Il Security Operations Centre dove Symantec gestisce la sicurezza della aziende

I monitor accesi nella sala mostrano informazioni di servizio su attacchi alla sicurezza It, statistiche e grafici, stati di allarme sul malware, ma uno schermo trasmette, come un comune televisore, solo notizie ed eventi dal mondo. Siamo nel Security Operations Centre (Soc) di Symantec a Reading , nel Regno Unito. Le notizie in diretta messe a disposizione degli operatori del centro che opera in tempo reale per la sicurezza delle grandi aziende hanno una precisa ragione: spesso gli attacchi di malware all’infrastrutture delle organizzazioni che Symantec tiene sotto controllo hanno un picco di attività in occasione di grandi eventi internazionali.
Come ricordano in Symantec, anche in occasione del vertice del gruppo dei G8 dell’Aquila il Soc è stato messo in stato di allerta.

Eweekeurope.it ha avuto l’opportunità di visitare, alla porte di Londra, uno dei quattro centri mondiali dai quali i tecnici e gli analisti della sicurezza di Symantec tengono sotto controllo con continuità ogni irregolarità nell’infrastruttura It di 800 aziende nel mondo, i cui nomi ( “ci sono alcune banche italiane”) sono top secret , proprio come i dati che popolano i monitor. Come sottolinea Martin Dipper, direttore del Security Operations Centre , introducendoci alle attività del centro, la capacità di reazione ad un’anomalia del traffico dati che può anticipare un problema di sicurezza per le aziende può arrivare a pochi minuti, anche meno di dieci minuti.

Dipper e il suo team gestiscono questo centro dal 2001. Il sistema dei Soc di Symantec, costruito su quattro sedi negli Usa, in Australia, in Giappone e in Europa ( Reading, UK) , è in grado di coprire”l’intero ciclo del sole “. Ogni giorno , a ore prefissate, un Soc va a riposo passando le consegne a quello successivo. I Soc sono identici nelle loro risorse, collegati tra loro e con le aziende clienti attraverso un data center, e sono in grado di servire in maniera identica e con lo stesso livello di attenzione le necessità delle aziende che aderiscono al servizio. Il lavoro è per così dire bidirezionale, nel senso che la segnalazione o la richiesta di aiuto possono arrivare sia da un’anomalia segnalata dall’azienda sia da un situazione di allerta rilevata dagli analisti del Soc.
Attraverso una rete denominata Gin (Global Intelligence Network) le anomalie vengono analizzate in prima battuta da un software proprietario costato dieci anni di sviluppo in Symantec e “ non replicabile nelle sue funzionalità da nessun’altra azienda “. A questo software spetta una prima analisi della gravità della minaccia generando un’allerta su quattro livelli di allarme . Questa viene portata a conoscenza degli analisti di sicurezza che lavorano nel centro per un esame più approfondito.
Gli analisti specializzati permettono a Symantec di disporre di certificazioni di sicurezza al massimo livello su praticamente tutti i dispositivi e software di protezione esistenti ( anche non di Symantec) e in uso presso le aziende clienti. “Siamo i bravi ragazzi dell’It, ma i cattivi sono al lavoro e quello che succede qui fa parte della battaglia. Siamo la punta di lancia della protezione aziendale”, ricorda Dipper, che non trattiene la voglia di elencare i dati che spiegano l’importanza della rete di protezione di Symantec.

La Global Intelligence Network di Symantec è una delle più evolute nel mondo e comprende oltre 150 milioni di personal computer che fanno da sensori antivirus , 40 mila dispositivi di intrusion detection e firewall in 180 nazioni per un totale di 4300 dispositivi di sicurezza monitorati e gestiti nel mondo Nella Gin transita ogni giorno un terzo del traffico mondiale di email, mentre sono oltre 8 miliardi le email in gestione, ricordando che la recente acquisizione di MessageLabs pone Symantec in diretta concorrenza con altri nomi importanti della posta elettronica gestita come l’accoppiata Google–Postini. Le allerte gestite dal centro sono almeno due milioni al giorno.

Ma il Soc è protetto a sua volta?
“ Certamente anche noi siamo possibili soggetti di attacco – risponde Dipper – ma la cosa è praticamente impossibile. In più almeno due Soc sono sempre online nel mondo . Una società esterna di consulenza conduce un’auditing periodico della scicurezza delle infrastrutture e del controllo degli accessi del personale. La disponibilità uptime del Soc è superiore al 99.99%. Ogni trimestre viene condotto anche un test completo di disaster recovery di ogni centro”.

Categorie: Sicurezza, Tecnologie