Agentic SOC: quando l’AI fa il triage e l’umano decide

Perché per una PMI il vero problema non sono gli attacchi che non vedi, ma gli alert che non riesci a leggere — e come un analista AI cambia l'equazione.

Il problema non è la mancanza di dati

Se gestisci l'IT di una PMI e hai un SIEM in casa — Wazuh, tipicamente — non soffri di carenza di informazioni. Soffri del contrario. Il sistema funziona, vede, registra, e ti sommerge. Migliaia di alert al giorno, la maggior parte innocui, alcuni ambigui, pochissimi seri. Il tuo lavoro non è produrre segnali: è capire quali dei mille di oggi meritano che tu smetta di fare tutto il resto.

Questo è il collo di bottiglia reale. Non lo risolvi assumendo, perché i profili SOC costano e scarseggiano. Non lo risolvi alzando le soglie, perché così smetti di vedere anche le cose vere. Ti serve qualcosa che legga tutto al posto tuo e ti consegni solo ciò che conta.

Cosa fa concretamente un analista AI L1

Un SOC agentico — nel nostro caso costruito attorno a Wazuh — mette un analista AI davanti a ogni singolo alert. Non a un campione: a tutti. Per ciascuno produce un verdetto (benigno, sospetto, malevolo), un risk score che ti permette di ordinare la coda per rischio reale e non per la gravità nominale della regola, un arricchimento MITRE ATT&CK che traduce l'evento grezzo nel linguaggio delle tecniche d'attacco, e — la parte che fa la differenza — una motivazione scritta.

Quest'ultimo punto è più importante di quanto sembri. Non ti viene chiesto di fidarti di un'etichetta uscita da una scatola nera. Ti viene consegnato un ragionamento: perché quel verdetto, quali elementi lo sostengono, cosa lo confermerebbe. È un lavoro che puoi verificare, non un oracolo da subire. E il tutto poggia su un corpus di playbook, cioè su conoscenza consolidata applicata caso per caso, non su improvvisazione.

Da mille alert a pochi incidenti

Classificare bene, però, non basta. Mille alert ben etichettati sono ancora mille voci. Il salto vero lo fa un secondo passaggio, l'L2, che smette di guardare l'evento singolo e guarda le relazioni tra gli eventi.

Un attacco reale non produce un alert: ne produce decine, sparse tra host e momenti diversi. Il phishing, l'esecuzione, la persistenza, il movimento laterale. L'L2 correla queste escalation e le fonde in un incidente: una storia coerente, con inizio, sviluppo e perimetro, invece di uno sciame di duplicati che competono per la tua attenzione. È così che migliaia di segnali grezzi diventano una manciata di incidenti su cui ha senso agire. Per un team piccolo, è la differenza tra un carico ingestibile e uno gestibile.

L'automazione che serve, e quella che no

Un SOC agentico può anche rispondere. In casi netti — un IP palesemente malevolo — può bloccarlo in automatico via Wazuh Active Response, dove la velocità conta più della deliberazione. In altri casi prepara l'azione e attende la tua approvazione.

La filosofia è "coordinamento, non autonomia". L'agente agisce da solo dove il rischio d'errore è basso e la certezza alta; dove serve giudizio, si ferma ed escala. Quando è incerto, non tira a indovinare: chiama l'umano. Questo non è un limite, è il criterio che rende il sistema affidabile in produzione. L'AI non sa che quel server "anomalo" sta chiudendo la contabilità e non va isolato alle 17; tu sì.

Un tecnicismo che dice tutto

Un esempio concreto della differenza tra "AI che indovina" e "AI che lavora": un agente può generare decoder direttamente dai log grezzi, testarli con logtest e autocorreggersi finché non funzionano. Un compito che a una persona richiede ore, completato in minuti — e verificato, non tirato a indovinare. È la stessa logica applicata al triage: strumenti veri, prova ed errore misurato, non magia.

Cosa cambia per te, e il nodo NIS2

Sul piano dell'installazione, l'approccio è pulito: il sistema si innesta come connettore sul nodo Wazuh, comunica in mTLS, e le credenziali dell'indexer restano locali. Nessuna esfiltrazione dei tuoi dati sensibili verso l'esterno.

Sul piano della conformità, il vantaggio è diretto. La NIS2 impone tempi stretti per la notifica degli incidenti — un primo alert entro 24 ore. Non rispetti quella scadenza se stai ancora decidendo se i tuoi mille alert sono un incidente o rumore. Avere già un incidente strutturato, con la sua storia, rende la notifica tempestiva realistica.

In ArcaSafe lo eroghiamo come SOC gestito on-prem in alta affidabilità, con un tecnico certificato che segue il servizio e l'integrazione con l'incident response. L'obiettivo non è sostituire il tuo giudizio: è smettere di farti annegare, così che le decisioni che contano arrivino sul tuo tavolo già istruite. Se vuoi vedere cosa significherebbe con i tuoi numeri, scrivici.

—