Monitoraggio di Microsoft Entra ID: Rilevamento di attività sospette

Gli attacchi basati sull'identità sono aumentati del 32% nella prima metà del 2025 e oltre il 97% di essi sono stati tentativi di password spray o forza bruta, secondo il Microsoft Digital Defense Report 2025. Microsoft Entra ID registra già quasi ogni azione coinvolta in questi attacchi, da ogni accesso a ogni modifica di ruolo fino a ogni concessione di consenso, quindi la mancanza di dati è raramente un vincolo.

Il problema è sapere quali di quegli eventi meritano un avviso e se qualcuno può collegarli dopo che sono finiti in posti separati. Un’assegnazione di ruolo, una concessione di consenso OAuth e un’attivazione temporanea di amministratore sembrano tutte attività amministrative ordinarie.

I livelli di licenza, le viste del portale e i confini delle directory ibride dividono le prove tra i sistemi, quindi la sequenza si risolve in un attacco solo dopo che qualcuno la ricompone.

Il rilevamento dipende da quali segnali hanno peso, dove gli strumenti nativi non bastano e come correlare ciò che rimane in segnali di postura di sicurezza dell’identità.

Cos'è il monitoraggio di Microsoft Entra ID?

Microsoft Entra ID è il servizio cloud di Microsoft per la gestione di identità e accessi. Autentica gli utenti, applica le policy di accesso e rilascia token che consentono a persone e applicazioni di accedere a Microsoft 365, risorse Azure e applicazioni SaaS connesse.

Il monitoraggio generale dell'infrastruttura Azure copre il tempo di attività, la salute della sincronizzazione della directory e lo stato del servizio per confermare che la piattaforma è in funzione. Il monitoraggio di Entra ID focalizzato sulla sicurezza è diverso: mantiene una visibilità continua nei log di accesso, nei log di audit e nelle attività di Privileged Access Management, monitorando modelli che indicano compromissioni o modifiche non autorizzate.

Ogni operatore sa che il monitoraggio deve essere continuo, non periodico. Ciò che distingue una pratica efficace da una dashboard che nessuno consulta è sapere quali segnali di Entra ID sono davvero importanti.

Quella lista è più ristretta di quanto sembri. Copre accessi rischiosi segnalati da Identity Protection, Aggiungi membro al ruolo eventi al di fuori di PIM, concessioni di consenso OAuth come Aggiungi concessione di permesso delegato, e modifiche di Conditional Access che allentano silenziosamente una policy.

Perché i team di sicurezza monitorano Microsoft Entra ID

Entra ID è al centro di tutto ciò che gestisce l’organizzazione, quindi monitorarlo bene porta benefici all’intero ambiente che controlla.Il Netwrix 2025 Cybersecurity Trends Report ha rilevato che il 46% degli intervistati ha subito compromissioni di account nel 2025, rispetto al 16% nel 2020

• Espone i piccoli cambiamenti che si concatenano in attacchi: La guida di risposta di Microsoft su Midnight Blizzard descrive un'intrusione di tipo password spraying che ha compromesso un account tenant di test legacy non in produzione senza MFA. L'attore ha poi compromesso un'applicazione OAuth di test legacy con accesso elevato e l'ha usata per concedersi il ruolo full_access_as_app di Office 365 Exchange Online per l'accesso alla casella di posta. Ogni passaggio somigliava ad attività amministrative di routine, e l'intrusione è durata da fine novembre 2023 fino a quando Microsoft l'ha rilevata il 12 gennaio 2024.
• Unifica AD ibrido e Entra ID in un'unica superficie di rilevamento: La maggior parte delle organizzazioni utilizza entrambe le directory. Monitorarle insieme consente di individuare un attaccante che si sposta tra di esse, ad esempio abusando di Entra Connect Sync, dove le due parti altrimenti apparirebbero come eventi di bassa gravità non correlati.
• Risponde alla domanda a posteriori: Il monitoraggio che esporta e conserva i log mantiene una traccia di prova con valori prima e dopo disponibili per auditor, dirigenti e rispondenti agli incidenti ben oltre i limiti di conservazione nativi.

Dove il monitoraggio nativo di Microsoft Entra ID non basta

Entra ID fornisce tre fonti principali di log. I log di audit registrano cosa è cambiato, i log di accesso registrano chi si è autenticato, da dove e a quale livello di rischio, e i log PIM registrano come un privilegio è diventato attivo. Avere questi log è solo il primo passo per la rilevazione.

Le finestre di conservazione sono più brevi di quanto la maggior parte dei team si aspetti

I log di audit e accesso persistono per 30 giorni con una licenza P1 o P2 e solo sette giorni nel piano gratuito, secondo la riferimento sulla conservazione dei dati di Microsoft. Gli aggiornamenti della conservazione non sono retroattivi, quindi passare da Free a P1 non recupera nulla che sia già scaduto. Se un team indaga un evento un mese dopo, potrebbe non trovare nulla da consultare.

Il dettaglio del rischio è accessibile solo con licenze P1/P2

Le policy di rischio, i dettagli completi degli utenti a rischio e l’Accesso Condizionale basato sul rischio richiedono tutti Entra ID P2, secondo la documentazione di Identity Protection di Microsoft. Gli utenti Free e P1 possono accedere ai log di accesso, ma le rilevazioni di rischio, gli accessi rischiosi e il contesto di rischio dettagliato che rende le anomalie azionabili richiedono Entra ID P2. I team con licenze inferiori monitorano con un set di dati ridotto.

I log sono visualizzati in viste separate senza correlazione integrata

I team esaminano gli accessi, gli eventi di audit, le modifiche a Conditional Access e l’attività di PIM in viste diverse, quindi collegarli richiede log esportati o query permanenti. Un’esclusione di Conditional Access aggiunta alle 2:14 e un’assegnazione di ruolo alle 2:31 non appaiono mai nella stessa schermata. Il confronto manuale non scala bene oltre pochi incidenti.

L'attività di On-prem AD e Entra ID rimane separata per impostazione predefinita

Le viste native registrano una modifica dell’appartenenza a un gruppo come Windows Event ID 4728 su un controller di dominio, separata da un’assegnazione di ruolo nel registro di audit di Entra ID. On-prem AD e Entra ID usano identificatori diversi, quindi anche i log esportati richiedono una mappatura dell’identità deliberata per correlare i dati. Un percorso di attacco cross-directory rimane invisibile per impostazione predefinita.

Come rilevare attività sospette in Microsoft Entra ID

L'attività sospetta in Entra ID di solito si presenta come una catena di azioni amministrative singolarmente apparentemente legittime. Le categorie di rilevamento seguenti offrono il miglior rapporto segnale-rumore per i team di identity che devono dare priorità al loro monitoraggio.

Monitorare viaggi impossibili e accessi rischiosi

Un accesso rischioso è l'indicatore più rapido di compromissione dell'account. Attiva le rilevazioni di rischio nominate di Microsoft Entra ID Protection, non solo i segnali grezzi. Viaggi atipici segnalano posizioni geograficamente impossibili. L'indirizzo IP anonimo segnala nodi di uscita Tor e altri servizi di anonimizzazione.

Le proprietà di accesso non familiari segnalano dispositivi e combinazioni di browser nuovi o sconosciuti. Monitorare anche i protocolli di autenticazione legacy come Post Office Protocol (POP), Internet Message Access Protocol (IMAP) e Simple Mail Transfer Protocol authentication (SMTP AUTH), poiché nessuno di essi può applicare multifactor authentication (MFA).

Correlate la geografia con segnali di dispositivo, browser e numero di sistema autonomo (ASN), perché gli aggressori usano servizi IP residenziali per evitare il rilevamento basato solo sulla geolocalizzazione.

Individua l'escalation di privilegi prima che si stabilizzi

Un'assegnazione di ruolo di directory o un'attivazione di PIM è un'elevazione diretta dei privilegi, quindi tracciala quando accade invece di rivedere periodicamente chi ha accesso.Il Netwrix 2026 Data and Identity Security Report ha rilevato che il 76% delle organizzazioni non può revocare immediatamente l'accesso permanente una volta che non è più necessario, il che aumenta il valore di catturare ogni evento di elevazione al momento in cui si verifica.

Lo stesso lavoro di minimo privilegio spesso continua nella access certification affinché la proprietà dei ruoli e le approvazioni rimangano aggiornate. Attiva sulle audit operations Aggiungi membro al ruolo e Aggiunta membro al ruolo completata (attivazione PIM) per Tier-0 roles, ovvero le risorse con i privilegi più elevati come Global Administrator e Privileged Role Administrator. Le assegnazioni di ruolo effettuate al di fuori di PIM richiedono un'immediata escalation; Microsoft Sentinel include una community rule che corrisponde a "Add member to role" al di fuori di PIM proprio per questo caso.

Segnala l’indebolimento della policy di Conditional Access

La manomissione della policy di Conditional Access, mappata alla tecnica MITRE ATT&CK T1556.009, consente agli attaccanti di allentare i controlli che altrimenti li rileverebbero prima che agiscano. Si attiva sulle attività di audit Aggiorna la policy di Conditional Access e Elimina la policy di Conditional Access, quindi ispeziona le proprietà modificate per un cambiamento di stato da abilitato a solo report, nuove esclusioni di utenti o gruppi e controlli di concessione o sessione allentati. La modifica specifica è nascosta all'interno dell'evento di aggiornamento generico, quindi l'allerta solo sul nome dell'evento copre solo metà del rischio.

Traccia le concessioni di consenso delle app OAuth

Un'applicazione OAuth con consenso mantiene un accesso che sopravvive ai reset della password e ai cambiamenti MFA, rendendola un meccanismo di persistenza con più portata rispetto a qualsiasi singolo utente compromesso, e uno che il monitoraggio focalizzato sull'utente non vede mai.

Attiva su Consent to application, aggiungi un'assegnazione di ruolo app al service principal, e aggiungi concessione di permesso delegato eventi di audit, soprattutto quando il consenso dell'amministratore copre ampi ambiti di Microsoft Graph. Come permesso applicativo, Mail.Read legge tutte le cassette postali, e Sites.FullControl.All concede il controllo completo di SharePoint senza utente connesso.

Monitora i cambiamenti del metodo di autenticazione e delle credenziali sugli account privilegiati

Molti takeover di account iniziano prendendo il controllo della capacità di autenticarsi, non dell'account stesso. Si attivano con le informazioni di sicurezza registrate dall'utente, informazioni di sicurezza eliminate dall'utente, e reset delle password sugli account privilegiati.

Le linee guida di Microsoft per gli account privilegiati segnalano la registrazione di nuove informazioni di sicurezza come possibile indicatore che un attaccante sta assicurando l'accesso continuo, e un reset della password seguito da una nuova registrazione MFA in breve tempo è uno dei segnali più forti di compromissione nel registro di controllo.

Come creare un flusso di lavoro pratico per il monitoraggio di Microsoft Entra ID

I modelli di rilevamento funzionano solo all’interno di un flusso di lavoro attivo. Ogni controllo qui sotto dipende da quello precedente, e costruirli in ordine è ciò che trasforma voci di log isolate in un programma di rilevamento funzionante.

1. Centralizza e conserva i log oltre i limiti nativi

Configura le impostazioni di diagnostica di Entra per esportare le attività di accesso, audit e PIM su una piattaforma di gestione delle informazioni e degli eventi di sicurezza (SIEM), uno spazio di lavoro Log Analytics o uno storage a lungo termine prima che si verifichi qualsiasi incidente.

Ogni modello di rilevamento sopra dipende dal fatto che i dati siano ancora disponibili quando inizia l’indagine, e Microsoft consiglia di conservare i dati per almeno 90 giorni per l’analisi della sicurezza. Includere nelle esportazioni le categorie di accesso non interattivo e service principal; catturano attività al di fuori degli accessi interattivi degli utenti.

2. Impostare le linee di base prima di configurare gli avvisi

Ogni categoria di rilevamento sopra diventa rumore se si attiva ad ogni occorrenza anziché solo su ciò che è effettivamente anomalo, e quel rumore seppellisce l’unico avviso che conta. Definisci cosa è normale per ogni amministratore e ruolo, coprendo le posizioni tipiche di accesso, la frequenza di attivazione di PIM e il volume di consenso.

Avvisa in caso di deviazione da quella baseline anziché a ogni occorrenza di un tipo di evento monitorato. Red Hound consiglia di eseguire ricerche su una cronologia di 30 giorni prima di convertire i risultati in avvisi. Quando non esiste ancora una baseline, le impostazioni predefinite di Microsoft sono quattro modifiche in 60 minuti per gli utenti e due per gli account privilegiati.

3. Correlare eventi tra accesso, audit e log PIM

Crea query permanenti per schemi a catena. Due da cui iniziare sono una policy di Conditional Access indebolita e poi un ruolo assegnato entro 30 minuti, e un service principal creato e concesso il consenso amministrativo a livello tenant entro un’ora, che le regole della community di Microsoft Sentinel già implementano.

4. Estendere la correlazione per includere on-prem AD

Esporta gli eventi di sicurezza AD on-premise nello stesso SIEM o strumento di monitoraggio ibrido dei log di Entra ID. Includi modifiche all'appartenenza ai gruppi (ID evento 4728, 4732 e 4756), modifiche agli oggetti della directory (5136) e gli eventi di replica che indicano un DCSync attack (4662 insieme alla serie 4932-4934)

Correlare per identità e finestra temporale, normalizzando tra SIDs on-prem e Entra Object IDs. Lo stesso account amministratore che agisce in entrambe le directory in una breve finestra è il modello da segnalare; ciascuna azione da sola sembra routine. Una vista unica e correlata tra entrambe le directory trasforma due eventi a bassa gravità in un segnale chiaro.

5. Crea un playbook per indagini e risposte

Decidi in anticipo cosa estrarre per primo, iniziando dai dettagli dell'evento di audit, dalla cronologia degli accessi dell'iniziatore e dal raggio d'azione, cioè quali account, applicazioni, caselle di posta e permessi l'attività potrebbe interessare.

Conserva le prove prima del contenimento; il token theft playbook di Microsoft istruisce gli operatori a registrare le assegnazioni di ruolo e le regole sospette durante l'indagine. Definisci i passaggi di contenimento, inclusa la disabilitazione del principale sospetto e la revoca dei token di aggiornamento, e ricorda che le concessioni di consenso OAuth richiedono una revoca separata perché il reset della password non rimuove mai l'accesso di un'applicazione. Assegna un responsabile nominato a ogni passaggio.

Rilevare una modifica e sapere che è stata autorizzata sono due problemi diversi. Un'assegnazione di ruolo o una modifica di Conditional Access appare allo stesso modo nel registro di audit, sia che change management l'abbia approvata in anticipo o che un amministratore abbia deciso autonomamente.

Il playbook necessita quindi di un modo per verificare l’evento rispetto a un ticket di modifica approvato o a una finestra di manutenzione, non solo per confermare che si sia verificato. I team senza questo passaggio di riconciliazione finiscono per riesaminare le modifiche di routine in ogni indagine.

I team che riducono l'esposizione persistente degli amministratori prima del prossimo incidente dovrebbero anche rivedere quali ruoli mantengono ancora l'accesso permanente anziché l'elevazione just-in-time, poiché meno amministratori permanenti significa un raggio d'impatto più piccolo la prossima volta che questo playbook viene eseguito.

Come Netwrix supporta il monitoraggio di Microsoft Entra ID

Il flusso di lavoro sopra richiede due elementi che gli strumenti nativi non prevedono. Il primo sono i record delle modifiche che superano la finestra di conservazione di Microsoft; il secondo sono le rilevazioni che leggono insieme gli eventi di identità on-premises e cloud. Netwrix Auditor e Netwrix Threat Manager gestiscono questi due compiti insieme a un SIEM esistente, secondo l’approccio Data Security That Starts with Identity™.

Conservazione della cronologia delle modifiche a directory e permessi oltre il limite nativo

Netwrix Auditor monitora le assegnazioni di ruoli, le modifiche ai membri dei gruppi e le modifiche alle autorizzazioni sia in Active Directory on-premises che in Microsoft Entra ID. Netwrix Auditor si installa in 30 minuti, con i primi report utilizzabili in poche ore.

Netwrix Auditor cattura i valori prima e dopo e conserva i dati di audit oltre la finestra nativa di Microsoft, con archiviazione a lungo termine per indagini aperte in ritardo. I passaggi di correlazione e playbook sopra dipendono da questi dati.

Enjoy.ing ha consolidato il suo audit trail in un unico posto per AD on-premises, Microsoft Entra ID e VMware prima dei lavori su GDPR e ISO 27001, e le indagini sugli incidenti che prima richiedevano ore ora richiedono minuti.

Rilevamento di escalation di privilegi e modelli sospetti di accesso

Netwrix Threat Manager rileva nativamente diversi dei modelli di Entra ID sopra indicati, inclusi viaggi impossibili, modifiche a ruoli sensibili e modifiche ai permessi delle applicazioni, sovrapponendosi ai segnali nativi di Microsoft e Sentinel anziché sostituirli.

Per i team che riducono l'esposizione persistente degli amministratori, Netwrix Privilege Secure sostituisce i diritti amministrativi sempre attivi con account effimeri, sessioni privilegiate limitate al compito che scadono al termine del lavoro. È così che il zero standing privilege viene applicato nella pratica.

Rispondere a domande di audit e incidenti da una sola ricerca

First National Bank and Trust of Beloit ha sostituito la raccolta manuale delle prove in 17 sedi con i report di Netwrix Auditor per la conformità all’Office of the Comptroller of the Currency (OCC), e la preparazione delle verifiche che prima richiedeva una settimana ora richiede un’ora. Per programmi di governance più ampi, strumenti di identity governance trasformano i risultati delle verifiche in revisioni degli accessi e controlli del ciclo di vita.

La rilevazione funziona solo se qualcuno sta guardando

Entra ID produce già i log; la maggior parte degli ambienti ha solo bisogno di una pratica consolidata che li trasformi in prove. Le cinque categorie di rilevamento sopra, applicate in modo coerente su hybrid AD e Entra ID, aiutano i team ad agire su sequenze sospette piuttosto che su eventi isolati. Il flusso di lavoro che collega conservazione, baseline, correlazione e risposta lo rende una routine anziché un evento isolato.

Una completa implementazione di SIEM può arrivare in seguito. Il passo pratico successivo è rendere la correlazione parte della routine abituale, che significhi configurare le esportazioni diagnostiche questa settimana o rivedere quali ruoli privilegiati mantengono ancora l'accesso permanente.

Richiedi una demo per vedere come Netwrix può aiutarti a monitorare l’attività ibrida di Entra ID e Active Directory, correlare i segnali di identità tra le fonti di log e conservare prove pronte per l’audit.