Inviare i dati di Security Command Center a IBM QRadar

Questa pagina spiega come inviare automaticamente risultati, asset, log di controllo e origini di sicurezza di Security Command Center a IBM QRadar. Descrive inoltre come gestire i dati esportati. QRadar è una piattaforma SIEM (Security Information and Event Management) che importa i dati di sicurezza da una o più origini e consente ai team di sicurezza di gestire le risposte agli incidenti ed eseguire analisi in tempo reale.

In questa guida, assicurati che i servizi Security Command Center e Google Cloud richiesti siano configurati correttamente e abilita QRadar ad accedere ai risultati, ai log di controllo e alle risorse nel tuo ambiente Security Command Center.

Prima di iniziare

Questa guida presuppone che tu stia utilizzando QRadar (v7.4.1 Fix Pack 2 o versioni successive). Per iniziare a utilizzare QRadar, consulta Registrarsi a QRadar.

Configurare l'autenticazione e l'autorizzazione

Prima di connetterti a QRadar, devi creare un account di servizio Identity and Access Management (IAM) in ogni organizzazione Google Cloud che vuoi collegare e concedere all'account i ruoli IAM sia a livello di organizzazione sia a livello di progetto di cui ha bisogno l'app Google SCC per QRadar.

Creare un account di servizio e concedere i ruoli IAM

I passaggi che seguono utilizzano la console Google Cloud. Per altri metodi, consulta i link alla fine di questa sezione.

Completa questi passaggi per ogni organizzazione Google Cloud da cui vuoi importare i dati di Security Command Center.

  1. Nello stesso progetto in cui crei gli argomenti Pub/Sub, utilizza la pagina Account di servizio nella console Google Cloud per creare un account di servizio. Per le istruzioni, vedi Creazione e gestione degli account di servizio.

  2. Concedi all'account di servizio il seguente ruolo:

    • Editor Pub/Sub (roles/pubsub.editor)

  3. Copia il nome dell'account di servizio appena creato.

  4. Utilizza il selettore dei progetti nella console Google Cloud per passare al livello dell'organizzazione.

  5. Apri la pagina IAM dell'organizzazione:

    Vai a IAM

  6. Nella pagina IAM, fai clic su Concedi l'accesso. Viene visualizzato il riquadro Concedi accesso.

  7. Nel riquadro Concedi l'accesso, completa i seguenti passaggi:

    1. Nella sezione Aggiungi entità del campo Nuove entità, incolla il nome dell'account di servizio.

    2. Nella sezione Assegna ruoli, utilizza il campo Ruolo per concedere all'account di servizio i seguenti ruoli IAM:

    3. Editor amministratore Centro sicurezza (roles/securitycenter.adminEditor)
    4. Editor configurazioni notifiche Centro sicurezza (roles/securitycenter.notificationConfigEditor)
    5. Organization Viewer (roles/resourcemanager.organizationViewer)
    6. Cloud Asset Viewer (roles/cloudasset.viewer)

    7. Fai clic su Salva. L'account di servizio viene visualizzato nella scheda Autorizzazioni della pagina IAM in Visualizza per entità.

      Per eredità, l'account di servizio diventa un principale anche in tutti i progetti secondari dell'organizzazione. I ruoli applicabili a livello di progetto sono elencati come ruoli ereditati.

Per ulteriori informazioni sulla creazione di account di servizio e sulla concessione di ruoli, consulta i seguenti argomenti:

Fornisci le credenziali a QRadar

A seconda di dove ospiti QRadar, la modalità di impostazione delle credenziali IAM in QRadar varia.

Configura le notifiche

Completa questi passaggi per ogni organizzazione Google Cloud da cui vuoi importare i dati di Security Command Center.

  1. Configura le notifiche dei risultati come segue:
    1. Abilita l'API Security Command Center.
    2. Crea un filtro per esportare i risultati e le risorse desiderati.
    3. Crea tre argomenti Pub/Sub: uno per i risultati, uno per i log di controllo e uno per gli asset. NotificationConfig deve utilizzare l'argomento Pub/Sub che hai creato per i risultati.

  2. Crea un sink per i log di controllo, come descritto in Raccogliere ed eseguire il routing dei log a livello di organizzazione verso destinazioni supportate. Il sink deve utilizzare l'argomento Pub/Sub che hai creato per gli audit log. Ad esempio:

    gcloud logging sinks create SINK_NAME SINK_DESTINATION \
  --include-children \
  --organization=ORGANIZATION_ID \
  --log-filter=FILTER

    Sostituisci quanto segue:

    • SINK_NAME con il nome dell'obiettivo del log di controllo.

    • SINK_DESTINATION con pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID

    • ORGANIZATION_ID con l'ID della tua organizzazione.

    • FILTER con logName:activity, logName:data_access, logName:system_event o logName:policy.

  3. Concedi il ruolo Publisher Pub/Sub (roles/pubsub.publisher) all'account di servizio della destinazione.

  4. Abilita l'API Cloud Asset per il tuo progetto.

  5. Crea feed per le tue risorse. Devi creare due feed nello stesso argomento Pub/Sub, uno per le risorse e un altro per i criteri IAM (Identity and Access Management).

    • L'argomento Pub/Sub per gli asset deve essere diverso da quello utilizzato per i risultati.
    • Per il feed delle risorse, utilizza il seguente filtro: content-type=resource.
    • Per il feed dei criteri IAM, devi utilizzare il seguente filtro: content-type=iam-policy --asset-types="cloudresourcemanager.googleapis.com/Project".

Per configurare QRadar, sono necessari gli ID organizzazione e i nomi delle sottoscrizioni Pub/Sub.

Installa l'app Google SCC per QRadar - QRadar v7.4.1FP2 e versioni successive

In questa sezione, installi l'app Google SCC per QRadar - QRadar v7.4.1FP2+ (v3.0.0). L'app, manutenuta da Security Command Center, automatizza il processo di pianificazione delle chiamate all'API Security Command Center e recupera regolarmente i dati di Security Command Center per utilizzarli in QRadar.

L'installazione dell'app richiede l'accesso alla macchina della console QRadar tramite un'interfaccia web.

Per completare l'installazione:

  1. Scarica l'app Google SCC per QRadar da IBM App Exchange.
  2. Accedi alla console QRadar all'indirizzo https://QRadar_Console_IP.
  3. Nel menu della console, fai clic su Amministrazione e seleziona Gestione estensioni.
  4. Per selezionare il file ZIP scaricato, fai clic su Aggiungi. Segui le istruzioni durante la preparazione dell'installazione.
  5. Seleziona Avvia un'istanza predefinita per ogni app.
  6. Fai clic su Installa. Al termine dell'installazione, viene visualizzato un elenco di componenti dell'applicazione.
  7. Fai clic sulla scheda Amministrazione e poi su Esegui il deployment delle modifiche.
  8. Svuota la cache del browser e aggiorna la finestra del browser.
  9. Vai a Gestione estensioni. Dovresti vedere App Google SCC per QRadar con lo stato Installata.

Configurare l'app Google SCC

In questa sezione, configuri l'app Google SCC. Per completare la configurazione, segui questi passaggi:

  1. Vai alla scheda Amministrazione in QRadar.
  2. Fai clic su Impostazioni app SCC di Google.
  3. Fai clic su Aggiungi organizzazione Google SCC.

  4. Inserisci le seguenti variabili in base alle esigenze:

    • JSON dell'account di servizio: il file JSON che include la chiave dell'account di servizio

      Se ospiti il deployment di QRadar in Google Cloud, questo campo non è disponibile. Assicurati di fornire all'account di servizio collegato alla VM le autorizzazioni IAM per ogni organizzazione Google Cloud. Per ulteriori informazioni, consulta Fornire le credenziali a QRadar.

    • Configurazione delle credenziali: il file di configurazione delle credenziali scaricato durante la configurazione della federazione delle identità per i carichi di lavoro

    • ID organizzazione: l'ID della tua organizzazione

    • Nome sottoscrizione risultati: il nome della sottoscrizione Pub/Sub per le notifiche sui risultati

    • Nome sottoscrizione asset: il nome della sottoscrizione Pub/Sub per il feed di asset

    • Abilita la raccolta degli audit log: seleziona l'invio degli audit log all'istanza QRadar

      • Nome sottoscrizione log di controllo: il nome della sottoscrizione Pub/Sub per l'obiettivo dei log di controllo

    • Intervallo: il numero di secondi tra le chiamate Pub/Sub durante la raccolta dei dati in tempo reale

    • Token di autorizzazione QRadar: il token per l'istanza QRadar. Per recuperare un token:

      1. Vai alla scheda Amministrazione in QRadar.
      2. In Gestione utenti, fai clic su Servizio autorizzato.
      3. Copia il token di autorizzazione con Amministratore come ruolo utente e Amministratore come profilo di sicurezza. Se non hai un token, creane uno facendo clic su Aggiungi servizio autorizzato.
      4. Fai clic su Esegui il deployment delle modifiche e poi aggiorna la finestra del browser.

  5. Per inserire i dettagli facoltativi della configurazione del proxy, fai clic sul pulsante di attivazione/disattivazione Attiva/Disattiva proxy e inserisci le impostazioni del proxy:

    • IP/Nome host: l'indirizzo IP o il nome host del server proxy (non includere il prefisso HTTP/HTTPS).
    • Porta: la porta del server proxy
    • Nome utente: il nome utente utilizzato per il proxy di autenticazione
    • Password: la password utilizzata per il proxy di autenticazione

  6. Fai clic su Salva.

  7. Ripeti questi passaggi per ogni organizzazione Google Cloud da integrare.

La configurazione dell'app viene archiviata e le tue organizzazioni vengono aggiunte alla pagina di configurazione dell'app. Le sezioni seguenti spiegano come visualizzare e gestire i dati di Security Command Center nel servizio.

Esegui l'upgrade dell'app Google SCC

In questa sezione, esegui l'upgrade di un'app Google SCC per QRadar esistente alla versione più recente.

Per completare l'upgrade:

  1. Scarica la versione più recente dell'app SCC di Google da IBM App Exchange.
  2. Accedi alla console QRadar all'indirizzo https://QRadar_Console_IP.
  3. Nel menu della console, fai clic su Amministrazione e seleziona Gestione estensioni.
  4. Per selezionare il file ZIP scaricato, fai clic su Aggiungi. Segui le istruzioni durante la preparazione dell'upgrade.
  5. Seleziona Sostituisci elementi esistenti e Avvia un'istanza predefinita per ogni app.
  6. Fai clic su Installa. Al termine del processo di upgrade, viene visualizzato un elenco di componenti dell'applicazione.
  7. Fai clic sulla scheda Amministrazione e poi su Esegui il deployment delle modifiche.
  8. Svuota la cache del browser e aggiorna la finestra del browser.
  9. Vai a Gestione estensioni. Dovresti vedere App Google SCC per QRadar con lo stato Installata.

  10. Rimuovi i log dell'applicazione dagli utenti che accedono all'applicazione da QRadar utilizzando SSH:

    1. Scarica la versione più recente dell'app Reference Data Management da IBM App Exchange.

    2. Accedi alla console QRadar all'indirizzo https://QRadar_Console_IP.

    3. Nel menu della console, fai clic su Amministrazione e seleziona Gestione estensioni.

    4. Per selezionare il file ZIP scaricato, fai clic su Aggiungi. Segui le istruzioni per installare l'applicazione.

    5. Nella console, vai alla dashboard Gestione dei dati di riferimento.

    6. Fai clic su Mappa di riferimento.

    7. Seleziona asset_owners e fai clic su Cancella dati.

Visualizzare i dati esportati in QRadar

Questa sezione descrive le funzionalità pertinenti disponibili in QRadar, tra cui la ricerca di risultati, log di controllo e asset, la visualizzazione dei criteri IAM e la visualizzazione di dashboard personalizzate.

Cerca i dati

Per cercare i dati di Security Command Center in QRadar, utilizza il riquadro Attività log. Puoi visualizzare gli elementi estratti, gli asset, i log di controllo e le origini di sicurezza e applicare filtri in stile SQL per perfezionare i dati.

Visualizza i dati dei criteri IAM

Per visualizzare i dati dei criteri IAM per le risorse:

  1. Scarica e installa l'applicazione Reference Data Management dal portale IBM App Exchange.
  2. Fai clic sulla dashboard Gestione dei dati di riferimento in QRadar.
  3. Nel pannello di navigazione, fai clic su Mappa di riferimento.
  4. Seleziona asset_owners. La dashboard viene compilata con i dati dei criteri IAM.

dashboard personalizzate

Puoi utilizzare le dashboard personalizzate in QRadar per visualizzare e analizzare risultati, asset e origini di sicurezza.

Panoramica

La dashboard Panoramica mostra il numero totale di risultati, minacce e vulnerabilità nelle tue organizzazioni Google Cloud. I risultati vengono compilati dai servizi integrati di Security Command Center, come Security Health Analytics, Web Security Scanner, Event Threat Detection e Container Threat Detection, nonché da eventuali servizi integrati che attivi.

Puoi filtrare i dati per aggiornare le visualizzazioni, specificare l'organizzazione Google Cloud e recuperare nuovi dati su richiesta.

Asset

La scheda Asset mostra una tabella dei tuoi asset Google Cloud. I dati della tabella includono il nome dell'asset, il tipo di asset, i proprietari delle risorse, l'ora dell'ultimo aggiornamento e i link alla pagina Asset di Security Command Center nella console Google Cloud.

Puoi cercare e filtrare i dati delle risorse in base all'organizzazione, all'intervallo di tempo e al tipo di risorsa, nonché visualizzare i risultati per risorse specifiche.

Fonti

La scheda Origini mostra una tabella delle origini di sicurezza, tra cui nome, nome visualizzato e descrizione dell'origine. Facendo clic sul nome di un'origine, puoi visualizzare i risultati relativi a quell'origine.

Risultati

La scheda Risultati mostra una tabella dei risultati della tua organizzazione. Puoi eseguire ricerche nella tabella e filtrare l'elenco in base all'intervallo di tempo, alla categoria, alla gravità, alla fonte di sicurezza, all'asset e al nome del progetto.

Le colonne della tabella includono nome del rilevamento, categoria, nome della risorsa, nome dell'origine della sicurezza, segni di sicurezza, gravità, nome del progetto, ora dell'evento, classe del rilevamento e stato dell'aggiornamento. Se fai clic sul nome di un risultato, la pagina ti reindirizzerà alla pagina Risultati di Security Command Center nella console Google Cloud e verranno visualizzati i dettagli del risultato selezionato.

Nella colonna Aggiorna stato, puoi aggiornare lo stato di un rilevamento. Per indicare che stai esaminando attivamente un risultato, fai clic su Contrassegna come ATTIVO. Se non stai esaminando attivamente un rilevamento, fai clic su Contrassegna come NON ATTIVO.

Audit log

La dashboard Log di controllo mostra una serie di grafici e tabelle che mostrano le informazioni dei log di controllo. Gli audit log inclusi nella dashboard sono quelli relativi all'attività di amministrazione, all'accesso ai dati, agli eventi di sistema e agli accessi negati in base ai criteri. La tabella include l'ora, il nome del log, la gravità, il nome del servizio, il nome della risorsa e il tipo di risorsa.

Controllare i log dell'applicazione

  1. Accedi a QRadar tramite SSH.

  2. Elenca tutte le applicazioni installate e i relativi valori App-ID:

    /opt/qradar/support/recon ps

    L'output è simile al seguente. Prendi nota del App-ID dell'app Google SCC.

    App-ID  Name                                    Managed Host ID Workload ID             Service Name    AB       Container Name          CDEGH          Port          IJKL
1101    QRadar Log Source Management            53              apps                    qapp-1101       ++           qapp-1101           +++++          5000          ++++
1104    QRadar Assistant                        53              apps                    qapp-1104       ++           qapp-1104           +++++          5000          ++++
1105    QRadar Use Case Manager                 53              apps                    qapp-1105       ++           qapp-1105           +++++          5000          ++++
1163    IBM QRadar Pre-Validation App Service   53              apps                    qapp-1163       ++           qapp-1163           +++++          5000          ++++
1164    IBM QRadar Pre-Validation App UI        53              apps                    qapp-1164       ++           qapp-1164           +++++          5000          ++++
1170    Google SCC                              53              apps                    qapp-1170       ++           qapp-1170           +++++          5000          ++++

  3. Connettiti al contenitore dell'app Google SCC:

    /opt/qradar/support/recon connect APP_ID

    Sostituisci APP_ID con il App-ID dell'app Google SCC.

  4. Vai alla directory dei log:

    cd /opt/app-root/store/log

  5. Elenca tutti i file nella directory:

    ls

  6. Visualizza i contenuti di un file:

    cat FILENAME

    Sostituisci FILENAME con il nome del file.

Disinstallare l'app Google SCC

Per disinstallare l'app Google SCC:

  1. Vai alla scheda Amministrazione.
  2. Seleziona Gestione estensioni.
  3. Seleziona App Google SCC per QRadar - QRadar v7.4.1FP2+.
  4. Fai clic su Disinstalla.

Se disinstalli l'applicazione, le proprietà evento personalizzate, le mappe di riferimento, le dashboard e le origini log fornite dall'app SCC di Google vengono rimosse.

Problemi noti

Questa sezione elenca i problemi noti relativi alle dashboard dell'app Google SCC e di QRadar.

v1.0.0

  • Nella dashboard Panoramica, il riquadro Risultati per gravità nel tempo visualizza un errore tecnico per dati superiori a 250.000 risultati e il processo Flask, che compila le dashboard, viene riavviato nel backend. Per evitare questo problema, seleziona un intervallo di tempo più breve per la dashboard.

    Questo problema è stato risolto nella versione 2.0.0.

  • Gli asset eliminati potrebbero essere visualizzati nella dashboard Asset a causa di un comportamento imprevisto della funzione AQL GROUP BY.

v2.0.0

  • Gli asset eliminati potrebbero essere visualizzati nella dashboard Asset a causa di un comportamento imprevisto della funzione AQL GROUP BY.
  • La dashboard Risultati potrebbe non mostrare i dati più recenti dei risultati dopo l'aggiornamento dell'app Google SCC a causa di un comportamento imprevisto della funzione AQL GROUP BY.

v3.0.0

  • La dashboard potrebbe non mostrare gli eventi più recenti quando sono disponibili più eventi con la stessa chiave univoca a causa di un comportamento imprevisto della funzione AQL GROUP BY.
  • Per i dati già importati utilizzando la versione 2, il filtro ID organizzazione non è applicabile. Puoi visualizzare i dati selezionando il valore Tutti nel filtro ID organizzazione.

Risoluzione dei problemi

Questa sezione descrive le soluzioni per alcuni problemi comuni.

Gli eventi Google SCC vengono visualizzati come messaggi Google SCC

Problema: gli eventi di Security Command Center verranno visualizzati come messaggi di Security Command Center anziché essere identificati come la categoria QRadar corretta. I messaggi vengono visualizzati nella scheda Attività log in QRadar quando un utente cerca un evento da un'origine log di Google Cloud.

Questo problema si verifica quando un campo obbligatorio non è presente in un evento di log non elaborato o se la dimensione del payload dell'evento è superiore ai 4096 byte predefiniti, il che può causare il troncamento degli eventi.

Soluzione: se i payload vengono troncati, segui questi passaggi per aumentare la dimensione massima del payload:

  1. Vai alla scheda Amministrazione e seleziona Impostazioni di sistema.
  2. In Passa a, fai clic su Avanzate.
  3. Nell'elenco delle impostazioni, procedi nel seguente modo:
    1. Seleziona Lunghezza massima del payload syslog TCP e aumenta il valore. Il valore consigliato è 32.000.
    2. Seleziona Lunghezza massima del payload UDP Syslog e aumenta il relativo valore. Il valore consigliato è 32.000.
  4. Fai clic su Esegui il deployment delle modifiche e utilizza l'opzione Deployment completo.

Eventi Google SCC elencati come eventi sconosciuti

Problema: gli eventi di Security Command Center sono elencati come Sconosciuto. Questo problema si verifica quando l'ID evento e la categoria del payload non sono mappati in QRadar.

Soluzione: per risolvere il problema, svolgi i seguenti passaggi:

  1. Vai ad Attività log e fai clic su Aggiungi filtro.
  2. Seleziona Parametro, quindi Tipo di origine log (indicizzata).
  3. Seleziona Operatore, quindi Uguale a.
  4. Seleziona Tipo di origine log, quindi Google SCC.
  5. Nel menu a discesa del filtro Visualizzazioni, seleziona Ultimi 7 giorni.
  6. Se gli eventi vengono visualizzati come Sconosciuto, svolgi i seguenti passaggi:
    1. Fai clic con il tasto destro del mouse sull'evento e seleziona Visualizza nell'editor DSM.
    2. In Anteprima attività di log, controlla i valori di ID evento e Categoria evento.
    3. Se i valori sono sconosciuti, contatta l'assistenza Cloud.

La configurazione dell'app non riesce con messaggi di errore

Se ricevi un errore di configurazione dell'app, segui questi passaggi per risolvere il problema.

Errore Descrizione Soluzione
"Inserisci un JSON dell'account di servizio valido." Questo errore si verifica se viene fornito un JSON con formato corretto, ma l'autenticazione non va a buon fine durante il tentativo di salvataggio della configurazione. Inserisci un JSON valido con le credenziali dell'account corrette.
"Il JSON dell'account di servizio deve essere una stringa JSON." Questo errore si verifica se viene fornito un JSON con formato errato o se il file è in un formato diverso da JSON. Inserisci un file JSON valido.
"Inserisci un ID organizzazione valido". Questo errore si verifica quando viene inserito un ID organizzazione scorretto o incompleto. Verifica l'ID organizzazione e inseriscilo di nuovo.
"Inserisci un ID progetto o un ID abbonamento ai risultati valido." Questo errore si verifica quando viene inserito un ID progetto o un ID abbonamento scorretto o non valido. Verifica l'ID progetto e l'ID organizzazione e inseriscili di nuovo.
"Inserisci un ID abbonamento agli asset valido." Questo errore si verifica quando viene inserito un ID abbonamento delle risorse scorretto o non valido. Verifica l'ID abbonamento della risorsa e inseriscilo di nuovo.
"Errore durante la convalida del token di autorizzazione." Questo errore si verifica quando viene fornito un token di autorizzazione QRadar errato o non valido. Verifica il token di autorizzazione QRadar e inseriscilo di nuovo. Deve avere Amministratore come ruolo utente e profilo di sicurezza. Inoltre, il token non deve essere scaduto.

Errore durante l'inizializzazione della connessione socket con QRadar

Problema: nei file di log della raccolta dei dati viene visualizzato il messaggio di errore "Error while initiating socket connection with IBM QRadar". Questo problema potrebbe essere osservato nel framework per app QRadar v2 (< v7.4.2 P2).

Soluzione: per risolvere il problema, svolgi i seguenti passaggi:

  1. Leggi la nota dell'assistenza relativa alle modifiche di deployment di QRadar.
  2. Esegui l'upgrade di QRadar.

Problemi relativi all'interfaccia

Problema: un riquadro della dashboard o una pagina di configurazione mostra errori o comportamenti indesiderati.

Soluzione: per risolvere il problema, svolgi i seguenti passaggi:

  1. Svuota la cache del browser e ricarica la pagina web.
  2. Riduci l'intervallo di tempo del filtro. Le query QRadar potrebbero scadere se il numero di risposte è troppo elevato.
  3. Se il problema persiste, contatta l'assistenza Cloud.

I riquadri della dashboard non vengono caricati e il processo Flask viene interrotto

Problema: il processo Flask scade e alcuni riquadri della dashboard non vengono caricati.

Soluzione: per risolvere il problema, svolgi i seguenti passaggi:

  1. Svuota la cache del browser e ricarica la pagina web.
  2. Riduci l'intervallo di tempo del filtro. Le query QRadar potrebbero scadere se il numero di risposte è troppo elevato.
  3. Se il problema persiste, contatta l'assistenza Cloud.

Tutti gli altri problemi di rendimento

Se il problema persiste anche dopo aver seguito le istruzioni riportate in questa guida, svolgi quanto segue:

  1. Vai alla scheda Amministrazione e fai clic su Gestione del sistema e delle licenze.
  2. Seleziona l'host su cui è installata l'app Google SCC per QRadar - QRadar v7.4.1FP2 e versioni successive.
  3. Fai clic su Azione e seleziona Raccogli file di log.
  4. Nella finestra di dialogo, fai clic su Opzioni avanzate.
  5. Seleziona le caselle di controllo accanto a Includi log di debug, Log delle estensioni dell'applicazione e Log di configurazione (versione corrente).
  6. Seleziona due giorni come input di dati e poi fai clic su Raccogli file di log.

  7. Seleziona Fai clic qui per scaricare i file.

    I file di log verranno scaricati in un file ZIP. Contatta l'assistenza cloud e condividi i file di log.

Passaggi successivi