Versione 0.1.0
Identificazione
| Voce | Riferimento |
|---|---|
| Data della versione | 11 ottobre 2026 |
| Ambito | Console e funzionalità integrate di monitoraggio, raccolta e investigazione |
Questa è la prima versione presente nella cronologia pubblicata. Le note costituiscono la base funzionale; non sono un elenco di differenze rispetto a una precedente release pubblica.
Monitoraggio e lavoro SOC
La dashboard Priorità SOC riunisce alert aperti, incidenti, Finding ad alto rischio, assegnazioni mancanti e scadenze SLA. I grafici distinguono sorgente e anzianità degli alert, rischio e confidenza dei Finding e ultima osservazione degli asset. I dati incompleti o non disponibili vengono segnalati.
La coda Alert comprende ricerca, filtri, paginazione e dettaglio di eventi, entità, asset e origine. Il percorso operativo permette di associare asset, promuovere un alert a incidente e nascondere/ripristinare record. Cluster tecnici e candidati semantici supportano la review dei raggruppamenti; la gestione dei falsi positivi rimane distinta dalla sola rimozione dalla vista.
I Finding introducono il workspace investigativo con rischio, confidenza, prove, entità, relazioni e mappature MITRE motivate. La review comprende note, feedback, episodi correlati, rivalutazione IOC e disposizioni previste dal workflow del tenant. L'analisi assistita è disponibile quando il relativo agente è configurato.
Gli incidenti permettono assegnazione, gravità, stato, SLA, task, evidenze testuali e allegati, oltre a dati provenienti da Defender. Analisi e raccomandazioni assistite richiedono la valutazione dell'operatore. Riferimenti correnti: Alert, Finding, Indagini.
Organizzazioni e accesso
La Console organizza partner, clienti e tenant e applica ruoli di amministrazione, analisi e lettura. Sono disponibili onboarding, inviti, profilo utente, autenticazione a due fattori, recupero password e lingua italiana/inglese. Le impostazioni tenant comprendono notifiche, SLA, generazione e workflow dei Finding e investigazioni SOC.
Il risultato dell'onboarding e l'effettiva preparazione del Data Plane sono condizioni separate. Per il flusso corrente consulta Organizzazioni e Accessi.
Raccolta, ricerca e inventario
La versione documenta raccolta Syslog UDP/TLS e HTTP, normalizzazione e instradamento per tenant. Sono incluse le famiglie di eventi FortiGate, WatchGuard, QNAP e CEF Ubiquiti/UniFi, oltre ai percorsi di integrazione Acronis, Ubiquiti e Microsoft Defender. Sensori e gateway utilizzano identità e certificati nei percorsi previsti; canali, associazioni e token di servizio vengono gestiti amministrativamente.
La ricerca log usa query e finestre temporali nel tenant selezionato. L'inventario collega identificativi, sorgenti, ultima osservazione, alert, Finding e incidenti; comprende asset manuali, qualità dei dati e viste software/vulnerabilità quando il connector le fornisce. Vedi Integrazioni, Log Search e Asset.
Detection, reputazione e Threat Intelligence
La detection distingue regole live IOC/keyword e regole pianificate Sigma/a soglia. Policy, gravità, finestre, frequenza, approvazione, distribuzione e adozione delle regole condivise appartengono a passaggi separati. Solo le regole abilitate e attive partecipano al percorso previsto.
Hunting consente verifiche puntuali di IP e domini con provider disponibili; le note indicano APIVoid e AbuseIPDB, con quest'ultimo limitato agli IP. Cache e configurazione amministrativa governano le interrogazioni esterne.
Threat Intelligence comprende fonti abilitate, articoli, catalogo IOC e workspace editoriale amministrativo, con anteprima, approvazione, scarto, correzione e ritiro. La gestione degli agenti espone modelli, code, stato, errori, utilizzo e proposte da revisionare. Vedi Detection, Threat Intelligence e Modelli degli agenti.
Requisiti e limiti della versione
- Funzioni e azioni dipendono da ruolo, tenant e integrazioni. Provider di reputazione, Threat Intelligence e agenti AI richiedono la relativa configurazione.
- L'onboarding può creare il tenant nella Console senza completarne provisioning o assegnazione al Data Plane. Può servire il recupero amministrativo.
- Un controllo di connessione positivo non certifica che raccolta e ricerca siano pronte in ogni loro componente.
- Il recupero automatico del provisioning non è disponibile in questa versione.
Queste limitazioni sono quelle della pubblicazione 0.1.0; le versioni successive introducono modifiche ai percorsi di attivazione e recupero.