Fintech care raportează unui partener bancar
O echipă de plăți din Chișinău trebuie să arate cine a atins mediul de producție și când. Logurile de acces, corelate cu schimbările de configurare, acoperă întrebările de audit fără muncă manuală.
SIEM și răspuns la incidente în Moldova
Servicii CyberSecurity · Moldova
Loguri păstrate în UE: Frankfurt
SIEM înseamnă un loc unde ajung toate logurile, de la servere și containere până la WAF, VPN și aplicație, plus un set de reguli care leagă evenimentele între ele. Pentru echipele din Moldova care găzduiesc la noi înseamnă practic că vezi tentativele de acces într-un singur tablou de bord, cu alerte triate și un plan scris de reacție.
- Triaj de alerte asistat de AI, nu doar alarme
- Plan de răspuns scris, în română sau rusă
- UE: FrankfurtRezidența logurilor
- cPanel 1 h de la Advanced, VPS 1–8 h, dedicate 5–10 h (în funcție de plan), GPU 10 hOre incluse
- Legea nr. 195/2024, CNPDCP, DPA art. 28 pentru clienți UEConformitate
- bilingv română și rusăSuport
Ce colectăm și ce corelăm
Colectăm jurnalele de sistem, autentificările SSH și de panou, evenimentele de container, blocările din WAF, sesiunile de VPN și logurile aplicației. Le normalizăm, apoi aplicăm reguli de corelare: o autentificare reușită după douăzeci de eșecuri, un cont care apare din două rețele diferite în același minut, un proces nou care deschide o conexiune spre exterior. Fiecare detecție se mapează pe MITRE ATT&CK, ca să știi ce fază de atac vezi și ce urmează de obicei după ea.
- Autentificări, escaladări de privilegii, chei noi
- Trafic de rețea și conexiuni ieșite neobișnuite
- Modificări de configurare și fișiere de sistem
- Blocări din WAF corelate cu erorile aplicației
Triaj asistat de AI și linii de bază UEBA
Problema unui SIEM nu e lipsa alertelor, e excesul. Aici ajută partea de AI: gruparea evenimentelor similare într-un singur caz, scorul de risc pe context și linii de bază de comportament pentru fiecare cont și server, adică UEBA. O conectare la trei dimineața de pe o rețea nouă contează diferit pentru un administrator și pentru un cont de serviciu. În paralel, atacatorii folosesc automatizare pentru a se mișca repede, deci detecția pe comportament prinde ce semnătura ratează.
Unde stau logurile și ce cere legea
Logurile rămân în datacentrele din Frankfurt, deci nu pleacă din Uniunea Europeană. Pentru datele cu caracter personal se aplică Legea nr. 195/2024 și supravegherea CNPDCP, iar noi semnăm acord de prelucrare conform articolului 28 și clauze contractuale standard dacă ai clienți în UE. Regulile europene de raportare a incidentelor nu obligă direct o firmă din Moldova, dar apar frecvent în contractele cu parteneri europeni, așa că ținem termenele scurte de notificare ca practică implicită.
De la alertă la raport post-incident
Detecția fără procedură produce panică. Scriem împreună un plan scurt: cine decide izolarea unui server, cum se revocă o cheie sau o sesiune, de unde se restaurează, pe ce canal se anunță clienții. Orele lunare de CyberSecurity se folosesc bine aici, pentru reguli noi de detecție, exerciții pe un scenariu și revizuirea planului după fiecare schimbare de arhitectură. După un incident real primești raportul cu cronologie, cauză, ce s-a limitat și ce se schimbă ca să nu se repete.
Orele de DevOps, CyberSecurity și Programare sunt incluse în abonament, lună de lună: 1 h de la planul cPanel Advanced în sus, 1–8 h pe VPS și 5–10 h pe serverele dedicate, în funcție de plan, și 10 h pe GPU. Le ceri din panoul de client și propui termenul; cota expiră la sfârșitul lunii calendaristice, iar lucrul de peste cotă se acceptă și se facturează separat, în euro, cu TVA 20 % și factură SFS. Cu abonamentele care includ minimum 2 ore lunare îți construim un site de prezentare, iar cu cele care includ minimum 5 ore, un magazin online — din orele deja plătite în abonament.
Cazuri de utilizare
Furnizor de outsourcing IT
Când lucrezi pe mediile mai multor clienți, separarea logurilor și detecția pe cont de acces contează mai mult decât volumul. Fiecare proiect primește index și alerte proprii.
Rețea de magazine și depozite
Un lanț cu puncte în Chișinău, Bălți și Orhei are case, stocuri și un ERP expus parțial. Urmărim autentificările din afara programului și conexiunile ieșite din rețeaua depozitelor.
Cum lucrăm
Inventar de surse
Facem lista surselor de log care contează: servere, containere, WAF, VPN, aplicație, panou. Stabilim ce se colectează și cât timp se păstrează.
Colectare și normalizare
Instalăm agenții, deschidem doar traseele necesare pe rețeaua privată și verificăm că fiecare sursă ajunge întreagă în index, fără câmpuri pierdute.
Detecții și triaj
Activăm regulile de bază, construim liniile de comportament și calibrăm pragurile o săptămână, până când alertele rămase merită deschise.
Predare cu runbook
Primești tabloul de bord, lista detecțiilor active și runbook-ul de răspuns pe pași, în română sau rusă, plus revizuirea lunară din orele incluse.
Tehnologii
- Wazuh
- OpenSearch
- Grafana Loki
- Suricata
- Sigma
- Filebeat
- TheHive
- Prometheus
Întrebări frecvente
Ce este un SIEM?
Un sistem care adună logurile din toată infrastructura, le normalizează și caută tipare de atac prin reguli de corelare. Rolul lui nu e să stocheze, ci să transforme evenimente separate într-o alertă cu sens: aceeași cheie folosită din două țări, un proces nou care scrie în directoare de sistem.
SIEM sau XDR: ce aleg?
XDR pornește de la telemetria de pe stații și servere și vine cu detecții gata făcute pentru acel perimetru. SIEM-ul acceptă orice sursă de log, inclusiv aplicația și WAF-ul tău, dar cere reguli scrise. Pentru infrastructura găzduită la noi combinația practică e SIEM plus agent pe fiecare server.
Ce SIEM open-source se poate folosi?
Wazuh acoperă bine cazul obișnuit: agent pe server, detecții de integritate a fișierelor, corelare și tablou de bord. Pentru volume mari adăugăm OpenSearch pentru index și Grafana Loki pentru logurile aplicației. Nu depinzi de o licență, iar datele rămân pe infrastructura ta.
Cât timp se păstrează logurile?
Perioada se stabilește la instalare, în funcție de ce cer contractele tale și de spațiul din plan. Practic ținem detaliul recent pentru investigații și un rezumat mai lung pentru audit. Totul rămâne în Frankfurt, cu acces limitat și jurnalizat.
Cum reduc alertele fals pozitive?
Cu context. Grupăm evenimentele similare, ridicăm pragurile unde comportamentul e normal pentru contul respectiv și scriem excepții explicite pentru integrările tale. Pe partea de AI folosim scorul de risc și liniile de bază UEBA, ca alertele repetate să nu mai ajungă în față.
Cine se uită la alerte?
Detecțiile ajung în tabloul de bord și pe canalul de notificare pe care îl alegi, iar echipa ta vede aceleași date ca noi. Munca de investigație și ajustare se face din orele lunare de CyberSecurity incluse în abonament, cu escaladare pe cererea deschisă din panoul de client.
Pornește SIEM pe infrastructura ta
Deschide o cerere din panou și facem inventarul surselor de log. Îți arătăm ce detecții pornim în prima săptămână din orele incluse.