Nelle organizzazioni moderne i segnali di sicurezza arrivano da decine di fonti diverse — utenti, endpoint, applicazioni cloud, firewall, identità. Correlare manualmente questi eventi è impossibile su larga scala. Microsoft Sentinel è la risposta cloud-native di Microsoft: una piattaforma che unisce le funzioni SIEM (Security Information and Event Management) e SOAR (Security Orchestration, Automated Response) in un unico servizio scalabile su Azure.

SIEM e SOAR: due funzioni complementari

È fondamentale distinguere i due acronimi, perché l’esame li mette spesso a confronto.

  • SIEM si occupa di raccolta, aggregazione e correlazione dei log provenienti da tutta l’organizzazione. Analizza grandi volumi di dati per individuare pattern sospetti e generare avvisi. Risponde alla domanda: “cosa sta succedendo nel mio ambiente?”
  • SOAR si occupa di orchestrazione e risposta automatica. Una volta rilevata una minaccia, esegue azioni predefinite senza intervento umano. Risponde alla domanda: “cosa faccio adesso, in automatico?”

Microsoft Sentinel svolge entrambi i ruoli in un’unica soluzione, eliminando la necessità di prodotti separati.

Raccolta dati: i connettori

Sentinel raccoglie dati tramite i data connector, disponibili out-of-the-box per centinaia di fonti:

  • servizi Microsoft come Microsoft Entra ID, Microsoft 365, Microsoft Defender XDR e le risorse Azure;
  • soluzioni di terze parti (firewall, proxy, appliance) tramite standard come Syslog e Common Event Format (CEF).

I dati confluiscono in un workspace di Log Analytics, dove vengono interrogati con il linguaggio KQL (Kusto Query Language).

Rilevamento delle minacce: le analytics rules

Le regole di analisi (analytics rules) applicano logica di correlazione ai dati raccolti. Quando i criteri sono soddisfatti, Sentinel genera un alert e li aggrega in incidenti — casi investigabili che raggruppano più avvisi correlati. Sentinel integra inoltre machine learning e la User and Entity Behavior Analytics (UEBA) per individuare anomalie comportamentali che sfuggirebbero alle regole statiche.

Indagine e threat hunting

Gli analisti del SOC (Security Operations Center) lavorano sugli incidenti per ricostruire la catena d’attacco, esaminando entità coinvolte (utenti, host, indirizzi IP) tramite grafici di investigazione. Sentinel supporta anche il threat hunting proattivo: la ricerca di minacce ancora non rilevate, basata su query KQL e sul framework MITRE ATT&CK.

Automazione della risposta: i playbook (SOAR)

Il cuore della componente SOAR sono i playbook, flussi di lavoro automatizzati costruiti su Azure Logic Apps. Un playbook può, per esempio:

  • isolare un dispositivo compromesso;
  • disabilitare un account Microsoft Entra ID sospetto;
  • inviare una notifica al team di sicurezza o aprire un ticket;
  • bloccare un indirizzo IP sul firewall.

I playbook riducono i tempi di risposta e alleggeriscono il carico ripetitivo sugli analisti, che possono così concentrarsi sulle minacce complesse.

I vantaggi del modello cloud-native

Essendo un servizio SaaS, Sentinel elimina la necessità di installare e mantenere infrastruttura on-premises. I principali benefici sono:

  • Scalabilità elastica: gestisce picchi di dati senza dimensionare server in anticipo.
  • Costi a consumo: si paga in base al volume di dati ingeriti e conservato.
  • Aggiornamento continuo con nuove regole e threat intelligence gestite da Microsoft.
  • Integrazione nativa con l’ecosistema Microsoft (Entra ID, Defender XDR, Microsoft Purview).

Trappole tipiche d’esame

  • Scenario: l’azienda vuole aggregare e correlare log da fonti Microsoft e di terze parti in un’unica dashboard → la funzione richiesta è SIEM, e il servizio è Microsoft Sentinel.
  • Scenario: serve rispondere automaticamente a un incidente disabilitando un account senza intervento umano → è la funzione SOAR, realizzata tramite i playbook di Sentinel.
  • Scenario: la domanda chiede quale soluzione fornisce sia SIEM sia SOAR cloud-native → la risposta è Microsoft Sentinel (non Microsoft Defender XDR, che è una soluzione XDR focalizzata su endpoint, identità, email e app).
  • Scenario: occorre cercare proattivamente minacce non ancora rilevate → è il threat hunting di Sentinel, non una semplice regola di analisi.
  • Trappola terminologica: “aggregazione dei log” = SIEM; “orchestrazione e risposta automatica” = SOAR. Se la domanda parla di automazione della risposta, la parola chiave è sempre playbook.