Come funziona PrivacyLog: architettura e specifiche tecniche

Architettura

Dai dispositivi al LogServer cloud

PrivacyLog è composto da tre livelli: gli agent sui dispositivi, uno o più Syslog Collector locali, e il LogServer centrale in cloud.

1. Agent Fluent Bit

Su ogni dispositivo un client Fluent Bit con configurazione preimpostata raccoglie gli eventi dal syslog del sistema operativo e li inoltra al Syslog Collector.

2. Syslog Collector

Un concentratore locale acquisisce i log delle sorgenti della sede. Possono esserci più Collector per cliente, ad esempio uno per sede, ciascuno configurabile per raccogliere solo determinati tipi di log.

3. LogServer cloud

Il LogServer centrale acquisisce i log provenienti dai Collector, li conserva secondo la retention del piano e li rende disponibili per consultazione, filtro ed esportazione.

Separazione dei ruoli: il LogServer è separato dai sistemi amministrati. L'accesso al Syslog Collector è riservato a Systema Consulting, che lo installa e lo configura. In questo modo l'Amministratore di Sistema controllato non ha il governo del punto di raccolta né delle registrazioni.

Standard e protocolli

Compatibilità syslog conforme agli standard

Formati e trasporto

Formati RFC 3164 ed RFC 5424
Protocolli TCP e UDP
Porta standard 514 o porta personalizzata
Trasmissione verso il cloud cifrata in TLS

Controllo dell'ingestion

Sia il Syslog Collector sia il LogServer dispongono di un controllo ingestion live totalmente configurabile, che permette di scartare (DROP) determinati tipi di log in funzione delle necessità. Non tutti i log inviati vengono necessariamente conservati: la raccolta è filtrabile e minimizzabile.

Decodifica e traduzione degli eventi

Il Collector interpreta i dati e, per ogni log, ne decodifica il significato in italiano, in modo da rendere comprensibile cosa sta effettivamente accadendo sui dispositivi. Un evento tecnico grezzo viene affiancato da una descrizione leggibile anche da chi non è sistemista.

Configurazione standard

Eventi raccolti di default

Nella configurazione standard, l'agent Fluent Bit colleziona una gamma ampia di eventi dal syslog del sistema operativo. Il filtro di ingestion conserva quelli necessari al controllo degli accessi amministrativi.

Accessi

Accesso al sistema
Disconnessione
Accesso fallito

Utenze e privilegi

Utente creato / eliminato
Privilegi Admin
Reset e richiesta cambio password

File e sistema

Creazione / eliminazione directory
Creazione / eliminazione / accesso a file
Installazione software, task pianificati

Estensione: nei piani Business ed Enterprise la configurazione dell'agent può essere estesa ad altri log, fino ad acquisire tutti i tipi di evento presentati dal dispositivo. In questo modo PrivacyLog può operare, se opportunamente configurato, anche come sistema di monitoraggio e controllo per finalità di cybersecurity, distinte dalla configurazione minima per la conformità.

Interfaccia

Dashboard e consultazione

Un quadro sintetico dello stato: sorgenti attive, log totali nel periodo, eventi critici e avvisi. I grandi pulsanti filtrano immediatamente i dati in dettaglio.

Dashboard di PrivacyLog con sorgenti attive, conteggio log, eventi critici e grafico dell'attività — Pannello di controllo: sorgenti attive, messaggi nel periodo, eventi critici e attività nel tempo.

Struttura di ogni record

Per ogni evento PrivacyLog genera un record con:

Data e ora dell'evento
Nome utente
IP sorgente e hostname
Severità (info, avviso, critico)
Descrizione sintetica ed estesa dell'evento

Dettaglio con spiegazione

Cliccando su un record, PrivacyLog mostra il messaggio originale grezzo affiancato da una descrizione dell'evento in italiano, con l'indicazione tecnica di cosa è realmente accaduto. È la funzione che rende i log comprensibili anche a chi non amministra i sistemi.

Dettaglio di un log in PrivacyLog con descrizione dell'evento in italiano e messaggio originale — Dettaglio di un evento: descrizione in italiano, dettaglio tecnico e messaggio originale.

Integrità probatoria

Marca temporale eIDAS all'esportazione

Al momento dell'esportazione, PrivacyLog inserisce i dati in un archivio ZIP e vi applica una marca temporale InfoCert in formato TSR, con validità europea eIDAS.

Come funziona

La marca è applicata all'intero archivio ZIP prodotto
Una volta apposta, qualsiasi modifica invalida la marcatura
Verifica ricaricando lo ZIP originale nella piattaforma
Nessun software esterno necessario per la verifica

Registro delle marcature

Tutte le marcature emesse vengono registrate in PrivacyLog con data, utente che ha effettuato l'export e numero di record contenuti. Costituisce il registro di audit delle esportazioni certificate.

Conserva sempre il file ZIP originale: la verifica della marca va effettuata sullo ZIP generato da PrivacyLog. Puoi estrarne una copia per consultare i dati.

Registro delle marcature temporali in PrivacyLog con data, utente e numero di record — Registro delle marcature temporali: audit delle esportazioni immutabili consegnate.

Accesso e ruoli

Livelli di autenticazione

L'accesso al LogServer cloud avviene via browser HTTPS con username, password e 2FA tramite Google Authenticator.

Utente

Livello di consultazione a uso del cliente: visualizzazione e ricerca dei log secondo i permessi assegnati.

Amministratore (cliente)

Crea utenti, configura l'acquisizione dei log, filtra ed estrae i dati, applica la marca temporale all'estrazione. Configura l'elenco dei dispositivi con token, l'elenco degli AdS e la licenza.

Super-admin (Systema)

Livello riservato ai tecnici di Systema Consulting per assistenza e configurazioni. Distinto dai ruoli del cliente.

Dispositivi con token

Ogni dispositivo monitorato è identificato tramite token, così da restare riconoscibile anche se ne viene modificato l'IP. L'elenco degli AdS configurato facilita l'estrazione dei log ai fini del Provvedimento del Garante.

Cancellazione controllata

I log non possono essere cancellati tramite le normali funzioni della piattaforma, né dagli utenti né dagli amministratori del cliente. È prevista una procedura tecnica eccezionale, eseguita da Systema Consulting su richiesta documentata del titolare, per esigenze normative o richieste di cancellazione applicabili.

Tracciabilità e avvisi

Registro degli accessi e sistema di trigger

Registro degli accessi alla piattaforma

PrivacyLog dispone di un proprio registro che monitora le azioni svolte sul LogServer: anche l'attività sulla piattaforma di controllo è a sua volta tracciata.

Trigger e avvisi email

Un sistema di avvisi triggerati invia email in caso di errori o criticità rilevate nella rete monitorata: ad esempio dopo ripetuti tentativi di accesso falliti a un sistema, o al verificarsi di un evento critico.

Registro degli accessi al LogServer di PrivacyLog che traccia le azioni sulla piattaforma — Registro degli accessi: le azioni svolte sulla piattaforma di controllo sono tracciate.

Conservazione

Retention, backup e hosting

Retention per piano

Starter: 6 (+1) mesi — fino a 10 dispositivi
Business: 12 (+1) mesi — fino a 25 dispositivi
Enterprise: 24 (+1) mesi — fino a 50 dispositivi

Il mese aggiuntivo è un margine tecnico di sicurezza per completare esportazioni e verifiche.

Backup infrastrutturale

Backup completo giornaliero con ritenzione di 7 giorni su sistemi ridondati, destinato alla continuità operativa e al ripristino del servizio. È una politica distinta dalla retention applicativa dei log.

Hosting certificato

Server in Italia, in farm con certificazioni ISO 27001, 27017, 27018. Systema Consulting è certificata ISO 27001, 9001 e 14001.

Cosa si intende per "dispositivo": qualunque sistema in grado di trasmettere dati conformi agli standard RFC — server, client, firewall, NAS o altri apparati.