Comprendere le analisi, le notifiche, gli eventi e i timestamp

Obiettivo

Questo articolo spiega cosa Securantis intende con “analisi”, “notifiche” ed “eventi”, come questi elementi arrivano nella vostra area cliente, perché i loro timestamp possono differire e come reagire. È rivolto agli amministratori di account che gestiscono più siti e licenze dall’area cliente Securantis.

Perché è importante

Comprendere questi concetti vi aiuta a:

• interpretare correttamente un rapporto o una notifica;
• determinare se un’azione (sospensione di licenza, invio di notifica, creazione di una licenza) proviene da una scansione, da un webhook o da un’azione manuale;
• diagnosticare sfasamenti temporali e ritardi nelle notifiche.

Definizioni e ruoli

• Analisi: risultato di una scansione o di un controllo eseguito dall’agente installato sul vostro sito (o da un’analisi lato cloud). Un’analisi produce un rapporto strutturato (file rilevati, vulnerabilità, attività sospette) e può generare eventi.

• Evento: voce grezza o strutturata che rappresenta un’azione o uno stato (per esempio: richiesta bloccata, modifica di un file, accesso amministrativo riuscito/fallito, cambio di licenza). Gli eventi costituiscono la materia prima visualizzata nei registri e utile per le indagini.

• Notifica: comunicazione derivata da uno o più eventi/analisi. Una notifica è destinata ad attirare l’attenzione (via e‑mail, cruscotto o riepilogo) quando viene raggiunta una soglia o viene attivata una regola.

Flusso dei dati (semplificato)

1. L’agente sul sito esegue un’analisi o rileva un evento localmente.
2. L’agente invia i dati (eventi/rapporto d’analisi) al cloud Securantis.
3. Il cloud normalizza e memorizza queste voci, le mette in relazione e può generare notifiche in base alle vostre impostazioni.
4. Le notifiche vengono inviate (o messe in coda) e risultano visibili nell’area cliente.

Note sulla sincronizzazione delle licenze e degli eventi esterni

• Gli eventi provenienti da servizi esterni (per es. una notifica di pagamento Stripe) sono trattati da meccanismi distinti che possono modificare lo stato delle licenze (creazione, sospensione, riattivazione). Questi processi sono progettati per evitare duplicazioni (locking/transazione) e si basano sullo stato attuale dell’abbonamento.

• Alcune azioni automatiche di sospensione della licenza sono attivate da eventi di fatturazione (ad esempio, mancato pagamento o cancellazione dell’abbonamento). La sospensione impedisce l’utilizzo delle licenze, ma la decisione finale di ripristinare o rimuovere una licenza resta di natura umana.

Timestamp: perché le date possono differire

Possono apparire diversi timestamp per una stessa voce:

• timestamp sorgente: momento in cui l’evento è stato osservato sul sito (dall’agente) o da un servizio esterno;
• timestamp di ingestione: momento in cui Securantis ha ricevuto e persistito l’evento;
• timestamp di visualizzazione: trasformazione locale (per esempio nel browser) che può applicare un fuso orario o un formato diverso.

Cause frequenti di sfasamento

• Ora locale dell’agente non sincronizzata (NTP assente): l’agente può marcare un evento con un orario locale errato.
• Latenza di rete o code: un rapporto d’analisi voluminoso può impiegare alcuni istanti per arrivare ed essere elaborato prima di apparire. Le spedizioni di email seguono la coda di invio e possono subire ritardi.
• Webhook ripetuti: i webhook esterni (pagamento) possono essere reinviati; il servizio filtra le ripetizioni ma il timestamp del fornitore (es. Stripe) resta legato all’evento d’origine.

Come leggere correttamente le informazioni temporali

1. Verificate l’origine della voce (agente vs servizio esterno). L’origine è generalmente indicata nel dettaglio dell’evento.
2. Preferite il timestamp sorgente per analizzare la cronologia sul sito (es. un’intrusione).
3. Usate il timestamp di ingestione per ricostruire quando Securantis ha effettivamente preso conoscenza dell’evento (utile per correlare con azioni automatiche, come una sospensione di licenza).
4. Se vedete più timestamp, tenete presente che riflettono fasi diverse del trattamento e che un lieve scostamento è normale.

Impostazioni prudenti e buone pratiche

• Sincronizzazione oraria: assicuratevi che i vostri server/siti utilizzino NTP o un servizio tempo attendibile. Un orologio di sistema corretto riduce i falsi diagnostici.
• Regole di notifica: privilegiate soglie ragionevoli (evitate di essere notificati alla prima anomalia non confermata). Configurate destinatari precisi per le notifiche critiche.
• Monitoraggio delle code: se gestite un gran numero di siti, monitorate i tempi di consegna dei rapporti e delle email (ritardi frequenti indicano saturazione o un problema infrastrutturale).

Errori frequenti e diagnostica rapida

• Notifica ricevuta in ritardo: verificate lo stato dell’agente, la connettività di rete e le metriche di elaborazione cloud. Confermate se l’agente ha effettivamente inviato l’evento (log dell’agente).
• Timestamp dell’agente errato: confermate la configurazione NTP/ora del server e il timezone del sistema operativo.
• Comparsa di eventi duplicati: controllate se l’agente si è riavviato e ha reinviato dati; verificate se webhook esterni sono stati reinviati. Il sistema cerca di evitare duplicazioni, ma casi simultanei possono produrre voci ravvicinate.
• Modifica inattesa delle licenze dopo un pagamento: consultate la cronologia degli eventi legati alla fatturazione. Gli stati di abbonamento e i webhook di pagamento (successo/fallimento/cancellazione) sono i trigger più comuni. È possibile effettuare una sincronizzazione manuale dall’area cliente se necessario.

Risoluzione dei problemi passo dopo passo

1. Identificate l’elemento problematico (notifica mancante/ritardata, timestamp incoerente, licenza sospesa).
2. Consultate il dettaglio dell’evento/notifica nell’area cliente per conoscere l’origine (agente, cloud, servizio terzo).
3. Se origine agente: verificate lo stato e i log dell’agente sul sito, la sincronizzazione oraria e la connettività.
4. Se origine esterna (pagamento): verificate le notifiche del fornitore (es. Stripe) e la corrispondenza nella cronologia di fatturazione.
5. Per sospensioni o creazioni di licenze, consultate la cronologia delle licenze: vedrete il contesto (abbonamento, quantità, momento della sincronizzazione).
6. Se necessario, avviate una sincronizzazione manuale delle licenze dall’area cliente per forzare il riallineamento immediato.

Precauzioni e regole di sicurezza

• Le quarantene, i ripristini e le eliminazioni di file richiedono sempre una decisione umana. Securantis non elimina né ripristina automaticamente elementi critici senza conferma esplicita.
• Non trasmettete mai password o chiavi segrete via e‑mail o chat. Per ogni accesso necessario a un intervento a pagamento, utilizziamo l’area cliente sicura dopo pagamento.

Quando contattare il supporto

Contattate il supporto Securantis quando:

• riscontrate sfasamenti sistematici di timestamp dopo aver verificato NTP;
• gli eventi/analisi attesi non compaiono nonostante un agente online;
• licenze sospese senza un evento di fatturazione apparente;
• avete bisogno di aiuto per interpretare una serie di notifiche correlate.

Informazioni da fornire per accelerare l’assistenza

• identificativo del sito/licenza interessato;
• timestamp (sorgente e di ingestione) degli eventi o delle notifiche;
• screenshot del dettaglio della notifica;
• stato e versione dell’agente installato e ora locale del server.

Risultato atteso dopo l’intervento

Dopo la verifica, riceverete:

• spiegazione della cronologia (origine e timestamp);
• misura correttiva (configurazione dell’agente, correzione NTP, ri-sincronizzazione delle licenze) o raccomandazioni se è richiesta un’azione manuale;
• follow-up fino alla risoluzione o indicazione di intervento a pagamento se necessario.

Riepilogo

Analisi, eventi e notifiche sono livelli complementari: le analisi producono eventi, gli eventi alimentano le notifiche. I timestamp corrispondono a fasi diverse (sorgente e ingestione) e lievi scostamenti sono normali. Verificate la sincronizzazione oraria e la connettività degli agenti prima di aprire un ticket per risparmiare tempo. Il supporto è a vostra disposizione se necessitate di una diagnosi approfondita o di un intervento assistito.