Microsoft Entra ID: Cosa devono sapere i team di sicurezza

Microsoft Entra ID, precedentemente Azure Active Directory (Azure AD), è il servizio di gestione dell'identità e dell'accesso dietro Microsoft 365, Azure e migliaia di applicazioni SaaS connesse. Se la tua organizzazione utilizza prodotti Microsoft, Entra ID è quasi certamente il sistema che decide chi può accedere e a cosa possono accedere.

Quel ruolo centrale lo rende una delle parti più importanti e mirate di qualsiasi ambiente Microsoft. Gli aggressori utilizzano regolarmente credenziali compromesse, abuso del consenso OAuth e dirottamento delle sessioni per muoversi attraverso Entra ID, il che significa che ottenere la configurazione corretta è importante quanto averla in atto.

Questa guida copre cos'è Entra ID, come funziona, sei capacità di sicurezza fondamentali, otto priorità di indurimento e dove gli strumenti nativi sono carenti negli ambienti ibridi.

Cos'è Microsoft Entra ID?

Microsoft Entra ID è il cloud di Microsoft gestione dell'identità e degli accessi (IAM) servizio. È il sistema che controlla chi può accedere all'ambiente Microsoft 365 della tua organizzazione, alle risorse Azure e alle applicazioni di terze parti collegate, e cosa possono fare una volta all'interno.

La piattaforma gestisce l'accesso single sign-on (SSO), l'autenticazione a più fattori (MFA), l'accesso condizionale, la gestione del ciclo di vita e la protezione dell'identità per utenti, dispositivi e applicazioni. Le organizzazioni lo collegano a migliaia di applicazioni SaaS tramite OAuth, SAML e OpenID Connect.

Microsoft ha rinominato Azure AD in Microsoft Entra ID come parte di un'espansione più ampia del portafoglio identità. Il nome è cambiato, ma il servizio principale è lo stesso. Se hai gestito Azure AD, stai già lavorando in Entra ID.

Nota: Entra ID ha sostituito il nome di Azure AD, non l'Active Directory locale. I due sono prodotti separati e la maggior parte degli ambienti Microsoft esegue entrambi, con Microsoft Entra Connect che sincronizza le identità tra di loro. Questa configurazione ibrida significa che i team di sicurezza stanno proteggendo due sistemi interconnessi con architetture diverse e superfici di attacco diverse.

Come funziona Microsoft Entra ID?

Ad un livello alto, Entra ID si trova tra i tuoi utenti e le applicazioni a cui devono accedere. Quando qualcuno prova a accedere a Microsoft 365, a una risorsa Azure o a un'applicazione SaaS connessa, Entra ID gestisce le decisioni di autenticazione e autorizzazione.

Ogni volta che un utente richiede accesso, Entra ID verifica la propria identità (tramite password, MFA o metodi senza password come le chiavi FIDO2). Valuta quindi le politiche di Accesso Condizionale prima di concedere o bloccare l'accesso.

Queste politiche possono tenere conto della conformità dei dispositivi, della posizione, della sensibilità delle applicazioni e dei segnali di rischio in tempo reale da Identity Protection.

Per le organizzazioni che utilizzano Active Directory on-premises insieme a Entra ID, Microsoft Entra Connect sincronizza le identità degli utenti, le appartenenze ai gruppi e le credenziali tra i due ambienti. Ciò significa che un utente fornito in AD on-prem può autenticarsi alle risorse cloud tramite Entra ID senza mantenere un'identità cloud separata.

Entra ID supporta anche l'integrazione delle applicazioni su larga scala. Le applicazioni SaaS di terze parti si registrano con il tenant e utilizzano protocolli come OAuth 2.0 e SAML 2.0 per l'autenticazione federata, che è il modo in cui funziona un'esperienza di accesso unico su centinaia di app senza che ognuna gestisca il proprio database utenti.

Funzionalità di sicurezza e gestione delle identità in Microsoft Entra ID

I team di sicurezza non hanno bisogno di conoscere ogni funzionalità in Entra ID. Ma sei aree di capacità influenzano direttamente la tua postura di sicurezza.

• Autenticazione e MFA: Entra ID supporta SSO, autenticazione basata su password e opzioni senza password, comprese le chiavi FIDO2, Windows Hello for Business e l'autenticazione basata su certificati. MFA è applicato tramite politiche di accesso condizionale piuttosto che impostazioni legacy per utente. I metodi resistenti al phishing (chiavi e chiavi FIDO2) dovrebbero essere la priorità per gli account privilegiati.
• Accesso Condizionale: Questo è il motore delle policy al centro dell'architettura di accesso di Entra ID. Valuta l'identità dell'utente, la conformità del dispositivo, la posizione, la sensibilità dell'applicazione e i segnali di rischio in tempo reale prima di concedere, bloccare o richiedere controlli aggiuntivi.
• Protezione dell'Identità:La Protezione dell'Identità utilizza segnali Microsoft per rilevare accessi e utenti a rischio, e può alimentare questi segnali in Accesso Condizionale per risposte automatizzate.
• Gestione delle Identità Privilegiate (PIM):PIM fornisce attivazione just-in-time per ruoli privilegiati, flussi di lavoro di approvazione, assegnazioni a tempo e giustificazione obbligatoria per l'escalation dei privilegi. L'obiettivo è rimuovere l'accesso amministrativo permanente in modo che gli account privilegiati non rimangano in attesa di essere compromessi.
• Governance di Microsoft Entra ID: Questa soluzione di governance dell'identità gestisce i cicli di vita degli accessi attraverso flussi di lavoro automatizzati di assunzione-movimento-uscita, pacchetti di accesso con scadenza configurabile e campagne di certificazione degli accessi periodiche, riducendo al minimo gli account orfani e l'accumulo di privilegi.
• Monitoraggio e integrazioni: Entra ID invia i registri di audit, i registri di accesso e i dati di rischio a Microsoft Sentinel, Microsoft Defender per la rilevazione e risposta estesa (XDR) e piattaforme di gestione delle informazioni e degli eventi di sicurezza (SIEM) di terze parti tramite API.

Molte di queste funzionalità richiedono licenze Entra ID P2 o Entra ID Governance. Le organizzazioni che utilizzano licenze base o P1 mancano di Protezione dell'Identità e PIM, il che limita significativamente la postura di sicurezza dell'identità.

8 migliori pratiche di Microsoft Entra ID per i team di sicurezza

Ecco otto pratiche che i team di sicurezza dovrebbero dare priorità.

1. Applicare l'autenticazione resistente al phishing

MFA standard non è più sufficiente. Le campagne di spray delle password continuano a compromettere gli account su larga scala e i kit di phishing avversari-in-the-middle (AiTM) possono dirottare i flussi SSO legittimi per rubare i token di sessione, eludendo completamente l'MFA.

I protocolli legacy come SMTP AUTH, POP3 e IMAP4 peggiorano la situazione fornendo percorsi di autenticazione che saltano completamente l'Accesso Condizionale.

La priorità è spostare prima gli account privilegiati verso metodi resistenti al phishing: chiavi FIDO2, Windows Hello for Business o autenticazione basata su certificati.

Utilizza i controlli di forza di autenticazione dell'accesso condizionale per far rispettare questo e bloccare i protocolli di autenticazione legacy in tutta l'organizzazione. La MFA standard per tutti gli utenti rimanenti è la base, non l'obiettivo.

2. Indurire i ruoli privilegiati con PIM e il principio del minimo privilegio

Ogni account Global Admin permanente è un invito costante. Se uno viene compromesso, l'attaccante può elevare i privilegi, creare porte posteriori e modificare le politiche di sicurezza prima che qualcuno se ne accorga.

La gestione delle identità privilegiate (PIM) chiude questa esposizione sostituendo l'accesso permanente con l'elevazione just-in-time. Gli amministratori richiedono accesso quando ne hanno bisogno, con flussi di lavoro di approvazione, sessioni a tempo limitato (otto ore al massimo è un limite ragionevole per la tua organizzazione) e MFA obbligatoria all'attivazione.

Oltre PIM, mantieni piccolo il raggio d'azione:

• Minimizza le assegnazioni di Amministratore Globale e utilizza ruoli specifici in modo che gli amministratori ottengano solo i permessi necessari per il loro lavoro.
• Mantieni due account di emergenza solo nel cloud con avvisi su qualsiasi attività di accesso.
• Rivedi mensilmente le assegnazioni dei ruoli privilegiati.

Il PIM e il principio del minimo privilegio riducono ciò che un attaccante può raggiungere. Il passo successivo è controllare le condizioni in cui chiunque, privilegiato o meno, ottiene accesso in primo luogo.

3. Progettare e ottimizzare continuamente le politiche di Accesso Condizionale

L'Accesso Condizionale è il motore delle politiche che fa funzionare tutti gli altri controlli di sicurezza di Entra ID. Se le tue politiche presentano lacune, nulla a valle compensa.

Inizia con una copertura di base:

• Richiedi MFA per tutti gli utenti
• Blocca accessi rischiosi
• Proteggi i portali di amministrazione

Quindi aggiungi regole specifiche per scenario per l'accesso degli ospiti, le applicazioni di alto valore e i dispositivi non gestiti.

Distribuisci nuove politiche in modalità solo report prima, utilizza lo strumento What-If per simulare gli effetti prima dell'applicazione e utilizza l'etichettatura delle applicazioni per assicurarti che ogni applicazione integrata sia coperta da almeno una politica.

La deviazione delle politiche è un rischio maggiore rispetto alla mancanza di politiche. Le esclusioni temporanee dei gruppi, le eccezioni di test che non vengono mai revocate e le modifiche ad hoc ai requisiti di autenticazione creano percorsi di accesso non protetti che si accumulano silenziosamente.

I registri di audit devono essere monitorati per le modifiche delle politiche da parte di attori non approvati e la copertura dell'Accesso Condizionale deve essere esaminata almeno trimestralmente.

4. Attiva la Protezione dell'Identità e automatizza la risposta al rischio

La Protezione dell'Identità rileva accessi e utenti a rischio, ma la rilevazione senza risposta automatizzata è solo rumore. Se i tuoi segnali di Protezione dell'Identità non sono collegati a politiche di Accesso Condizionale che forzano l'azione, gli account compromessi rimangono attivi mentre gli avvisi si accumulano in una coda che nessuno esamina abbastanza rapidamente.

La soluzione consiste nel collegare direttamente i segnali di Identity Protection all'applicazione. Configura l'Accesso Condizionale per richiedere MFA per accessi a medio rischio e forzare il ripristino sicuro delle password per gli utenti ad alto rischio.

Da lì, trasmetti i registri di accesso, i registri di audit e gli eventi di rischio al tuo SIEM in modo che il tuo centro operativo di sicurezza (SOC) possa creare regole di rilevamento per viaggi impossibili, tentativi di autenticazione legacy e modelli di escalation dei privilegi. La combinazione di enforcement automatizzato e visibilità a livello di SOC colma il divario tra rilevamento e risposta.

5. Controlla le registrazioni delle app e il consenso OAuth

Il consenso OAuth è uno dei meccanismi di persistenza più trascurati in Entra ID. Un'applicazione concessa Mail.Read anni fa mantiene quell'accesso indefinitamente a meno che qualcuno non lo revoci esplicitamente, e la maggior parte delle organizzazioni non ha un processo di revisione regolare per i permessi delle app aziendali.

La superficie di attacco si estende oltre le autorizzazioni obsolete. Gli attori delle minacce hanno sfruttato i flussi di autorizzazione del codice dispositivo per ingannare gli utenti e farli autenticare su pagine di accesso legittime di Microsoft per conto dell'attaccante, concedendo token di accesso che bypassano la MFA.

Per ridurre questa esposizione, limita o disattiva il consenso di autoservizio in modo che gli utenti non possano concedere autorizzazioni a livello di inquilino senza approvazione.

Richiedi flussi di lavoro di consenso dell'amministratore per qualsiasi richiesta di autorizzazione ad alto privilegio, limita le registrazioni delle app agli amministratori e rivedi mensilmente i principali di servizio e i permessi delle app aziendali. Senza una revisione regolare, ogni autorizzazione concessa è un potenziale meccanismo di persistenza che un attaccante può ereditare.

6. Gestire l'accesso degli ospiti e B2B

Gli account ospite sono facili da creare e facili da dimenticare, il che li rende una lacuna di governance nella maggior parte degli inquilini di Entra ID. Ogni ospite non governato è un'identità che il tuo team di sicurezza non ha provisionato e potrebbe non sapere che esiste, con accesso che persiste fino a quando qualcuno non lo rimuove attivamente.

Rafforzare questo inizia limitando chi può invitare ospiti e richiedendo MFA per tutti gli utenti ospiti. Ogni account ospite dovrebbe avere un proprietario interno responsabile della giustificazione continua dell'accesso.

Le politiche di accesso tra tenant aggiungono un ulteriore livello controllando quali identità esterne possono accedere, e le revisioni periodiche degli accessi catturano gli account inattivi che altrimenti rimarrebbero indefinitamente.

La combinazione di proprietà, requisiti MFA e revisioni periodiche impedisce che l'accesso degli ospiti diventi un punto cieco.

7. Integra Entra ID nella rilevazione e risposta alle minacce identitarie (ITDR) e nel monitoraggio SOC

I segnali di identità sono molto più preziosi quando sono correlati con altre telemetrie. Un accesso sospetto da solo potrebbe essere un falso positivo. Abbinare lo stesso accesso ai dati degli endpoint che mostrano movimenti laterali o ai registri di rete che mostrano trasferimenti di dati insoliti, diventa un indicatore di alta fiducia da indagare.

Quella correlazione richiede di alimentare i registri di accesso di Entra ID, i registri di audit e i segnali di rischio di Identity Protection nella tua piattaforma SIEM o XDR. Gli eventi di identità dovrebbero essere inclusi anche nei manuali di risposta agli incidenti insieme ai dati di endpoint e rete.

In questo modo, quando si attiva un avviso basato sull'identità, il SOC ha il contesto per valutare l'ambito e l'impatto senza dover passare da uno strumento all'altro.

8. Valuta regolarmente la postura di sicurezza di Entra ID

Le revisioni regolari della postura rilevano i problemi di configurazione che si accumulano tra i principali progetti di sicurezza. La deriva di configurazione si sviluppa attraverso piccoli cambiamenti che sembrano innocui in isolamento. Questo potrebbe essere un'esclusione di Accesso Condizionale che supera la sua giustificazione, una registrazione di app di test con ampi permessi, o un'assegnazione di ruolo privilegiato che rimane attiva molto tempo dopo la conclusione del progetto.

Se lasciati senza controllo, questi erodono la postura che hai costruito nei sette passaggi precedenti. Microsoft Secure Score fornisce un utile indicatore continuo, ma non dovrebbe essere l'unico meccanismo di valutazione.

Integralo con i benchmark del Center for Internet Security (CIS) e esami manuali periodici, e costruisci una cadenza che corrisponda al profilo di rischio di ciascuna area di controllo:

• Assegnazioni di ruoli privilegiati e concessioni di consenso OAuth: mensili.
• Accesso ospite e configurazioni B2B: mensile o trimestrale, a seconda del volume.
• Politiche di Accesso Condizionale: trimestrali, con revisioni ad hoc dopo qualsiasi cambiamento importante del tenant.

Queste otto priorità induriranno significativamente il tuo ambiente Entra ID. Ma anche un inquilino ben configurato ha dei limiti, e comprendere dove finiscono le capacità native è altrettanto importante quanto ottenere la configurazione corretta.

Cosa non risolve Microsoft Entra ID (e dove hai bisogno di più)

Entra ID copre un ampio campo, ma non è stato progettato per coprire tutto. Tre lacune emergono costantemente negli ambienti ibridi:

• Sistemi on-premises e non Microsoft: Entra ID non ha visibilità sui vettori di attacco di Active Directory on-premises come DCSync, Golden Ticket o abuso di Kerberos. La protezione del controller di dominio, la sicurezza del server di sincronizzazione ibrido e la rilevazione dell'escalation dei privilegi on-prem si trovano al di fuori del suo ambito.
• Sicurezza dei dati e governance: Entra ID gestisce l'identità e l'accesso. Non classifica i dati sensibili, non monitora i modelli di accesso a livello di file e non applica politiche di prevenzione della perdita di dati, in particolare su server di file on-premises e repository non Microsoft. Se i tuoi requisiti di conformità includono la conoscenza di dove si trovano i dati sensibili e chi vi accede, questa è una capacità separata.
• ITDR multipiattaforma: La Protezione dell'Identità di Entra ID copre i segnali di rischio al momento dell'autenticazione all'interno dell'ecosistema Microsoft. Il movimento laterale post-autenticazione, le catene di attacco AD on-prem e la correlazione tra fonti di identità non Microsoft richiedono strumenti ITDR dedicati.

Per ambienti regolamentati e ibridi, l'architettura pratica è Entra ID come piano di controllo dell'identità, complementata da strumenti indipendenti per la visibilità, la conservazione e la governance cross-platform che non fornisce.

Come Netwrix completa Microsoft Entra ID

Netwrix colma le lacune lasciate aperte dagli strumenti nativi di Entra ID, in particolare per quanto riguarda la visibilità di AD on-premise, la conservazione a lungo termine degli audit e la connessione del rischio di identità all'esposizione dei dati. Queste lacune non possono essere risolte solo con una migliore configurazione di Entra ID. Richiedono strumenti aggiuntivi:

• Visibilità in AD on-premises insieme a Entra ID, non solo uno o l'altro
• Conservazione delle audit che supera i limiti dei registri nativi
• Contesto di rischio che collega l'esposizione dell'identità all'esposizione dei dati
• Evidenza di conformità che gli auditor accettano realmente

Questa è la lacuna che Netwrix colma senza aggiungere complessità a un team di sicurezza già sovraccarico.

Netwrix 1Secure fornisce visibilità nel tuo ambiente di identità ibrido e Microsoft 365 senza infrastruttura da fornire. Per Entra ID, 1Secure tiene traccia dell'attività di accesso, evidenzia le escalation di privilegi e monitora le modifiche ai permessi sia nel cloud che in Active Directory on-premises con sincronizzazione quasi in tempo reale.

I cruscotti di valutazione del rischio evidenziano privilegi eccessivi, configurazioni di account rischiose, account dormienti con accesso persistente e configurazioni errate che ampliano il raggio d'azione durante un compromesso. Le raccomandazioni di rimedio basate sull'IA aiutano i team a dare priorità a cosa riparare per primo.

Netwrix Auditor fornisce audit focalizzati sulla conformità per settori regolamentati. Con un'implementazione di 30 minuti e report disponibili entro poche ore, Auditor offre tracce di audit su Entra ID, Active Directory, server di file e Exchange.

La ricerca interattiva nei registri di audit consente agli investigatori di rispondere a "chi ha avuto accesso a cosa e quando" in tutto il tuo ambiente ibrido, con una cronologia di audit a lungo termine che si estende ben oltre la retention dei log nativi di Entra ID.

Per l'accesso privilegiato all'interno del tuo ambiente Entra ID e Microsoft 365, Netwrix Privilege Secure fornisce provisioning just-in-time che rimuove i privilegi di amministratore permanenti, con registrazione delle sessioni per le tracce di audit.

Prenota una demo di Netwrix per vedere quanto rapidamente puoi chiudere le lacune di visibilità e governance lasciate aperte da Entra ID.