Azure Identity Protection: Criteri di Rischio

Cos'e Azure Identity Protection?

Azure Identity Protection e lo strato di sicurezza basato sul rischio di Microsoft Entra ID che valuta continuamente segnali di accesso e rischio utente per rilevare compromissioni di credenziali, viaggi impossibili e attacchi di phishing AiTM in tempo reale.

Senza criteri di Identity Protection, questi segnali sono visibili nei log ma non generano risposta automatizzata.

Come Funziona Azure Identity Protection

Rischio di accesso — segnali: IP anonimo (Tor, VPN), viaggio atipico, proprieta di accesso insolite, pattern di spray, anomalie token (indicatori phishing AiTM).

Rischio utente — segnali: credenziali divulgate (Microsoft monitora database di breach), attivita sospetta, uso anomalo dei token.

La Catena di Attacco

# Senza criterio: aggressore con credenziali divulgate si autentica con successo
# Con criterio: utente ad alto rischio → richiedere cambio password → aggressore bloccato

# Senza criterio di accesso: sessione AiTM con token rubato passa senza sfida
# Con criterio: sessione ad alto rischio richiede ri-autenticazione MFA → aggressore bloccato

Rilevamento

azure.signinlogs.properties.risk_level_during_sign_in: ("high" OR "medium") AND
azure.signinlogs.properties.status.error_code: 0

Rimedio

💡 Azione Rapida: Attiva i criteri di rischio utente e di accesso in Identity Protection oggi.

Entra ID > Sicurezza > Identity Protection > Criterio rischio accesso:
Utenti: Tutti | Rischio: Medio e superiore | Accesso: Richiedi MFA | Abilita: Si

Entra ID > Sicurezza > Identity Protection > Criterio rischio utente:
Rischio: Alto | Accesso: Consenti + Richiedi cambio password | Abilita: Si

Get-MgRiskyUser -Filter "riskLevel eq 'high'" |
    Select-Object UserPrincipalName, RiskLevel
Invoke-MgConfirmRiskyUserCompromised -UserIds @("id-utente-compromesso")

Come EtcSec Rileva Questo

La categoria Risk Protection verifica se i criteri di rischio di accesso e utente sono configurati e applicati.

ℹ️ Nota: EtcSec audita automaticamente la configurazione di Identity Protection. Esegui un audit gratuito.

Matrice di Controllo del Rischio

Perimetro operativo per Azure Identity Protection: Automatizzare la Risposta alle Credenziali Divulgate

Azure Identity Protection: Automatizzare la Risposta alle Credenziali Divulgate va trattato come una vera esposizione dentro il tuo tenant Entra ID e Azure, non come una singola impostazione isolata. Il primo passo e definire il perimetro di review: quali admin, guest, service principal, app registration, esclusioni di policy e account break-glass sono coinvolti, quali dipendenze di business esistono, quali privilegi vengono esposti e quali eccezioni di emergenza si sono accumulate nel tempo. Questo lavoro evita una remediation superficiale, perche il sintomo tecnico e spesso piu piccolo del blast radius operativo. Quando il team documenta il percorso completo tra configurazione, privilegio e uso reale, puo dare priorita a cambiamenti che riducono rischio senza rompere accessi leciti o fermare l'operativita.

Cosa verifica prima un attaccante

Quando un attaccante entra in il tuo tenant Entra ID e Azure, raramente si ferma al primo punto debole. Intorno a Azure Identity Protection: Automatizzare la Risposta alle Credenziali Divulgate prova quasi sempre a concatenare l'accesso con auth legacy, governance guest debole, consensi troppo ampi, account di emergenza obsoleti e ruoli mai rivisti. Per questo la difesa deve rivedere non solo la debolezza principale, ma anche ogni dipendenza vicina che puo trasformare accesso iniziale in persistenza o escalation. Bisogna chiarire quali identita, ruoli, permessi e assunzioni di fiducia possono essere riutilizzati. Se il fix chiude un solo oggetto ma lascia aperti percorsi adiacenti, il rischio reale cambia poco. Una review seria delle catene di abuso rende questo tema un vero esercizio di hardening.

Evidenze e telemetry da raccogliere

Una risposta matura a Azure Identity Protection: Automatizzare la Risposta alle Credenziali Divulgate richiede evidenze che engineering e detection possano rileggere insieme. Raccogli log di accesso, audit log, cambi di ruolo, eventi di consenso, modifiche a segreti e segnali di rischio, confronta i cambi recenti con le finestre di manutenzione previste e isola account o oggetti che hanno cambiato comportamento senza una motivazione di business chiara. Queste evidenze devono rispondere a tre domande: quando e comparsa l'esposizione, chi puo ancora sfruttarla e se esistono varianti simili altrove in il tuo tenant Entra ID e Azure. La telemetry aiuta anche a distinguere debito tecnico storico da abuso attivo o da controlli allentati di recente. Questa distinzione cambia priorita, comunicazione e ordine corretto della remediation.

Debolezze vicine da rivedere

Pochi ambienti contengono Azure Identity Protection: Automatizzare la Risposta alle Credenziali Divulgate da solo. In pratica, la stessa zona del tenant o della directory contiene spesso anche auth legacy, governance guest debole, consensi troppo ampi, account di emergenza obsoleti e ruoli mai rivisti, e sono proprio queste debolezze vicine a decidere se l'esposizione resta rumorosa o diventa critica. Rivedi owner condivisi, permessi ereditati, eccezioni duplicate e scorciatoie amministrative mai rimosse. Se lo stesso schema rischioso compare in piu punti, di solito il problema e di processo e non solo tecnico. Questa vista piu ampia aumenta la probabilita di eliminare l'intero percorso di attacco, non soltanto una sua parte visibile.

Ordine di remediation che abbassa il rischio

Per Azure Identity Protection: Automatizzare la Risposta alle Credenziali Divulgate, la remediation deve seguire un ordine che riduca il rischio prima di inseguire la perfezione. Prima chiudi i percorsi con il maggior valore di escalation, poi proteggi gli oggetti o le identita piu sensibili e solo dopo affronta i gap secondari di hygiene. Usa Conditional Access, PIM, least privilege, access review, verifica degli owner applicativi, workflow di approvazione e MFA forte come insieme di controlli target. Ogni cambiamento deve avere un owner, una nota di rollback e una validazione esplicita. Questa disciplina evita che il programma si fermi dopo il primo miglioramento tecnico. Se una riprogettazione completa non e possibile subito, definisci controlli intermedi e pianifica il lavoro strutturale nel prossimo review operativa settimanale e review di hardening mensile.

Validazione dopo ogni cambiamento

Dopo qualsiasi modifica legata a Azure Identity Protection: Automatizzare la Risposta alle Credenziali Divulgate, valida il risultato sia dal punto di vista dell'amministratore legittimo sia da quello del percorso di attacco. Conferma che utenti e sistemi previsti continuino a funzionare e dimostra allo stesso tempo che il percorso pericoloso non offra piu la stessa leva. Riesegui la raccolta di log di accesso, audit log, cambi di ruolo, eventi di consenso, modifiche a segreti e segnali di rischio, rileggi le approvazioni e verifica che nessun oggetto vicino mantenga una via alternativa. La validazione deve includere anche criteri di successo scritti. Nei team maturi un fix si considera chiuso solo quando il percorso di rischio sparisce, il servizio resta operativo e lo stato finale coincide con il target di hardening.

Ownership, escalation e governance

Temi come Azure Identity Protection: Automatizzare la Risposta alle Credenziali Divulgate falliscono quando si corregge il sintomo tecnico ma nessuno possiede il controllo di lungo periodo. Assegna responsabilita chiare tra identity engineering, cloud security, owner IAM e team applicativi, definisci chi approva le eccezioni e stabilisci quale team deve autorizzare la reintroduzione di un oggetto rischioso. Questa governance non e burocrazia inutile: serve a evitare che una migrazione, un'urgenza o un'integrazione terza riapra lo stesso percorso poche settimane dopo. Documenta quindi i punti decisionali che hanno reso possibile la debolezza e aggiorna il processo circostante, cosi che la prossima richiesta venga valutata rispetto alla nuova baseline e non a una vecchia scorciatoia.

Domande utili durante la review

Durante una review su Azure Identity Protection: Automatizzare la Risposta alle Credenziali Divulgate, le domande pratiche sono piu utili delle formule astratte. Quali oggetti hanno ancora piu privilegi del necessario? Quale eccezione sopravvive solo perche nessuno l'ha rivista dopo la fine di un progetto? Quale team vedrebbe per primo un abuso e con quali prove? Quale dipendenza di business blocca oggi la remediation e quale controllo compensativo esiste nel frattempo? Domande come queste fanno emergere ambiguita operative che il solo inventario tecnico non mostra. Inoltre obbligano a collegare design identitario, qualita dei log, ownership e change management nella stessa discussione.

Cosa aspettarsi dal monitoraggio continuo

Una pulizia una tantum intorno a Azure Identity Protection: Automatizzare la Risposta alle Credenziali Divulgate produce meno esposizione a livello tenant, meno privilegi permanenti e confini di accesso piu difendibili solo se il monitoraggio diventa ricorrente. Imposta controlli periodici basati su log di accesso, audit log, cambi di ruolo, eventi di consenso, modifiche a segreti e segnali di rischio, rivedi gli oggetti piu sensibili nel prossimo review operativa settimanale e review di hardening mensile e tratta la deriva come tratteresti un incidente. L'obiettivo non e produrre piu rumore, ma riconoscere cambi significativi: nuovi privilegi, controlli rilassati, account riattivati, esclusioni ampliate o owner cambiati senza passaggio di consegne. Quando questi segnali vengono rivisti con costanza, l'ambiente diventa allo stesso tempo piu sicuro e piu facile da spiegare ad auditor, leadership e team tecnici.

Piano di miglioramento a 30 giorni

Nei prossimi 30 giorni tratta Azure Identity Protection: Automatizzare la Risposta alle Credenziali Divulgate come un mini programma di hardening. Settimana 1: conferma perimetro e ownership. Settimana 2: rimuovi i percorsi piu pericolosi e imponi i Conditional Access, PIM, least privilege, access review, verifica degli owner applicativi, workflow di approvazione e MFA forte prioritari. Settimana 3: valida la remediation con telemetry aggiornata e correggi le debolezze vicine emerse durante la review. Settimana 4: trasforma quanto imparato in controlli ricorrenti, regole di approvazione e reporting durevole. Questo ciclo funziona perche collega remediation tecnica e miglioramento del processo. Alla fine deve essere chiaro cosa era esposto, cosa e cambiato, quale lavoro architetturale resta aperto e come il rischio verra monitorato in seguito.

Priorita di Verifica

Cosa validare per prima

Controlla subito gli account privilegiati, le deleghe e gli oggetti che influenzano direttamente il Tier 0. La verifica deve coprire non solo la configurazione visibile, ma anche gruppi, ACL e percorsi indiretti che possono ricreare lo stesso privilegio.

Cosa correggere prima

Chiudi per prime le condizioni che permettono movimento laterale, abuso di delega o rialzo di privilegi. Subito dopo, rafforza monitoraggio, ownership e review periodiche per evitare che lo stesso percorso riappaia nel tempo.

Letture Correlate

Per completare la revisione di questo rischio, confrontalo anche con Sicurezza delle Identita Azure: Perche l'MFA da Solo Non Basta, Lacune Accesso Condizionale Azure: Bypass MFA, Accesso Privilegiato Azure: Troppi Admin Globali, Hardening Tenant Azure: Security Defaults e Account Guest Azure: Rischi per il Tenant. Insieme mostrano come identita, configurazione e privilegi si concatenano nello stesso percorso di abuso.

• Sicurezza delle Identita Azure: Perche l'MFA da Solo Non Basta
• Lacune Accesso Condizionale Azure: Bypass MFA
• Accesso Privilegiato Azure: Troppi Admin Globali
• Hardening Tenant Azure: Security Defaults
• Account Guest Azure: Rischi per il Tenant

Questa verifica incrociata aiuta a capire se stai correggendo un singolo sintomo o una catena piu ampia di esposizione nel tenant o in Active Directory.