Hub Sicurezza

Scopo e mappa dell’hub

L’Hub Sicurezza è l’ombrello della sicurezza operativa: SOC (triage e gestione degli alert/incidenti di sicurezza), XDR (correlazione cross-dominio e threat hunting), gestione vulnerabilità, PAM (Privileged Access Management), amministrazione SecOps (SOAR: scoring, approvazioni, rollback) e reportistica di sicurezza. I ticket dell’area (famiglia SOC-*) sono a massimo riserbo: alcuni tipi (es. SOC-INCIDENT) sono visibili solo agli analisti SOC e al CISO del tenant.

La pagina tratta la landing, le console operative (SOC L1, XDR), il Vulnerability Cockpit, le cinque pagine PAM e la Console PAM, SecOps Admin, il Security Report Center e l’Agent Monitoring. GRC/ICC e le viste dei direttori SOC/XDR sono richiamate ma descritte nelle rispettive pagine (GRC, rischio, compliance e legale, Cockpit e viste di direzione, Customer Service, Enterprise Service e ICC).

Landing del Security Hub

A cosa serve. È il punto d’ingresso alla sicurezza: raccoglie i riquadri verso SOC, XDR, vulnerabilità, PAM, SecOps Admin, reportistica e le aree collegate (GRC, ICC).

Quando usarla. All’inizio della sessione di sicurezza, per scegliere l’area su cui operare.

Come aprirla. Dalla Home di Core (riquadro Security Hub) o dal Security Hub di un altro contesto.

Cosa mostra. I riquadri collegano: SOC L1, XDR, Vulnerabilità, PAM, SecOps Admin, IT Security Report Center, KB dominio SOC, GRC, ICC, Operations Cockpit in scope sicurezza, Agent Control Tower in scope security, CMDB con focus sicurezza, ITOM con focus sicurezza e le viste dei direttori SOC/XDR/GRC/ICC.

Come si usa. Si fa clic sul riquadro dell’area desiderata; i riquadri visibili dipendono dal ruolo (profili SOC, XDR, SECHUB, ecc.).

Cosa succede dopo. Si accede alla pagina/console scelta con il contesto propagato.

Note. La visibilità è particolarmente ristretta: molti contenuti richiedono ruoli SOC/CISO.

SOC L1, triage alert di sicurezza

A cosa serve. È la console operativa del SOC: raccoglie gli alert dai SIEM (via webhook) e ne governa il triage L1→L2→L3, fino agli incidenti confermati. Usa lo stesso motore di layout della console IT con dominio SOC.

Quando usarla. È la postazione dell’analista SOC per il triage e la gestione degli alert e degli incidenti.

Come aprirla. Dalla landing Security Hub, riquadro SOC L1.

Cosa mostra. Il layout a tre pannelli (coda · dettaglio · strumenti) con auto-refresh e filtri. La striscia KPI per il L1: Alert attivi, Triaged nell’ultima ora, FP rate (falsi positivi), SLA triage, Escalation L2. Le azioni rapide L1: Assegna a me, Escalate L2, ✓ True Positive, False Positive.

Al passaggio ai tier superiori (L2/L3, analisi/IR) cambiano KPI e azioni: KPI Open cases, Breaches, Hunt attivi, PIR pending, IOC ingested; azioni Take over, Escalate L3, Isolate host, Block IOC, IR Playbook. La dashboard KPI SOC è apribile in modal («SOC L1 Dashboard»).

Come si usa. Si triaggiano gli alert (SOC-ALERT), classificandoli come True/False Positive; un alert confermato si promuove a SOC-INCIDENT (massimo riserbo, PIR obbligatorio); si gestiscono i report di phishing (SOC-PHISH, apribili anche dal portale utente) e gli alert malware (SOC-MALWARE). Le azioni di contenimento (Isolate host, Block IOC) attivano le remediation SOAR.

Cosa succede dopo. «True Positive» avvia l’escalation/incident; «Isolate/Block» eseguono azioni di risposta (soggette alle barriere SOAR); ogni azione è tracciata e notificata.

Note. Le azioni di remediation più sensibili (es. execute_script) sono protette da barriere multiple (vedi SecOps Admin). La visibilità degli incidenti è ristretta a SOC/CISO.

XDR Ops

A cosa serve. L’XDR (eXtended Detection & Response) fornisce la correlazione cross-dominio delle minacce e gli strumenti di caccia proattiva, threat intelligence e condivisione con i vendor.

Quando usarla. Per l’analisi correlata di segnali multi-fonte, le campagne di hunting, la gestione degli IOC e i brief esecutivi di minaccia.

Come aprirla. Dalla landing Security Hub, riquadro XDR.

Cosa mostra. Una console organizzata in sotto-viste (vista iniziale: Correlation), ciascuna con KPI, tabelle e schede:

Sotto-vista	Contenuto
Correlation	Correlazione cross-dominio dei segnali
Threat Intel	IOC e intelligence (SOC-THREAT-INTEL: TLP, confidence, CVE, threat actor, scadenza)
Unified Timeline	Timeline unificata degli eventi
Executive Brief	Sintesi esecutiva della minaccia
Escalation	Gestione delle escalation
Lessons Learned	Lezioni apprese post-evento
Hunting Queries	Query di threat hunting (SOC-THREAT-HUNT: ipotesi, tecnica)
Vendor Sharing	Condivisione con i vendor/partner
Knowledge Base	Base di conoscenza XDR
Threat Landscape	Panorama delle minacce
Reports & Analytics	Report e analytics (modulo di reportistica condiviso, con pianificazione)

Come si usa. Si naviga tra le sotto-viste; si correlano i segnali, si gestiscono gli IOC e le campagne di hunting, si producono brief e report; i finding di Attack Surface Management (SOC-ASM) e i Security Case (SOC-CASE, indagini che aggregano più alert/incident/IOC via ticket-link) sono trattati qui.

Cosa succede dopo. Le correlazioni possono generare incidenti/casi; gli IOC confermati alimentano i sistemi difensivi; i report sono schedulabili.

Note. La vista Reports usa il modulo di reportistica condiviso della piattaforma.

Vulnerability Cockpit

A cosa serve. Gestisce le vulnerabilità (SOC-VULN) rilevate dagli scanner (Tenable, Qualys, Nessus): dalla scoperta alla remediation.

Quando usarla. Per prioritizzare e tracciare la correzione delle vulnerabilità.

Come aprirla. Dalla landing Security Hub, riquadro Vulnerabilità.

Cosa mostra. Il cockpit delle vulnerabilità con CVSS score, host/CI interessato, sorgente e stato di remediation; quando non ci sono finding aperti mostra lo stato «Nessun finding aperto».

Come si usa. Si esaminano le vulnerabilità per severità, si pianifica la remediation, si collega a change e asset.

Cosa succede dopo. La remediation aggiorna lo stato; le vulnerabilità critiche possono generare incidenti.

Note. Alimentata dagli scanner via ingestione.

PAM Hub

A cosa serve. È il punto d’ingresso al Privileged Access Management: governo di accessi, account, credenziali, sessioni e compliance privilegiati.

Quando usarla. Per gestire e sorvegliare gli accessi privilegiati ai sistemi sensibili.

Come aprirla. Dalla landing Security Hub, riquadro PAM.

Cosa mostra. I riquadri verso le pagine PAM: Accessi, Account, Vault, Sessioni, Compliance.

Come si usa. Si sceglie l’area PAM; le funzioni sono descritte nelle schede seguenti.

Cosa succede dopo. Le operazioni PAM sono tracciate integralmente in audit.

Note. PAM è riservato ai ruoli di sicurezza (SOC/CISO/PAM admin).

PAM Accessi JIT/JEA

A cosa serve. Gestisce le richieste di accesso privilegiato con modello JIT/JEA (Just-In-Time / Just-Enough-Access): concessione temporizzata e minima.

Quando usarla. Quando un utente necessita di un accesso privilegiato temporaneo a un sistema.

Come aprirla. Dal PAM Hub, riquadro Accessi.

Cosa mostra e come si usa. Le richieste di accesso (SOC-ACCESS-REQ) con approvazione (CISO/SOC) e scadenza; si concede l’accesso per la finestra necessaria e lo si revoca alla scadenza.

Cosa succede dopo. L’accesso concesso è temporizzato e auto-revocato; ogni concessione è tracciata.

Note. Il modello JIT/JEA minimizza i privilegi permanenti.

PAM Account privilegiati

A cosa serve. Gestisce l’inventario degli account privilegiati (amministrativi, di servizio) e il loro ciclo di vita.

Quando usarla. Per censire, ruotare e disattivare gli account privilegiati.

Come aprirla. Dal PAM Hub, riquadro Account.

Cosa mostra e come si usa. L’elenco degli account privilegiati con proprietario, sistema e stato; le azioni di rotazione/disattivazione.

Cosa succede dopo. Le variazioni sono tracciate; gli account non conformi emergono nella Compliance PAM (PAM Compliance).

Note. Collegato al Vault (PAM Vault credenziali).

PAM Vault credenziali

A cosa serve. È la cassaforte delle credenziali privilegiate: custodia sicura e distribuzione controllata dei segreti.

Quando usarla. Per custodire e recuperare in modo sicuro le credenziali privilegiate.

Come aprirla. Dal PAM Hub, riquadro Vault.

Cosa mostra e come si usa. Gli elementi custoditi nel vault con accesso controllato; il recupero è soggetto ad autorizzazione e tracciamento.

Cosa succede dopo. Ogni accesso al segreto è registrato in audit.

Note. Le credenziali non sono mai esposte in chiaro nell’interfaccia oltre il necessario; l’inserimento di segreti è a carico dell’utente.

PAM Sessioni privilegiate

A cosa serve. Gestisce e registra le sessioni privilegiate verso i sistemi.

Quando usarla. Per avviare/sorvegliare una sessione privilegiata e consultarne la registrazione.

Come aprirla. Dal PAM Hub, riquadro Sessioni.

Cosa mostra e come si usa. Le sessioni attive e storiche con utente, sistema, durata e registrazione; da qui si può avviare una sessione (anche via Console PAM, Console PAM (accesso zero-knowledge)).

Cosa succede dopo. Le sessioni sono registrate per audit e revisione.

Note. Supporta il modello zero-knowledge (Console PAM (accesso zero-knowledge)).

PAM Compliance

A cosa serve. Verifica la conformità degli accessi e degli account privilegiati rispetto alle policy.

Quando usarla. Per le revisioni periodiche di conformità PAM.

Come aprirla. Dal PAM Hub, riquadro Compliance.

Cosa mostra e come si usa. Lo stato di conformità (accessi eccessivi, account orfani, mancate rotazioni) e le azioni correttive.

Cosa succede dopo. Le non conformità alimentano i finding e le azioni di remediation.

Note. Collegata a GRC/audit.

Console PAM (accesso zero-knowledge)

A cosa serve. Apre una console privilegiata zero-knowledge verso un CI/sistema, senza esporre le credenziali all’operatore.

Quando usarla. Quando si deve operare su un sistema durante la lavorazione di un ticket (es. incident su un host).

Come aprirla. Dal pulsante Console PAM dell’Editor ticket (Editor ticket) quando il ticket riguarda un CI, o dalla pagina Sessioni PAM.

Cosa mostra e come si usa. La console di sessione verso il sistema, mediata dal PAM: le credenziali sono iniettate dal vault senza essere rivelate.

Cosa succede dopo. La sessione è registrata (PAM Sessioni privilegiate) e tracciata in audit.

Note. Modello zero-knowledge: l’operatore opera senza conoscere il segreto.

SecOps Admin

A cosa serve. È la configurazione dell’automazione di sicurezza (SOAR) e delle politiche di risposta.

Quando usarla. Per configurare lo scoring del rischio, gestire le approvazioni delle azioni di remediation e la loro reversibilità.

Come aprirla. Dalla landing Security Hub, riquadro SecOps Admin.

Cosa mostra. Tre schede:

1. Risk Scoring — Weights Configuration — i pesi e i criteri del punteggio di rischio.
2. Approvals Queue — la coda delle approvazioni delle azioni di remediation.
3. Rollback Stack — lo stack delle azioni reversibili (per annullare una remediation).

Come si usa. Si definiscono i pesi dello scoring; si approvano/rifiutano le azioni in coda; si gestisce il rollback delle azioni eseguite.

Cosa succede dopo. Le azioni approvate vengono eseguite dai playbook SOAR; il rollback annulla gli effetti dove supportato.

Note. La configurazione dei tool di sicurezza (Azure Tenant/Client ID/Secret, Type, Endpoint URL) è confluita nell’Integration Center (Integration Hub e import). Le azioni sensibili (es. execute_script) sono protette da quattro barriere e da una gestione rigorosa dei segreti.

IT Security Report Center

A cosa serve. È la reportistica di sicurezza: postura, vulnerabilità per severità, incidenti, conformità.

Quando usarla. Per produrre e consultare i report di sicurezza.

Come aprirla. Dalla landing Security Hub, riquadro IT Security Report Center.

Cosa mostra e come si usa. Il catalogo dei report di sicurezza con scoping per dominio SOC, anteprima, schedulazione ed export.

Cosa succede dopo. I report sono schedulabili ed esportabili.

Note. Scoping ristretto al dominio sicurezza.

Agent Monitoring

A cosa serve. Monitora gli agenti/endpoint di sicurezza installati sui sistemi.

Quando usarla. Per verificare copertura e stato degli agenti (EDR/monitoring).

Come aprirla. Dalla landing Security Hub / area SecOps.

Cosa mostra e come si usa. Lo stato degli agenti per host (versione, connettività, salute); da qui si individuano gli endpoint scoperti o non sani.

Cosa succede dopo. Le anomalie possono generare alert/ticket.

Note. Complementare all’Attack Surface Management (XDR Ops).

Pagine collegate all’hub (descritte altrove)

Dalla landing Security si raggiungono anche pagine trattate nelle rispettive pagine: GRC (GRC, rischio, compliance e legale), ICC (Anagrafica Progetti / Clienti), CMDB con focus sicurezza (Asset Management e CMDB), ITOM con focus sicurezza (NOC, Observability e ITOM), Agent Control Tower (Hub IA e agenti), Operations Cockpit e le viste Service Director SOC/XDR/GRC/ICC (Cockpit e viste di direzione).