Log AdS: perché un normale Log Management non basta

Raccogliere i log è relativamente semplice. Esistono decine di prodotti commerciali e open source capaci di acquisire eventi da Windows, Linux, firewall, NAS, database e apparati di rete. Molti sono ottimi prodotti e alcuni si possono usare gratuitamente.

Ma quando l'obiettivo non è genericamente "raccogliere log", bensì adempiere alle prescrizioni del Provvedimento del Garante sugli Amministratori di Sistema, il problema cambia. Non basta chiedersi "questo software riceve i syslog?". Bisogna chiedersi: "questa soluzione permette realmente al titolare del trattamento di controllare l'operato degli Amministratori di Sistema, come richiede il Garante?"

Sono due domande molto diverse. PrivacyLog è nato proprio da questa distinzione: utilizza tecnologie standard di raccolta dei log, come molti prodotti di Log Management, ma è stato progettato fin dall'origine per semplificare raccolta, selezione, conservazione, verifica ed esportazione dei log degli Amministratori di Sistema. L'obiettivo non era creare l'ennesimo SIEM generalista, ma risolvere bene un problema preciso.

Il Provvedimento non chiede semplicemente di conservare dei file

Il Provvedimento del Garante del 27 novembre 2008 nasce dalla particolare posizione degli Amministratori di Sistema. Un AdS dispone normalmente di privilegi tecnici molto elevati e può trovarsi a gestire sistemi, account, database e infrastrutture che trattano dati personali. Per questo il Garante ha introdotto misure dirette non solo a individuare correttamente gli amministratori, ma soprattutto ad agevolare la verifica della loro attività da parte del titolare.

Tra queste misure rientra la registrazione degli accessi logici degli Amministratori di Sistema, conservata per almeno sei mesi; l'operato deve inoltre essere verificato con cadenza almeno annuale. È la chiave per comprendere tutto il problema: il log non è fine a sé stesso. È lo strumento attraverso il quale il titolare controlla chi possiede privilegi amministrativi sui propri sistemi. Per il quadro completo degli obblighi, vedi Log degli Amministratori di Sistema: cosa impone il Garante Privacy.

Il paradosso: affidare il controllo proprio a chi deve essere controllato

Molte aziende affrontano l'adempimento così: il sistemista installa un prodotto gratuito o open source, configura un server, imposta la raccolta, amministra il database, gestisce la retention, configura gli account e mantiene l'intera infrastruttura. Tecnicamente può funzionare perfettamente. Ma sul piano organizzativo emerge un problema evidente: lo stesso Amministratore di Sistema che deve essere controllato amministra anche il sistema che conserva le evidenze dei propri accessi.

Non significa che una soluzione gestita internamente dall'AdS sia automaticamente non conforme. Il Garante consente al titolare di scegliere strumenti proporzionati al proprio contesto e precisa che, nei casi più semplici, possono bastare persino le funzionalità native dei sistemi operativi; nei casi più articolati, sistemi centralizzati, supporti non riscrivibili o tecniche crittografiche. Ma il problema organizzativo resta: se l'AdS dispone delle credenziali amministrative del server di logging, del database, del sistema operativo e della configurazione della retention, quale separazione effettiva esiste fra il soggetto controllato e lo strumento di controllo? È il problema che PrivacyLog cerca di risolvere alla radice.

L'inalterabilità non è una gara di digital forensics

Sul tema dei log circolano interpretazioni che trasformano il Provvedimento in una specifica da laboratorio forense. Il Garante, in realtà, usa un criterio più pragmatico: le registrazioni devono possedere caratteristiche di completezza, inalterabilità e possibilità di verifica dell'integrità rispetto allo scopo per cui vengono raccolte. Le FAQ ufficiali precisano inoltre che il Provvedimento non intende instaurare un regime generalizzato di registrazione di tutti gli usage data dei sistemi.

Il punto è costruire una catena di controllo ragionevolmente affidabile. Se l'amministratore non può intervenire sul repository indipendente che conserva i propri accessi, e il titolare può estrarre periodicamente quei dati ottenendo un file la cui successiva modifica sia verificabile, il sistema realizza concretamente la finalità del controllo. Non serve trasformare ogni evento in un reperto processuale. Abbiamo approfondito questo tema in Inalterabilità dei log AdS: cosa chiede davvero il Garante.

Come PrivacyLog separa chi amministra da chi controlla

PrivacyLog adotta un'architettura nella quale il LogServer non è amministrato dagli AdS che operano sull'infrastruttura del cliente. Gli eventi vengono raccolti tramite Fluent Bit e uno o più Syslog Collector e trasferiti al LogServer. Collector e LogServer supportano i formati RFC 3164 e RFC 5424 e comunicano via TCP o UDP, con regole di ingestion che decidono quali eventi conservare.

Il Syslog Collector è gestito da Systema Consulting, mentre il cliente accede al LogServer cloud via HTTPS, con credenziali e autenticazione a due fattori, secondo ruoli distinti per utenti, amministratori del cliente e personale tecnico di Systema. Il risultato è una separazione semplice: l'AdS amministra i sistemi; PrivacyLog raccoglie le registrazioni; il titolare dispone dello strumento con cui controllare gli accessi. È una scelta architetturale prima ancora che tecnologica. I dettagli sono nella pagina tecnica.

PrivacyLog raccoglie molti eventi, ma conserva ciò che serve

Un normale prodotto di Log Management tende a raccogliere molti eventi, e PrivacyLog è tecnicamente in grado di fare altrettanto: Fluent Bit può acquisire, oltre agli accessi, eventi su file e directory, utenti, privilegi, installazioni software e altro, e la piattaforma è estendibile nelle configurazioni Business ed Enterprise.

La differenza sta nel passo successivo. Nella configurazione predisposta per il Provvedimento, il filtro di ingestion conserva soltanto gli eventi pertinenti al controllo degli accessi degli Amministratori di Sistema. Il principio è: raccogliere tecnicamente quanto necessario alla sorgente, ma conservare nel perimetro AdS soltanto ciò che serve alla finalità. Un setup semplificato è progettato per estrarre i dati necessari al controllo degli accessi amministrativi senza richiedere al titolare competenze sistemistiche avanzate.

Il software gratuito è davvero gratuito?

Installare un prodotto open source può avere costo di licenza pari a zero. Ma il costo del servizio non è zero. Per usarlo ai fini del Provvedimento occorre definire il perimetro, predisporre una macchina fisica o virtuale, installare e aggiornare il software, configurare le sorgenti, creare parser e filtri, definire la retention, proteggere l'accesso al repository, effettuare backup, verificare periodicamente la raccolta e predisporre report utilizzabili dal titolare.

Queste attività richiedono tempo e competenze. E molto spesso chi possiede tali competenze è proprio il sistemista. Nasce così un secondo paradosso: per controllare l'Amministratore di Sistema si finisce per dipendere dall'Amministratore di Sistema. PrivacyLog elimina questo costo nascosto — non perché i software generalisti siano tecnicamente inferiori, ma perché sono progettati per uno scopo differente. Un prodotto generalista deve essere flessibile; una soluzione verticale può arrivare già configurata per una finalità specifica. Un confronto economico dettagliato con Wazuh, Graylog e Splunk è in PrivacyLog vs SIEM.

Log Management generalista e PrivacyLog: due approcci diversi

PrivacyLog non cerca di dimostrare di raccogliere più log dei prodotti generalisti. Cerca di ridurre il lavoro necessario per ottenere il risultato richiesto.

Il titolare deve poter comprendere i log

Un altro limite dei sistemi generalisti è che le registrazioni native sono spesso comprensibili solo da un tecnico. Un Event ID Windows, un messaggio Syslog o una stringa prodotta da un dispositivo possono essere perfettamente corretti, ma poco utili a chi deve svolgere la verifica.

PrivacyLog interpreta gli eventi e associa a ogni record una descrizione leggibile: data e ora, nome utente, IP sorgente, hostname, severità, descrizione sintetica e messaggio dettagliato. È importante, perché chi effettua il controllo non dovrebbe essere costretto a chiedere all'AdS "mi spieghi cosa significano i log con cui devo controllare il tuo operato?". Sarebbe un'altra inversione del processo.

La conservazione è già incorporata nel servizio

Il Provvedimento stabilisce un periodo minimo di conservazione degli access log pari a sei mesi. PrivacyLog applica retention differenti secondo il piano:

Il mese aggiuntivo è una finestra tecnica di sicurezza, pensata per evitare che un ritardo di pochi giorni nella verifica o nell'esportazione provochi la perdita di registrazioni giunte alla scadenza nominale. La retention riguarda il database operativo dei log. Separatamente, l'infrastruttura è sottoposta a backup completo giornaliero (copie mantenute per sette giorni su sistemi ridondati), destinato alla continuità operativa. Due funzioni distinte: la retention mantiene disponibili i log per il controllo; il backup protegge il servizio dalla perdita dei dati.

L'integrità dell'esportazione: un controllo semplice per il titolare

Quando il titolare effettua un'esportazione, PrivacyLog genera i dati e li inserisce in un archivio ZIP, al quale associa una marca temporale InfoCert in formato TSR. InfoCert è un prestatore qualificato di servizi fiduciari e le sue marche temporali qualificate operano nel quadro eIDAS.

Il procedimento è volutamente semplice: il titolare conserva lo ZIP originale; quando vuole verificarlo, reinserisce nella piattaforma lo stesso archivio prodotto da PrivacyLog; il sistema verifica la marca temporale. Se la verifica ha esito positivo, si accerta che l'archivio corrisponda a quello marcato e non sia stato successivamente modificato. PrivacyLog mantiene inoltre un registro delle marcature, con data, utente che ha prodotto l'esportazione e numero di record. La procedura diventa: esporto → conservo → verifico → analizzo → verbalizzo. Non serve una procedura forense per capire se il file è quello originariamente prodotto.

Ogni componente configurabile è anche una possibilità di errore

Con una piattaforma generalista bisogna decidere cosa raccogliere, cosa scartare, per quanto conservare, chi può accedere, dove archiviare, come proteggere il repository, quali report produrre e come effettuare la verifica. È flessibilità, ma è anche responsabilità di configurazione. PrivacyLog usa invece un'impostazione preconfigurata per il caso d'uso AdS.

Il prodotto non elimina la responsabilità del titolare: restano necessarie l'individuazione degli amministratori, la definizione degli ambiti, la verifica annuale e le altre attività organizzative. Elimina però una parte significativa del lavoro tecnico necessario a costruire l'infrastruttura di raccolta.

Un software dedicato non sostituisce la procedura: la rende praticabile

È forse il punto più importante. PrivacyLog non rende automaticamente conforme un'organizzazione. Il titolare deve comunque individuare correttamente gli Amministratori di Sistema, definire gli ambiti di operatività, mantenere aggiornato l'elenco, includere i tecnici dei fornitori esterni quando applicabile, verificare almeno annualmente l'operato e documentare il controllo e le eventuali azioni correttive. Su quest'ultimo punto è utile Verifica annuale degli Amministratori di Sistema, con modello di verbale scaricabile.

Il software si occupa della componente tecnica: raccogliere, conservare e rendere verificabili le evidenze. È questa divisione dei compiti a evitare il paradosso iniziale. L'AdS continua a fare l'AdS. Il titolare torna a fare il titolare. E lo strumento di controllo non rimane nelle mani esclusive del soggetto controllato.

Progettato per il Provvedimento, non adattato dopo

La differenza sostanziale si sintetizza in una frase: un normale Log Management può essere configurato per gestire i log degli Amministratori di Sistema; PrivacyLog nasce già configurato per farlo. Raccoglie log con tecnologie e standard comuni al settore, ma introduce procedure specifiche per il Provvedimento: ingestion selettiva degli eventi AdS, separazione fra sistemi amministrati e LogServer, gestione centralizzata, utenti e ruoli distinti, retention predefinita, identificazione di dispositivi e AdS, interpretazione leggibile degli eventi, esportazione semplificata, marcatura temporale dell'archivio, verifica integrata dello ZIP, registro delle esportazioni marcate e supporto alla verifica annuale.

Questo non rende PrivacyLog "più potente" in senso assoluto. Lo rende più specializzato. Ed è la specializzazione che trasforma un obbligo normativo in una procedura sostenibile anche per una PMI.

Conclusioni

Il Provvedimento del Garante non richiede di costruire un SIEM né di registrare qualsiasi attività compiuta sui sistemi. Richiede che il titolare possa controllare l'operato degli Amministratori di Sistema con access log completi, attendibili e conservati in condizioni adeguate.

Un prodotto generalista può certamente essere configurato per raggiungere questo risultato. Ma configurazione, hosting, manutenzione, backup, filtri, retention, protezione del repository e procedure di esportazione hanno un costo. E se tutta l'infrastruttura viene affidata alla stessa persona che deve essere controllata, è opportuno interrogarsi sulla reale separazione dei ruoli. PrivacyLog è nato per eliminare questa complessità: non per sostituire i prodotti generalisti o i SIEM, ma per dare al titolare uno strumento indipendente, già predisposto per raccogliere, conservare e verificare i log degli Amministratori di Sistema — senza dover delegare proprio all'AdS la costruzione e la gestione del sistema destinato a controllarlo.

Il presente contenuto ha finalità informativa e non sostituisce una valutazione legale, privacy o tecnica riferita alla specifica organizzazione.