QRadar end of life: cosa fare adesso

La risposta breve: QRadar non ha una singola data di "spegnimento", ma la strategia di IBM è cambiata in modo netto. Nel 2024 IBM ha ceduto gli asset SaaS di QRadar a Palo Alto Networks (closing a settembre 2024) e sta indirizzando quei clienti verso un'altra piattaforma, Cortex XSIAM. Il QRadar on-prem, invece, resta supportato: qui il tema non è un'apocalisse improvvisa, ma il ciclo di vita delle singole versioni.

Detta ancora più diretta: se cerchi "QRadar end of life" perché temi che il tuo SIEM si spenga domani, puoi stare tranquillo sul breve. Il punto vero è un altro: la piattaforma su cui hai costruito le tue security operations sta prendendo una direzione, e ora è il momento di decidere se vuoi seguirla, restare dove sei, o cambiare strada. Aspettare senza decidere è l'unica opzione che ti costa di sicuro.

In questo articolo mettiamo in fila cosa sta succedendo davvero, quali sono le opzioni concrete e come scegliere senza farti prendere dal panico (o dal marketing di turno).

Cosa sta succedendo davvero a QRadar

Facciamo chiarezza, perché in giro c'è parecchia confusione. Ci sono due mondi QRadar e vanno tenuti separati.

• QRadar SaaS (la versione cloud). Questi asset sono stati acquisiti da Palo Alto Networks: annuncio a maggio 2024, chiusura dell'operazione a settembre 2024. Per i clienti SaaS è stato avviato un percorso di migrazione verso Cortex XSIAM, con servizi di migrazione senza costo tramite IBM Consulting per i clienti idonei. In pratica, se eri su QRadar cloud la direzione è già tracciata da chi vende la piattaforma.
• QRadar on-prem (l'appliance in casa tua). Qui la storia è diversa: IBM ha dichiarato che il QRadar on-prem resta un prodotto supportato, con aggiornamenti e fix. Non c'è un annuncio di end of life per l'on-prem nel suo complesso.

Quindi da dove nasce l'allarme "QRadar end of life"? Da due cose che si sommano: il cambio di proprietà del ramo SaaS, che fa capire dove sta andando il mercato, e il fatto che le singole versioni on-prem hanno un ciclo di vita definito.

Attenzione alle versioni: le vecchie sono già fuori supporto

Questo è il pezzo che spesso passa inosservato. Anche se QRadar on-prem "come prodotto" è vivo, non tutte le versioni lo sono. Alcune release sono già arrivate a fine supporto:

• QRadar 7.3.x: fine supporto a settembre 2022.
• QRadar 7.4.x: fine supporto ad aprile 2023.

Le versioni più recenti (la linea 7.5.x) sono passate a un modello di rilascio continuo, in cui fix e aggiornamenti arrivano sulla versione successiva. La conseguenza pratica per te è semplice: il rischio non è che QRadar "muoia", è che tu resti fermo su una release che nessuno mantiene più. Un SIEM su una versione fuori supporto non riceve più patch di sicurezza né aggiornamenti dei connettori. È come tenere aperta la centralina d'allarme, ma senza più nessuno che ne aggiorni il firmware.

Prima ancora di parlare di migrazione, quindi, la domanda operativa è: su quale versione sto girando, e da quanto tempo? Se la risposta è una release vecchia, hai già un problema da gestire a prescindere da tutto il resto.

Perché ha senso valutare l'uscita adesso

Un cambio di proprietà di un ramo di prodotto è sempre un buon momento per fermarsi e fare i conti. Non perché "bisogna scappare", ma perché è l'occasione naturale per chiedersi se la piattaforma sta ancora facendo il suo lavoro. Ci sono alcuni segnali che, messi insieme, dicono che vale la pena guardarsi intorno:

• I costi salgono e non capisci bene perché. Licenze legate al volume di dati, hardware da rinnovare, persone dedicate a tenere in piedi l'appliance. Con i log che crescono ogni anno, il conto tende a gonfiarsi da solo.
• La detection non è continua. Se il tuo SIEM raccoglie tutto ma nessuno guarda gli alert di notte o nel weekend, stai pagando per un registratore, non per una capacità di risposta.
• Il tuning è un lavoro a tempo pieno. Regole da mantenere, falsi positivi da domare, competenze specialistiche difficili da trovare e trattenere sul mid-market.
• Il roadmap non è più chiaro. Quando la direzione strategica di una piattaforma cambia, l'incertezza sui prossimi anni entra da sola nella tua pianificazione.

Il metro di giudizio non è la paura dell'end of life. È questa domanda: questa piattaforma mi fa ancora fare detection e response al costo giusto? Se la risposta comincia a essere "non proprio", allora conviene mettere sul tavolo le alternative.

Le tre opzioni sul tavolo

Chi ha QRadar oggi si trova, in sostanza, davanti a tre strade. Nessuna è giusta in assoluto: dipende dal tuo punto di partenza.

1. Restare on-prem, ma aggiornati. Se sei su una versione recente e supportata, e l'appliance copre bene i tuoi casi d'uso, restare è legittimo. Il patto è chiaro: tieni la versione aggiornata, mantieni le regole, metti in conto hardware e persone. Non è "non fare nulla", è gestire attivamente.
2. Seguire il percorso indicato da IBM. Per i clienti SaaS la direzione tracciata porta verso Cortex XSIAM, con servizi di migrazione dedicati per chi è idoneo. È l'opzione a minore attrito se vuoi restare nel solco già disegnato da chi ti vende oggi la piattaforma.
3. Migrare su un'altra piattaforma. È il momento giusto per rimettere in gioco anche altre scelte, invece di prendere la strada di default. Piattaforme cloud-native come Google SecOps o Microsoft Sentinel cambiano il modello economico (niente più hardware da rinnovare, costi legati all'uso) e, con un partner gestito, spostano il peso operativo fuori dal tuo team.

Se vuoi capire come funziona in pratica la terza strada, abbiamo scritto un percorso passo-passo in come migrare da QRadar a Google SecOps.

Come scegliere la destinazione senza sbagliare

Se decidi di muoverti, la scelta della piattaforma di arrivo pesa per anni. Tre criteri contano più degli altri:

• Il modello di costo. On-prem paghi hardware, licenza e persone. Cloud-native paghi in base ai dati che ingerisci e alle capacità che usi. Fatti dare un conto sui tuoi volumi reali, non su un listino teorico. Su questo abbiamo raccolto i numeri e le voci nascoste in quanto costa una migrazione SIEM.
• Chi fa il lavoro operativo. Una piattaforma è solo metà dell'opera. L'altra metà è chi guarda gli alert, fa il tuning e risponde agli incidenti. Se il tuo team è piccolo, una piattaforma gestita da un MSSP conta più della piattaforma in sé.
• La portabilità di quello che hai già. Le fonti dati e le detection che hai costruito in QRadar sono un patrimonio. Chiediti quanto è facile portarle nel nuovo mondo, perché è lì che si nascondono tempi e costi della migrazione.

Come non farsi trovare impreparati

Anche se decidi di non fare nulla adesso, ci sono tre mosse a costo quasi zero che ti tolgono dall'angolo:

1. Scopri su che versione sei. Verifica release e stato di supporto del tuo QRadar. Se sei su una versione fuori supporto, questa è la prima cosa da sistemare, punto.
2. Fai l'inventario di cosa hai costruito. Quante fonti dati alimentano il SIEM, quante regole di detection sono attive e usate davvero. Serve a capire l'entità di qualsiasi cambiamento futuro, e spesso rivela che metà delle regole non scatta mai.
3. Metti a budget la decisione, non l'emergenza. Una scelta pianificata a fasi costa una frazione di una migrazione fatta di corsa perché "è scaduto tutto". Il tempo giocato bene è lo sconto più grande che hai.

E qui sta il punto di fondo: un attaccante non aspetta che tu abbia finito di decidere. Con un time-to-ransom che ormai si misura in pochi giorni (Mandiant M-Trends 2025), la finestra tra "sono entrati" e "hanno cifrato tutto" è strettissima. Quello che conta non è la marca del SIEM, è avere qualcuno in grado di accorgersene e reagire in tempo.

In sintesi: QRadar non si spegne domani, ma la strada è segnata e le versioni vecchie sono già fuori supporto. Le opzioni sono tre (restare aggiornati, seguire IBM, migrare altrove) e la scelta va fatta ora, con calma, sui tuoi numeri. AmagisTech costruisce percorsi di detection e response per il mid-market italiano, dalla valutazione della piattaforma alla migrazione fino al servizio gestito 24/7. Se vuoi capire dove sei e quali strade hai davanti, parti dai nostri servizi Observability & SecOps.