivio utilizzabile anche da chi lo riceve per una verifica e non ha accesso al sistema che l'ha prodotto.

1.4 Scaricare gli archivi

Gli archivi prodotti si trovano nella pagina Log Archiviati, che li elenca con nome file, dimensione e data di creazione. Si scaricano singolarmente oppure in blocco selezionandone più d'uno.

Su appliance multi-tenant la visibilità dipende dal livello: amministratori di sistema e rivenditori vedono gli archivi di tutte le aziende di competenza, gli altri utenti solo quelli della propria.

1.5 Forzare la creazione di un archivio

Schedulazione → Forza Export crea l'archivio di una data specifica senza attendere il ciclo notturno. Si indica il giorno e si esegue.

Se l'archivio di quel giorno esiste già

Il ciclo ordinario non ricrea un archivio esistente. Per rifarlo occorre attivare l'apposita opzione in Forza Export, che mette da parte il precedente rinominandolo invece di cancellarlo.

1.6 Reimportare un archivio

Gli archivi possono essere reimportati nel sistema. Serve quando occorre tornare a interrogare con gli strumenti di ricerca un periodo ormai uscito dalla conservazione online, per esempio durante un'indagine o una verifica che riguarda fatti passati.

È il motivo per cui conviene ragionare separatamente sui due periodi: la conservazione online determina cosa è immediatamente ricercabile, quella degli archivi determina fino a quando quei dati restano recuperabili.

2. Firma digitale degli archivi

Un archivio di log serve a dimostrare cosa è accaduto. Perché possa farlo, chi lo esamina deve poter verificare due cose: che il contenuto non sia stato alterato dopo la produzione, e che esistesse già a una certa data.

L'appliance risponde a entrambe le esigenze firmando digitalmente ogni archivio e apponendovi una marca temporale.

2.1 La firma con tecnologia Authenticode

Gli archivi vengono firmati con la tecnologia Authenticode, lo standard usato da Microsoft per firmare software e componenti eseguibili.

La scelta ha una conseguenza concreta: essendo Authenticode una tecnologia diffusa e collaudata da anni, la firma di un archivio si verifica con gli strumenti di sistema già presenti su Windows, senza software specifico e senza l'appliance che l'ha prodotto. Chi riceve l'archivio per una verifica non deve installare nulla né fidarsi di uno strumento fornito dalla stessa parte che ha generato il file.

Se il contenuto dell'archivio viene modificato anche di un solo byte, la firma non risulta più valida.

Su quali standard si basa

Authenticode è una specifica Microsoft, non uno standard IETF: non esiste quindi un RFC che la definisca. Poggia però interamente su standard pubblici e consolidati, ed è questo a renderla verificabile con strumenti di terze parti.

Standard	Ruolo
RFC 5652 — Cryptographic Message Syntax	Il formato in cui la firma è racchiusa, evoluzione di PKCS #7
RFC 2315 — PKCS #7	La specifica originaria su cui Authenticode fu costruita
RFC 5280 — Certificati X.509	Il formato dei certificati usati per firmare
RFC 3161 — Time-Stamp Protocol	Il protocollo con cui si richiede e si verifica la marca temporale

Una descrizione generale della firma del codice e di Authenticode è disponibile sulla voce Code signing di Wikipedia.

2.2 Il certificato

La firma è apposta con un certificato autoemesso dall'appliance stessa, generato in fase di configurazione. È la modalità predefinita e non richiede alcun intervento.

Usare un proprio certificato

Se l'organizzazione dispone di un proprio certificato Authenticode — per esempio un certificato di firma del codice emesso da un'autorità commerciale — può essere utilizzato al posto di quello autoemesso. Gli archivi risultano allora firmati da un soggetto già riconosciuto, e la verifica su un computer qualsiasi non produce l'avviso sull'emittente non attendibile descritto più avanti.

La pagina Certification Authority dell'appliance permette di generare e rigenerare certificati autofirmati e di gestire certificati Let's Encrypt, ma non prevede l'importazione di un certificato di terze parti dall'interfaccia web: la sostituzione richiede un intervento sul sistema.

Come procedere

Se volete far firmare gli archivi con un vostro certificato Authenticode, contattate l'assistenza GIGASYS: l'installazione va eseguita sull'apparato insieme ai formati derivati richiesti dalla firma.

2.3 Algoritmi utilizzati

Elemento	Algoritmo
Chiave del certificato di firma	RSA a 4096 bit
Firma del certificato	SHA-256 con RSA
Formato della firma sull'archivio	Authenticode, su PKCS #7 / CMS
Marca temporale	Richiesta a timestamp.digicert.com

La stessa coppia — RSA 4096 e firma SHA-256 — vale anche per la CA interna che emette il certificato dell'apparato.

L'archivio è firmato, non cifrato

La compressione dell'archivio non comporta alcuna cifratura: non esiste una password né una chiave da impostare, e chiunque disponga del file può leggerne il contenuto.

Firma e marca temporale garantiscono integrità e data certa, non riservatezza. Se l'archivio contiene dati che non devono essere letti da terzi, la protezione va gestita altrove: nel modo in cui il file viene conservato e trasmesso.

L'integrità è garantita dalla firma apposta sull'archivio nel suo complesso: i singoli file JSON e XML al suo interno non portano un proprio codice di controllo separato.

2.4 La marca temporale esterna

La sola firma locale dimostra l'integrità, ma non la data: un certificato emesso dalla stessa appliance che produce l'archivio non può attestare in modo indipendente quando la firma è stata apposta.

Per questo, oltre al certificato locale, l'appliance applica una marca temporale rilasciata da DigiCert, un'autorità di certificazione esterna, interrogando il servizio timestamp.digicert.com.

Il ruolo del soggetto terzo

La marca temporale di un ente esterno introduce nella catena qualcuno che non ha interesse nella vicenda. È l'elemento che permette di sostenere che l'archivio esisteva già in quella forma a quella data, senza doversi affidare all'orologio dell'apparato o alla parola di chi lo gestisce.

La marca temporale ha un secondo effetto, meno evidente ma importante: rende la firma verificabile anche dopo la scadenza del certificato, perché attesta che la firma esisteva già quando il certificato era valido.

Verifica la raggiungibilità del servizio

Al momento della firma l'appliance deve poter raggiungere il servizio di marcatura. La pagina Firma & Archivio → Certification Authority riporta lo stato: se il servizio è raggiungibile compare l'indicazione che la marcatura sarà applicata, altrimenti l'avviso che non può esserlo.

Controllalo dopo ogni modifica a firewall, proxy o DNS: senza marca temporale l'archivio conserva l'integrità ma perde la prova di data.

Senza certificato non c'è firma

Se il certificato di firma non è stato generato, l'archivio viene comunque prodotto ma resta non firmato, e con ciò privo di valore probatorio. In quel caso la pagina iniziale dell'appliance segnala che il certificato predefinito per la firma non è stato generato: provvedi prima del ciclo notturno successivo.

2.5 Un archivio per azienda

Ogni archivio contiene i log di una singola azienda. La separazione non è solo organizzativa: permette di consegnare a un cliente, a un revisore o a un'autorità l'archivio che riguarda quel soggetto, senza esporre i dati degli altri clienti presenti sulla stessa appliance.

2.6 Verificare un archivio

La verifica non si esegue nell'appliance: essendo l'archivio un eseguibile firmato Authenticode, si verifica su un qualsiasi computer, anche scollegato dal sistema che l'ha prodotto.

Su Windows, il modo più semplice: fai clic destro sul file, apri Proprietà e seleziona la scheda Firme digitali. Lì si leggono il firmatario e, nei dettagli, la marca temporale rilasciata da DigiCert.

Chi preferisce la riga di comando può usare signtool verify /pa /v sul file; su Linux lo strumento equivalente è osslsigncode verify.

Il certificato pubblico con cui confrontare la firma si scarica dalla pagina Certification Authority, dove si leggono anche i dettagli e l'impronta del certificato.

Che cosa dimostra la verifica

• Integrità: qualunque modifica al contenuto, anche di un solo byte, rende la firma non valida.
• Provenienza: l'archivio è stato prodotto dall'appliance titolare di quel certificato.
• Data certa: la marca temporale prova che l'archivio esisteva già in quella forma a quella data.

Windows segnalerà che l'emittente non è attendibile

Con il certificato autoemesso, Windows avvisa che l'autorità che lo ha emesso non è fra quelle attendibili del computer. È un comportamento atteso e non invalida né l'integrità né la marca temporale: significa soltanto che il PC non conosce quella CA. Per togliere l'avviso si installa il certificato pubblico dell'appliance fra le autorità attendibili.

Conserva il certificato insieme agli archivi

Gli archivi già firmati restano verificabili anche se il certificato viene in seguito rigenerato, ma per verificarli serve il certificato pubblico con cui furono firmati. Scaricarlo dalla pagina Certification Authority e conservarlo insieme agli archivi è una precauzione che costa poco.

Non modificare né rinominare il contenuto

L'archivio va conservato e trasmesso così com'è. Estrarne il contenuto, ricomprimerlo o alterarlo in qualsiasi modo produce un file che non è più quello firmato, e la verifica fallisce: si conserva l'informazione ma si perde la possibilità di dimostrarne l'autenticità.