È stata analizzata una serie temporale di 60 giorni di telemetria di sicurezza SIEMBIOT per prevedere i volumi di acquisizione degli eventi attesi e valutare gli schemi di attività giornalieri e settimanali ricorrenti.
La telemetria di sicurezza storica raccolta tramite SIEMBIOT è stata utilizzata per valutare se gli schemi ricorrenti della serie temporale potessero fornire una stima affidabile dei volumi futuri di acquisizione degli eventi.
L'obiettivo non era prevedere uno specifico attacco informatico. La ricerca si è concentrata sulla previsione del comportamento atteso della telemetria monitorata stessa e sulla definizione di una baseline futura misurabile con cui confrontare l'attività osservata successivamente.
Dataset e fonte della telemetria
Fonte: telemetria di sicurezza SIEMBIOT
Metrica: numero di eventi di sicurezza acquisiti
Intervallo di aggregazione: 1 ora
Periodo di osservazione: 60 giorni
Osservazioni storiche: 1,440 intervalli orari
Finestra di osservazione: 20 giugno 2026 - 19 agosto 2026, fino alle 14:00 ora locale della piattaforma
Orizzonte di previsione: prossime 24 ore
Il dataset analizzato conteneva un'osservazione per ogni intervallo orario del periodo di 60 giorni.
Non sono stati individuati intervalli orari mancanti, timestamp duplicati o intervalli senza eventi.
Il volume di telemetria osservato variava da 62,516 a 1,934,749 eventi all’ora, con una media complessiva di circa 900,542 eventi all’ora.
Preparazione dei dati e contesto operativo
I conteggi degli eventi sono stati mantenuti su una griglia temporale oraria continua prima della previsione.
È stata fatta un'importante distinzione tra una reale bassa attività di eventi e i periodi in cui il volume di telemetria era influenzato dall'attività operativa.
Un significativo calo dell’acquisizione di eventi osservato il 22 luglio 2026 corrispondeva a un noto evento di manutenzione pianificata.
Poiché questa riduzione non rappresentava il normale comportamento della telemetria, il periodo di manutenzione è stato individuato durante la pre-elaborazione e non è stato trattato come uno schema rappresentativo a basso volume per l'adattamento e la valutazione del modello.
Questa distinzione è importante perché eventi di manutenzione, interruzioni dell'acquisizione, interruzioni dei raccoglitori e altre condizioni operative note possono altrimenti influenzare la baseline attesa appresa dalla telemetria storica.
Schema della serie temporale
La serie storica ha mostrato un chiaro comportamento temporale ricorrente.
L'acquisizione di eventi era generalmente più elevata durante i periodi di lavoro attivo e più bassa durante la notte e nei fine settimana.
La caratteristica ripetibile più marcata era un andamento stagionale settimanale.
L’attività osservata in una determinata ora mostrava una notevole somiglianza con quella registrata alla stessa ora una settimana prima. La correlazione tra la serie temporale e il suo ritardo di 168 ore era di circa 0.78.
Ciò indicava che la stagionalità settimanale era un importante segnale di previsione all'interno della telemetria SIEMBIOT analizzata.
Metodologia di previsione
Sono stati valutati più approcci di previsione, anziché scegliere un modello in anticipo.
Sono stati confrontati i seguenti modelli:
Seasonal Naive 24h - prevede un’ora utilizzando il valore osservato alla stessa ora del giorno precedente;
Seasonal Naive 168h - prevede un’ora utilizzando il valore osservato alla stessa ora una settimana prima;
Holt-Winters 24h - livellamento esponenziale basato sulla stagionalità giornaliera;
Holt-Winters 168h - livellamento esponenziale basato sulla stagionalità settimanale.
I modelli Holt-Winters sono stati inclusi per stabilire se un modello più complesso, che combina livello, tendenza e stagionalità, potesse migliorare l'accuratezza della previsione rispetto a semplici baseline stagionali storiche.
Poiché il dataset contiene circa 8.5 cicli settimanali completi, il modello Holt-Winters a 168 ore è stato considerato esplorativo e i suoi risultati sono stati valutati rispetto alla più semplice baseline stagionale settimanale.
Valutazione della previsione
L’accuratezza della previsione è stata valutata mediante validazione a origine mobile.
Sono state valutate sette finestre di previsione consecutive di 24 ore. In ogni punto di previsione è stata utilizzata solo la telemetria storica disponibile prima dell'inizio di tale finestra.
Ciò riproduce lo scenario operativo di previsione in modo più fedele rispetto alla suddivisione casuale di una serie temporale in osservazioni di addestramento e di test.
I risultati medi sulle finestre di previsione valutate sono stati:
ModelloMAERMSEMAPEWAPESeasonal Naive 168h67,45594,7997.18%7.69%Holt-Winters 168h80,10090,8929.46%8.96%Seasonal Naive 24h114,262185,05412.47%13.28%Holt-Winters 24h233,581263,47028.58%27.36%
Il modello Seasonal Naive a 168 ore ha prodotto i valori medi più bassi di MAE, MAPE e WAPE ed è stato quindi selezionato per la previsione finale a 24 ore.
Holt-Winters con stagionalità settimanale ha prodotto un RMSE leggermente inferiore, indicando prestazioni migliori rispetto ad alcuni degli errori individuali più ampi, ma i suoi errori assoluti e percentuali medi sono rimasti più elevati.
Il risultato dimostra anche un importante principio della previsione: un modello più complesso non fornisce automaticamente una previsione più accurata.
Per questo dataset, lo schema di telemetria settimanale ricorrente ha fornito una baseline di previsione più solida rispetto alle configurazioni Holt-Winters valutate.
Risultato della previsione a 24 ore
Dopo la valutazione dei modelli, il modello stagionale settimanale selezionato è stato applicato per prevedere l'acquisizione di eventi SIEMBIOT nelle 24 ore successive.
Periodo di previsione: 19 agosto 2026 14:00 - 20 agosto 2026 14:00
Volume di eventi previsto: 22,148,246 eventi
Volume medio previsto: 922,844 eventi all’ora
Volume di picco previsto: 1,278,860 eventi all’ora
Picco atteso: 20 agosto 2026 intorno alle 09:00
È stato calcolato anche un intervallo di previsione empirico a partire dai residui storici della previsione.
Al picco atteso, l’intervallo empirico al 95% approssimativo era:
1,148,162 - 1,457,092 eventi all'ora
L'intervallo rappresenta la gamma di volumi di telemetria ragionevolmente coerenti con i recenti errori di previsione.
I valori al di fuori di questo intervallo non devono essere classificati automaticamente come attività dannosa, ma possono costituire un utile segnale per ulteriori indagini operative o di sicurezza.
Scostamento dalla previsione e contesto di sicurezza
La previsione di serie temporali crea un punto di riferimento dinamico per valutare la telemetria osservata successivamente.
Il processo può essere rappresentato come:
Telemetria storica -> Prevedere l'attività attesa -> Osservare l'attività reale -> Misurare lo scostamento dalla previsione -> Analizzare le variazioni significative
Ad esempio:
Previsione: 920,000 eventi/ora
Effettivo: 1,450,000 eventi/ora
Risultato: attività significativamente superiore alla baseline attesa
Un ampio scostamento può avere diverse spiegazioni, tra cui:
maggiore attività di endpoint o utenti;
onboarding di nuove fonti di telemetria;
modifiche alla configurazione della registrazione degli eventi;
scansione delle vulnerabilità;
attività esterna automatizzata;
distribuzione di software;
degrado dell'acquisizione;
problemi di infrastruttura;
oppure attività legata alla sicurezza.
Sono rilevanti anche gli scostamenti inferiori all'intervallo atteso.
Una riduzione persistente del volume di eventi può indicare problemi dei raccoglitori, analizzatori sintattici non funzionanti, fonti di log non disponibili o altre condizioni che influiscono sulla copertura del monitoraggio.
La previsione fornisce quindi un contesto per l'analisi, ma non determina da sola se si sia verificato un incidente di cybersicurezza.
Relazione con il rilevamento delle anomalie
La previsione e il rilevamento delle anomalie rispondono a domande complementari.
La previsione di serie temporali stima quale attività di telemetria sia attesa in futuro.
Il rilevamento delle anomalie individua l’attività osservata che differisce in modo significativo da un andamento atteso o precedentemente stabilito.
I due approcci possono quindi essere combinati:
Telemetria storica -> Baseline di previsione -> Telemetria reale -> Scostamento dalla previsione -> Analisi delle anomalie
La previsione può fornire una baseline dinamica aggiuntiva per la ricerca di SIEMBIOT sulle anomalie, preservando al tempo stesso la distinzione tra uno schema di telemetria inatteso e un incidente di sicurezza confermato.
Valore operativo
La previsione del volume di acquisizione degli eventi può fornire un contesto utile sia per il monitoraggio SOC sia per le operazioni SIEM.
I possibili usi operativi includono:
monitoraggio proattivo del comportamento della telemetria;
individuazione di volumi di acquisizione inaspettatamente alti o bassi;
definizione di una baseline attesa dinamica;
validazione della continuità della telemetria;
rilevamento di possibile degrado dell'acquisizione;
pianificazione di infrastruttura e risorse;
confronto tra attività di sicurezza prevista e reale.
Per la pianificazione dell'infrastruttura, la previsione puntuale media non deve essere usata come unico riferimento di capacità.
Gli intervalli di previsione superiori sono più utili per valutare la capacità di acquisizione che può essere necessaria nei periodi di volume più elevato.
È inoltre importante distinguere il conteggio degli eventi da metriche di infrastruttura come gli eventi al secondo (EPS) o il volume di dati.
I conteggi orari degli eventi non evidenziano brevi picchi di acquisizione e il conteggio degli eventi non si traduce direttamente in gigabyte, perché la dimensione degli eventi varia tra le fonti di telemetria.
Per un dimensionamento dettagliato dell'infrastruttura SIEM sarebbe quindi necessaria una previsione separata basata su intervalli di tempo più brevi o sui byte acquisiti.
Limitazioni
La ricerca presenta diverse limitazioni.
Periodo di osservazione. Il dataset copre 60 giorni e non può quindi cogliere andamenti mensili, trimestrali o annuali di più lungo periodo.
Dipendenza settimanale. Il modello selezionato presuppone che l’attività del periodo successivo rimanga simile a quella delle ore corrispondenti della settimana precedente.
Cambiamenti ambientali. Nuove sorgenti di log, distribuzioni di agenti, modifiche di configurazione o sistemi dismessi possono alterare la baseline di telemetria e richiedere una ricalibrazione della previsione.
Eventi operativi noti. I periodi di manutenzione e le interruzioni dell’acquisizione devono essere identificati affinché non vengano interpretati erroneamente come normale comportamento della telemetria.
Aggregazione oraria. Le brevi raffiche di eventi all’interno di un’ora non sono rappresentate dalla previsione oraria e possono richiedere una previsione a risoluzione più fine.
Orizzonte di previsione. La valutazione si applica specificamente a un orizzonte di previsione di 24 ore. Previsioni a più lungo termine richiederebbero una validazione separata.
Conclusione
È stato analizzato un dataset di 60 giorni contenente 1,440 osservazioni orarie di acquisizione di eventi SIEMBIOT per stabilire se la telemetria di sicurezza storica potesse essere utilizzata per prevedere l’attività futura attesa.
L’analisi ha individuato un forte andamento settimanale ricorrente, con una correlazione di circa 0.78 a un ritardo di 168 ore.
Quattro approcci di previsione sono stati confrontati mediante validazione mobile a 24 ore.
Per il dataset analizzato, la previsione stagionale a 168 ore ha prodotto le migliori prestazioni complessive, ottenendo in media un MAE di circa 67,455 eventi all’ora e un MAPE di circa 7.18%.
Il modello selezionato ha previsto circa 22.15 milioni di eventi di sicurezza nel successivo periodo di 24 ore, con una media attesa di circa 922,844 eventi all’ora.
La ricerca dimostra che la telemetria storica di SIEMBIOT può essere utilizzata non solo per analizzare l'attività osservata in precedenza, ma anche per definire una baseline di telemetria futura attesa.
Il confronto di questa baseline con l'attività osservata successivamente può fornire un contesto aggiuntivo per il monitoraggio SOC, la validazione della telemetria, la pianificazione della capacità e l'analisi delle anomalie.
La previsione in sé non prevede un attacco informatico né individua da sola comportamenti dannosi. Fornisce un riferimento atteso rispetto al quale la telemetria futura può essere misurata e analizzata.
