ESPERIENZE

▸ case_study

Hardening SOC L1 e regole detection per dominio automotive

// problema / contesto

AUDES operava in ambiente automotive con SOC L1 reattivo. Mancavano regole tarate per TTP del settore (phishing su supplier chain, lateral movement tra IT e OT bridged) e il SIEM generava un tasso di false positive intorno al 40%, saturando l'attenzione del team.

// approccio

• >Audit della configurazione SIEM e mappatura gap rispetto a MITRE ATT&CK Enterprise + sotto-matrice ICS
• >Onboarding di 12 correlation rule mirate al settore automotive (accessi fuori orario a sistemi OT, anomalie su credenziali condivise da contractor)
• >Threshold-based alerting per ridurre noise (es. >5 fail-login in 10min da stesso IP scattava una rule, non un alert)
• >Revisione del security portal per allineamento ISO 9001 (clausola 8.5) e GDPR (Art. 32)
• >Setup blacklist dinamiche aggiornate da feed CISA KEV + AlienVault OTX

// stack tecnico

// outcome

• ✓Riduzione del 38% del false positive rate sui ticket SOC L1
• ✓12 detection rule automotive-specific operative in produzione
• ✓MTTD (mean time to detect) sceso da 22h a 4h
• ✓Audit interno ISO 9001 / GDPR passato senza gap rilevati

▸ case_study

Refactoring infrastruttura multi-sede SAP Business One

// problema / contesto

8 sedi retail gestite via SAP Business One su DB HANA condiviso. Le sedi periferiche soffrivano di latenza media ~800ms sulle query di anagrafica e crash settimanali del client SAP per timeout di connessione. Il supporto IT era reattivo e frammentato per sede.

// approccio

• >Audit performance del cluster HANA e analisi traffico WAN tra sede centrale e remote
• >Migrazione delle tabelle non transazionali (anagrafiche, listini) verso MySQL 8.0 replicato in read-replica per ciascuna sede
• >Implementazione di un caching layer Redis applicativo per query ad alta frequenza
• >Centralizzazione del ticketing su Zammad con SLA differenziati per sede e priorità
• >Onboarding di TeamViewer Tensor con vault centralizzato per credenziali remote

// stack tecnico

// outcome

• ✓Riduzione del 65% della latency su query di lettura frequenti
• ✓Zero crash del client SAP per 6 mesi consecutivi post go-live
• ✓Resolution time medio L2 sceso da 4h a 1.5h
• ✓NPS interno dei sede manager salito da 38 a 71

▸ case_study

Hardening CED industriale legacy con EDR e segmentazione CISCO

// problema / contesto

Infrastruttura piatta in singola VLAN: AS/400 legacy, server Windows 2012R2, ~70 workstation miste Win 7/10. Antivirus consumer (Avast Free) e nessun EDR. Q4 2021 incident ransomware-like che ha causato 18h di fermo produzione.

// approccio

• >Asset inventory completo via nmap + Lansweeper su 70+ endpoint e 12 server
• >Segmentazione VLAN sul core CISCO Catalyst 9300: office / OT / management / DMZ
• >ACL inter-VLAN con allow-list esplicite per servizi business-critical (AS/400 RPC, SAP, file share)
• >Rollout EDR enterprise (SentinelOne) in due fasi: pilota su 10 endpoint, poi flotta completa
• >Disattivazione SMBv1 globale, SMB signing forzato sull'integrazione AS/400
• >Patch management centralizzato via WSUS con reporting compliance settimanale

// stack tecnico

// outcome

• ✓Da 1 VLAN piatta a 4 VLAN segmentate con ACL inter-VLAN
• ✓70 endpoint sotto EDR enterprise (da zero)
• ✓Superficie d'attacco esposta ridotta del ~62% (porte mappate vs. baseline)
• ✓Zero incidenti security per 5 mesi consecutivi post go-live
• ✓Gap closure audit IT-Service passato da 80% a 95%

▸ case_study

Monitoring proattivo e tier-up del flusso ticket L1

// problema / contesto

Team dev di ~25 persone su VMware ESXi (dev/staging/prod). Monitoring reattivo (problemi notificati direttamente dai dev), ticket flow disorganizzato con escalation manuale L1→L2 e MTTR medio sui 5h. Knowledge base praticamente assente.

// approccio

• >Implementazione stack observability: Prometheus (metriche infra), Grafana (dashboard), Loki (log aggregation)
• >Alerting tarato su SLO definiti coi lead dev (es. p95 latency build pipeline < 8min)
• >Riorganizzazione runbook L1 con decision tree che copre l'80% degli alert ricorrenti
• >Setup on-call rotation strutturata (2 settimane on/off) con PagerDuty
• >Documentazione knowledge base in Confluence con 50+ runbook L1 versionati

// stack tecnico

// outcome

• ✓MTTR sceso da 5h media a 1.8h (-64%)
• ✓50+ runbook L1 documentati, tier 1 autosufficiente
• ✓80% degli alert risolti senza escalation a L2
• ✓Ticket aging > 48h sceso dal 12% al 2%