Auditing dell'Escalation dei Privilegi in MS Teams e SharePoint Online

Netwrix Auditor per SharePoint

• Esegui Netwrix Auditor → Vai su “Ricerca” → Clicca su “Modalità avanzata” se non è selezionata.
• Imposta i seguenti filtri:
  • Filtro = “Origine dati”
    Operatore = “Uguale”
    Valore = “SharePoint Online”
  • Filtro = “Dettagli”
    Operatore = “Contiene”
    Valore = “Membri”
  • Filtro = “Dettagli”
    Operatore = “Contiene”
    Valore = “Permessi”
  • Filtro = “Cosa”
    Operatore = “Non contiene”
    Valore = “ Membri”
  • Filtro = “Cosa”
    Operatore = “Non contiene”
    Valore = “ Visitors”

• Clicca su Search e controlla il tuo rapporto:
  Note riguardo al contenuto del rapporto:
  • Nei casi in cui i permessi sono stati assegnati direttamente, i dettagli sotto l'UPN dell'attore nella colonna “Chi” inizieranno con “Permessi:” e i permessi concessi saranno specificati tra virgolette.
  • Nei casi in cui un utente è stato aggiunto a un gruppo, i dettagli inizieranno con “Membri:” e il nome del gruppo è fornito nella colonna “Cosa”.
• Per affinare ulteriormente i risultati della ricerca, è possibile escludere gruppi, siti o attori specifici scegliendo la riga indesiderata nei risultati e facendo clic sul pulsante Exclude from search nel riquadro dei dettagli e selezionando il risultato che si desidera escludere.

Scopri di più su Netwrix Auditor for SharePoint

Soluzione nativa

• Apri il dashboard di Office 365 Security & Compliance.
• Vai a Search -> ricerca del registro di controllo.
• Nei filtri delle Attività, scegli “Shared file, folder, or site” e “Unshared file, folder, or site”.
• Fai clic su Cerca.
  I risultati della ricerca elencheranno i seguenti eventi: concessione diretta dei diritti di accesso, aggiunta di un utente a un gruppo, modifica dei diritti di gruppo. La tabella dei risultati includerà i seguenti dettagli di base:
  • Utente — Il nome dell'utente che ha eseguito l'azione
  • Voce — L'URL del sito SharePoint o del Team dove è stata effettuata la modifica
  • Dettaglio — L'utente o il gruppo al quale è stata applicata la modifica

• Per determinare se si è verificata un'escalation dei privilegi, dovrai approfondire ulteriormente. Un'opzione è espandere l'evento e rivedere le informazioni facendo clic sull'evento e sfogliando la scheda Dettagli. A seconda dell'attività, dovrai cercare le seguenti informazioni:
  • Se un utente è stato aggiunto a un gruppo con permessi di Controllo completo:

EventData: <Aggiunto al gruppo> mostrerà il nome del gruppo a cui è stato aggiunto l'utente.
(Nota che per impostazione predefinita, il gruppo con permessi di Controllo completo per un sito o team è denominato “[SiteName] Owners”.)

• Se i diritti sono stati concessi direttamente a un utente: EventData: <Permissions granted> il campo mostrerà i permessi concessi. La tua massima priorità è tenere traccia degli utenti ai quali è stato concesso il Controllo completo.

Tuttavia, le capacità del filtro di ricerca del registro di controllo sono piuttosto semplici e non consentono di escludere i risultati non pertinenti, quindi con questo metodo, è necessario fare clic su ogni singolo evento. Un modo alternativo per trovare l'escalation dei privilegi è analizzare i dati in Excel:

• Esporta i risultati della tua ricerca in CSV cliccando Export Results -> Download all results.
• Apri un foglio di lavoro vuoto ->Nella scheda Data nella sezione Get & Transform Data, fai clic su From Text/CSV -> Apri il file CSV che hai scaricato -> Fai clic su Transform Data.
• Nell'editor di query, fare clic con il tasto destro del mouse sul titolo nella colonna AuditData -> Cliccare su Trasforma -> Scegliere JSON.
• Nell'angolo in alto a destra della colonna AuditData, clicca sull'icona di espansione -> Clicca su Carica altro -> Deseleziona le proprietà che non vuoi includere -> Clicca su OK.
  
  La tabella risultante includerà le seguenti informazioni:
  • AuditData.CreationTime — L'orario dell'evento
  • AuditData.ClientIP — L'indirizzo IP da cui è stato eseguito l'evento
  • AuditData.UserId — Il nome dell'utente che ha eseguito l'azione
  • AuditData.EventData — L'azione eseguita
  • AuditData.SiteUrl — L'URL del sito SharePoint o del Team dove è stata effettuata la modifica
  • AuditData.TargetUserOrGroupName — L'utente o il gruppo al quale è stata applicata la modifica

Rimani al comando dell'escalation dei privilegi per bloccare gli attori delle minacce prima che possano causare danni

SharePoint Online e Microsoft Teams consentono livelli di collaborazione e condivisione di file senza precedenti. Gli utenti possono invitare chiunque disponga di un indirizzo email a unirsi a un sito o a un team — non solo colleghi interni ma anche utenti esterni come clienti, fornitori e appaltatori — senza alcun aiuto da parte del personale IT.

Questo modello di self-service è comodo per gli utenti, ma richiede chiaramente ai team IT di migliorare le loro strategie di controllo degli accessi. È necessario monitorare attentamente chi ottiene l'accesso al proprio ambiente e essere in grado di individuare rapidamente qualsiasi escalation dei permessi, come un utente che viene aggiunto a un gruppo di proprietari o a chiunque vengano concessi permessi di Controllo Totale per un team o un sito. Ad esempio, se a un utente esterno viene dato il Controllo Totale su un sito o un team, questo rappresenta una minaccia diretta per il tuo ambiente, poiché possono fare ciò che vogliono nel sito o nel team, inclusa la visualizzazione o l'eliminazione dei dati ivi memorizzati. Per un utente interno, l'escalation dei privilegi può essere un segno di intenti malevoli o compromissione dell'account.

Con gli strumenti nativi, è difficile ottenere le informazioni necessarie per individuare e bloccare queste minacce. Il registro di controllo di Office 365 registra le modifiche all'appartenenza ai gruppi e ai permessi, ma non c'è un modo semplice per tracciare queste attività — per rivedere i dettagli, devi o esaminare meticolosamente ogni evento o scaricare i dati in un file CSV e analizzarli lì.

Netwrix Auditor elimina la necessità di spendere il tuo prezioso tempo a setacciare minuziosamente una montagna di voci di registro eventi. Con la sua ricerca interattiva, puoi facilmente affinare i parametri di ricerca e rapidamente concentrarti sugli eventi pertinenti. Inoltre, otterrai subito tutti i dettagli chiave, inclusi chi ha ricevuto nuovi permessi e se l'escalation dei privilegi è stata il risultato di un cambiamento nell'appartenenza al gruppo o di un'assegnazione diretta.

Inoltre, puoi facilmente salvare le impostazioni di ricerca come un report personalizzato a cui puoi iscriverti, o utilizzarle per creare un allarme. In questo modo, puoi facilmente tenere sotto controllo gli eventi di escalation dei privilegi nei tuoi ambienti MS Teams e SharePoint Online.