L’articolo di oggi pubblicato su Linkedin è sicuramente introduttivo e cita soltanto alcuni dei punti che ho avuto modo di valutare e riscontrare in questi mesi.
Credo fortemente che l’integrazione sul SIEM possa fare la differenza tra una detection e per questo nei prossimi mesi ho deciso di deployare un piccolo SIEM, probabilmente basato su Elastic, ma sono pronto a valutare anche Splunk e Qradar nelle versioni trial/community, per cercare di affrontare nel nostro piccolo le tematiche citate nel post.
Tuttavia credo che l’onboarding di dati all’intero del SIEM debba essere effettuato da una persona diversa da un analista o da un incident responder in quanto il lavoro di integrazione si lega quasi più ad una figura sistemistica che ad un operatore della cybersecurity.
Non voglio aggiungere un altro ruolo a i mille già presenti nel settore ma la posizione ibrida tra il sistemista, che sa come modificare la configurazione e il security engineer che sa quali dati sono importanti per la detection e l’analisi credo possa giocare un ruolo centrale nel deploy di un SIEM.
La discussione è sicuramente aperta qui, su linkedin, o sul discord di Security Cert.