I sistemi di monitoraggio (SIEM – security information and event management ) permettono di mantenere sotto controllo real-time e automaticamente gli eventi di tutta l'infrastruttura informatica attraverso la centralizzazione, l’elaborazione e la correlazione dei log provenienti da diverse fonti (client, firewall, applicativi, database, webserver etc…), per una facile consultazione mediante dashboard.

I software SIEM sono installati tipicamente su un server centralizzato affiancati ad un database dove vengono memorizzati i dati raccolti, con le seguenti funzionalità:

Raccolta dei log, che sono la fonte principale di dati analizzati da un SIEM. Ogni apparato di sicurezza, software, database, presente nel sistema invia i dati contenuti all’interno dei file di log al server principale sul quale risiede il SIEM.

Normalizzazione dei dati che ogni dispositivo gestisce e conserva a modo suo. Il SIEM provvede ad uniformare i dati raccolti, catalogandoli per tipologia e agevolandone l’interpretazione.

La correlazione tra eventi diversi consente di integrare ed analizzare gli eventi provenienti da diverse fonti, sia attraverso una serie di regole di correlazione già predefinite, sia disponendo della possibilità di creare delle regole personalizzate al fine di soddisfare le esigenze degli amministratori.

Le dashboard forniscono le informazioni dell’ambiente di lavoro in tempo reale fornendo una rappresentazione dei dati sotto forma di diagrammi e modelli, permettendo di individuare rapidamente attività anomale.

I report che possono essere creati grazie a query personalizzate per l’estrazione dei dati possono essere utilizzati a scopo di audit, compliance o di analisi forense.