Tre pezzi del moderno SOC che rispondono a domande diverse:
- SIEM (Security Information and Event Management) – il cervello che vede tutto: raccoglie log ed eventi da ogni fonte e li correla per far emergere gli incidenti dal rumore. È il centro di gravità, ma di suo produce allarmi, non azioni
- SOAR (Security Orchestration, Automation and Response) – le braccia: prende gli allarmi e li automatizza in risposte con i playbook (arricchisci, blocca l'IP, isola l'endpoint, apri il ticket) – la cura contro l'alert fatigue
- XDR (eXtended Detection and Response) – l'approccio integrato e pronto all'uso: unifica telemetria e risposta su endpoint, rete, identità e cloud in un'unica piattaforma, con detection già incluse. Meno da assemblare di un SIEM+SOAR, meno flessibile
La distinzione pratica: SIEM+SOAR è l'approccio modulare (potente, richiede integrazione e competenza), XDR è quello a piattaforma (rapido, più chiuso). Nel self-hosting, Wildbox prova a unificare SIEM+SOAR (+WAF) per abbassare la soglia d'ingresso; l'alternativa modulare open source è Wazuh o uno stack ELK. Qualunque scelta, il fondamento resta uno: log fatti bene, o nessuna piattaforma serve.