Sicurezza di Active Directory: guida alla protezione delle identità

By Mirko Peters · 2025-11-23 · Updated 2026-07-18

Scopri la sicurezza di Active Directory con indicazioni pratiche su architettura, implementazione, sicurezza e governance.

Automatically translated with AI from the original post. Read the English original

Active Directory è molto importante per gli attaccanti in ogni azienda. Se qualcuno ne ottiene il controllo, perdi il controllo su persone, file, posta elettronica e risorse cloud. Gli attaccanti non hanno bisogno di particolari competenze di hacking: sfruttano piccoli errori per ottenere accesso completo. Devi agire in fretta e adottare misure chiare per proteggere ciò che è importante.

Punti chiave

• Active Directory aiuta a controllare chi può usare la tua rete. Proteggerlo impedisce agli attaccanti di accedere a dati e sistemi importanti.

• Verifica spesso gli account amministrativi ed elimina quelli che non ti servono. In questo modo diventa più difficile per gli attaccanti usare account con privilegi elevati.

• Implementa il tiering e la segmentazione nella tua rete. Così gli attaccanti non possono spostarsi facilmente e si riducono i rischi di problemi gravi.

• Attiva l'autenticazione a più fattori (MFA) per tutti gli account amministrativi. Questo offre una protezione aggiuntiva contro chi non dovrebbe accedere.

• Controlla i log e usa strumenti di sicurezza per individuare attività anomale. Individuare i problemi in anticipo ti consente di agire rapidamente per fermare le minacce.

Perché gli attaccanti prendono di mira Active Directory

Ruolo centrale nell'autenticazione

Active Directory aiuta a decidere chi può usare la tua rete, i file e le app. È il principale punto di controllo per la maggior parte delle aziende, e gli attaccanti lo sanno. Se ottengono il controllo di Active Directory, possono controllare quasi tutto.

Ecco una tabella che spiega perché gli attaccanti vogliono Active Directory:

Active Directory ti consente di gestire tutti gli utenti, i computer e le regole in un unico punto. Puoi impostare criteri di gruppo per definire regole valide per tutti, il che semplifica il lavoro. Ma se gli attaccanti riescono a entrare, possono accedere a tutto partendo da un unico punto.

Conseguenze della compromissione

Se qualcuno prende il controllo di Active Directory, le conseguenze possono essere gravi. Potresti perdere l'accesso a file o servizi. Gli attaccanti possono bloccarti fuori, rubare i tuoi dati o fermare l'attività aziendale.

Ecco alcune situazioni che potrebbero verificarsi:

• Gli utenti non riescono ad accedere a risorse o servizi.

• I sistemi IT potrebbero bloccarsi e smettere di funzionare.

• Le attività aziendali potrebbero fermarsi, con perdite di denaro e di tempo.

Suggerimento: proteggere Active Directory non significa solo fermare gli hacker. Significa anche mantenere operativa la tua azienda e al sicuro i tuoi dati.

Quando conosci i rischi, capisci perché gli attaccanti vogliono entrare in Active Directory. Devi cercare i punti deboli e correggerli prima che lo facciano loro.

Percorsi di attacco ad Active Directory

Gli attaccanti non hanno bisogno di strumenti sofisticati per entrare. Partono da cose semplici e cercano di ottenere sempre più controllo. Devi conoscere ogni passaggio per fermarli in una fase precoce.

Accesso iniziale e movimento laterale

Gli attaccanti spesso iniziano con trucchi semplici. Inviano email false per rubare le password oppure sfruttano password che non sono mai state cambiate. Possono anche provare password comuni su molti account. Se la rete presenta punti deboli, gli attaccanti possono individuarli con strumenti dedicati.

Dopo essersi introdotti, gli attaccanti si spostano su altri computer. Usano pass-the-hash per rubare gli hash delle password. Poi usano quegli hash per accedere da qualche altra parte. Kerberoasting prende di mira gli account di servizio con password deboli. Gli attaccanti usano BloodHound per vedere la tua rete e trovare modi per ottenere più potere.

Tra i percorsi di attacco più comuni troviamo:

• Kerberoasting per decifrare le password degli account di servizio.

• Avvelenamento LLMNR/NBT-NS per catturare gli hash delle password.

• Uso di password hard-coded negli script.

• Ricognizione LDAP per raccogliere informazioni su utenti e computer.

Nota: la maggior parte di queste azioni sembra normale attività amministrativa. Devi prestare attenzione ai piccoli segnali che qualcosa non va.

Tecniche di escalation dei privilegi

Dopo essere entrati, gli attaccanti vogliono più potere. Usano diversi metodi per ottenere privilegi più elevati. Ecco una tabella che mostra alcuni metodi comuni:

Metodi di dominio totale

Quando hanno privilegi elevati, gli attaccanti vogliono il controllo totale. Potrebbero creare falsi ticket chiamati golden ticket, che permettono di accedere a qualsiasi risorsa per lungo tempo. Alcuni usano attacchi DCSync per copiare tutti gli hash delle password dai domain controller. Altri rubano il file NTDS.dit, che contiene ogni password della rete.

I segnali di un dominio compromesso includono:

• Ransomware che cancella ogni domain controller.

• Backup che reintroducono malware al ripristino.

• Nessun backup pulito da usare per il ripristino.

• Gli attaccanti restano anche dopo che hai provato a risolvere il problema.

• Errori gravi che bloccano tutti gli utenti.

Se gli attaccanti arrivano fino a questo punto, controllano l'intera rete. Devi fermarli prima che raggiungano questa fase.

Debolezza del raggio d'azione degli account amministrativi

Rischi legati a privilegi eccessivi

Se troppi account hanno accesso elevato, è rischioso. Gli attaccanti cercano proprio questi account. Basta un solo errore per dare loro il controllo. A volte gli account mantengono l'accesso anche quando non serve più. Questi account dimenticati sono facili da individuare per gli attaccanti. Le Shadow Admin possono nascondersi nel tuo sistema. Possono nascere da soluzioni rapide o da account di servizio. Questi account entrano in gruppi potenti, e spesso non te ne accorgi. L'annidamento dei gruppi in Active Directory rende difficile individuarli.

• Gli attaccanti usano account con privilegi elevati per raggiungere le risorse importanti.

• Se un account amministratore viene compromesso, gli attaccanti possono modificare le impostazioni, rubare dati o installare software dannoso.

• Gli account amministrativi vecchi e non monitorati aiutano gli attaccanti a restare nascosti.

Suggerimento: controlla spesso gli account amministrativi e rimuovi quelli che non ti servono.

Tiering e segmentazione

Puoi ridurre il rischio suddividendo la rete in livelli. Questo approccio si chiama tiering e segmentazione. Ti aiuta a controllare chi può accedere alle risorse importanti. Con segmenti separati, gli attaccanti non possono spostarsi facilmente. La segmentazione inoltre impedisce al malware di diffondersi rapidamente.

• Tenere separate le parti limita la portata degli attaccanti.

• La segmentazione controlla chi accede ai sistemi chiave.

• Una buona segmentazione rallenta ransomware e altre minacce.

Interventi rapidi per il controllo degli amministratori

Puoi fare cose semplici per aumentare la sicurezza. Inizia individuando e rimuovendo gli account amministrativi vecchi. Spesso questi account sfuggono ai controlli e possono essere usati dagli attaccanti. Disattiva gli account amministratore globali creati per progetti o strumenti non più in uso. Così la rete diventa subito più sicura.

• Verifica e rimuovi i vecchi account amministratore.

• Disattiva gli account amministratore globale usati per i vecchi strumenti.

Nota: piccole modifiche possono fare molto per proteggere la tua rete.

Rischi legati a PKI e modelli di certificato

Pericoli delle configurazioni errate

Le password non sono l'unica cosa di cui preoccuparsi. I modelli di certificato possono consentire agli attaccanti di infiltrarsi. Modelli deboli aiutano gli attaccanti a creare certificati che funzionano come chiavi universali. Questi certificati possono concedere diritti di amministratore senza bisogno di una password. Gli attaccanti li chiamano amministratori "invisibili". Non compaiono nei normali log.

Ecco una tabella che mostra i pericoli più comuni delle configurazioni errate:

Nota: gli attaccanti cercano i punti deboli. Vogliono diritti di amministratore senza che nessuno se ne accorga.

Protezione dei modelli di certificato

Puoi bloccare molti attacchi rendendo i tuoi modelli di certificato più sicuri. Per prima cosa, verifica chi può richiedere un certificato per ciascun modello. Rimuovi o disattiva i modelli che non usi. Limita l'accesso ai modelli importanti, come quelli per le smart card.

Ecco una tabella con i passaggi per proteggere i modelli:

Suggerimento: controlla i tuoi modelli ogni pochi mesi. Questo ti aiuta a tenere il sistema al sicuro dai nuovi problemi.

Azioni pratiche per la PKI

Puoi fare alcune cose semplici per rafforzare la tua PKI. Usa una CA radice offline per proteggere la tua ancora di attendibilità. Usa una CA aziendale aggiunta al dominio per rilasciare certificati solo agli utenti attendibili. Configura l'iscrizione automatica tramite Criteri di gruppo per gestire facilmente i certificati.

Ecco una tabella con azioni pratiche per la PKI:

Ricorda: impostazioni PKI solide impediscono agli attaccanti di creare account amministratore invisibili. Controlla spesso i tuoi modelli e le autorizzazioni.

Sincronizzazione ibrida ed esposizione nel cloud

Le configurazioni di identità ibride collegano Active Directory ai servizi cloud. Questo ti aiuta a gestire gli utenti in entrambi gli ambienti. Ma porta anche nuovi rischi. Se gli attaccanti entrano nella tua AD locale, possono raggiungere gli account cloud. Può accadere anche il contrario: un account cloud debole può consentire agli attaccanti di entrare nella tua AD locale.

Vulnerabilità di Azure AD Connect

Azure AD Connect è un ponte tra la tua AD locale e il cloud. Gli attaccanti vogliono controllare questo ponte perché dispone di account molto potenti. Se qualcuno ottiene l'account computer del connettore AD DS o di Seamless SSO, può modificare password o autorizzazioni in entrambi gli ambienti.

Gli attaccanti usano strumenti di rete per colpire l'intero ambiente. Possono usare l'account AZUREADSSOACC per passare da AD a Entra ID. Se ottengono diritti di amministratore sul server di Entra Connect, controllano l'account di sincronizzazione. Possono modificare le identità in entrambi gli ambienti. Alcuni attaccanti usano SyncJacking per ottenere account cloud con privilegi elevati modificando account con privilegi bassi.

Suggerimento: usa l'account di sincronizzazione con i privilegi minimi. Controlla Azure AD Connect alla ricerca di attività anomale.

Accesso condizionale e MFA

Conditional Access e MFA aiutano a proteggere gli ambienti ibridi. I criteri di accesso condizionale fanno eseguire agli utenti passaggi aggiuntivi, come l'MFA, prima di accedere. Questi criteri verificano elementi come chi sei, il tuo dispositivo e la tua posizione. Decidono se puoi ottenere l'accesso.

• Conditional Access usa l'MFA per mantenere sicuro l'ambiente.

• I criteri usano i segnali per prendere decisioni intelligenti.

• Questo approccio segue il modello Zero Trust e verifica gli utenti a ogni accesso.

Nota: usare l'MFA per tutti gli account amministrativi blocca molti attacchi.

Sicurezza unificata delle identità

Dovresti considerare le identità locali e quelle cloud come un unico sistema. Una sicurezza unificata ti aiuta a individuare le minacce più rapidamente e ad agire subito. Segui questi passaggi per rafforzare le tue difese:

1. Installa i sensori di Defender for Identity sui controller di dominio.

2. Collega Defender for Identity a Microsoft 365 Defender per il monitoraggio.

3. Attiva l'accesso condizionale basato sul rischio in Entra per una protezione in tempo reale.

4. Usa Entra ID Governance per assegnare il privilegio minimo a tutti gli account.

5. Collega entrambi a Microsoft Sentinel per un rilevamento delle minacce più efficace.

Ricorda: una forte sicurezza delle identità ibride impedisce agli attaccanti di spostarsi tra sistemi locali e cloud.

Checklist di sicurezza di Active Directory

Una checklist efficace ti aiuta a proteggere rapidamente la rete. Puoi usare questa guida per individuare e correggere i rischi più gravi nel tuo ambiente. Inizia con i passaggi di triage rapido, poi mantieni solide le difese con una manutenzione regolare.

Passaggi di triage in 60 minuti

In appena un'ora puoi fare una grande differenza. Segui questi passaggi per ridurre rapidamente il rischio:

1. Verifica le patch urgenti. Installa su ogni server WSUS l'ultimo aggiornamento Microsoft per CVE-2025-59287. Questa patch chiude una grave falla di sicurezza.

2. Blocca le porte di rete a rischio. Se non puoi applicare subito la patch, blocca le porte TCP 8530 e 8531 in ingresso sui firewall. Così impedisci agli attaccanti di raggiungere i server WSUS. Potresti dover coordinarti con l'IT, perché questa operazione può sospendere gli aggiornamenti.

3. Arresta e disabilita i servizi WSUS. Se non puoi applicare la patch o bloccare le porte, arresta i servizi WSUS finché il problema non è risolto.

4. Isola i server WSUS esposti su internet. Trattali come ad alto rischio. Tienili lontani dalla rete principale.

5. Conserva le prove se sospetti un attacco. Salva la memoria, le immagini del disco e i log degli eventi. Contatta il tuo team di risposta agli incidenti.

6. Controlla i log degli eventi per verificare modifiche a AdminSDHolder. Cerca il codice evento 5136. Ti indica se qualcuno ha modificato le autorizzazioni amministrative.

7. Verifica chi ha apportato le modifiche. Individua l'account utente collegato a queste modifiche. Controlla la sua attività per eventuali anomalie.

8. Confronta le autorizzazioni. Assicurati che l'oggetto AdminSDHolder corrisponda alla tua baseline di sicurezza.

9. Cerca nuovi account privilegiati. Verifica eventuali modifiche alle appartenenze ai gruppi o alle autorizzazioni.

10. Lavora con il tuo team di sicurezza. Conferma se le modifiche sono state approvate.

11. Isola i sistemi interessati. Rimuovili dalla rete per impedire agli attaccanti di propagarsi.

12. Annulla le modifiche non autorizzate. Ripristina tutte le modifiche ad AdminSDHolder che non hai approvato.

13. Verifica tutti gli account privilegiati. Assicurati che rispettino le tue regole di sicurezza.

14. Reimposta le password degli account a rischio. Concentrati sugli account amministrativi e di servizio.

15. Aggiungi un monitoraggio extra. Tieni sotto controllo AdminSDHolder e gli altri oggetti chiave per rilevare nuove modifiche.

16. Informa il tuo Security Operations Center. Segnala qualsiasi attività sospetta.

17. Aggiorna i tuoi criteri di controllo degli accessi. Apporta modifiche per bloccare attacchi simili in futuro.

Suggerimento: puoi stampare questa checklist e tenerla vicino alla scrivania. Usala quando devi agire rapidamente.

Manutenzione continua

Devi mantenere solide le difese nel tempo. Buone abitudini ti aiutano a individuare i problemi in anticipo e a ripristinare rapidamente il servizio.

• Applica gli aggiornamenti spesso. Assicurati che ogni patch venga installata correttamente.

• Esegui il backup dei dati secondo una pianificazione regolare. Verifica i backup per assicurarti di poterli ripristinare.

• Monitora ogni giorno lo stato del tuo dominio. Cerca segnali di problemi, come accessi non riusciti o nuovi account amministratore.

• Ogni mese, controlla gli account amministratore e l'appartenenza ai gruppi. Rimuovi quelli che non ti servono.

• Ogni trimestre, controlla i modelli di certificato e le impostazioni PKI. Rimuovi i modelli obsoleti e riduci le autorizzazioni.

• Tieni sotto controllo gli strumenti di sincronizzazione ibrida, come Azure AD Connect. Cerca attività anomale o nuove autorizzazioni.

• Addestra il tuo team a riconoscere i tentativi di phishing e di ingegneria sociale.

• Pianifica revisioni di sicurezza periodiche. Usa la tua checklist per restare in linea con il piano.

Nota: piccole azioni costanti mantengono sicura la tua rete. Inserisci questi passaggi nella tua routine.

Seguendo questa checklist, costruisci una solida difesa attorno ai sistemi più importanti. Rendi molto più difficile agli attaccanti entrare o restare nascosti.

Strumenti di monitoraggio e rilevamento

Eventi chiave e ID evento

Devi tenere d'occhio con attenzione il tuo Active Directory. Gli attaccanti cercano di nascondere ciò che fanno. Puoi individuarli se sai cosa controllare. Inizia esaminando i log importanti e gli ID evento. Questi registri mostrano le modifiche e ti aiutano a individuare i problemi in anticipo.

• Modifiche all'appartenenza ai gruppi: controlla eventuali modifiche anomale nei gruppi amministrativi. L'ID evento 4728 indica che qualcuno ha aggiunto un utente a un gruppo. L'ID evento 4729 indica che qualcuno ha rimosso un utente.

• Creazione e eliminazione di account: l'ID evento 4720 mostra quando viene creato un nuovo utente. L'ID evento 4726 mostra quando un utente viene eliminato.

• Richieste di replica: l'ID evento 4662 può evidenziare attività di replica insolite. Gli attaccanti la usano per copiare i dati delle password.

• Eventi di autenticazione: l'ID evento 4624 registra gli accessi riusciti. Controlla gli accessi effettuati in orari insoliti o da nuove postazioni.

• Modifiche ai criteri di gruppo: l'ID evento 4739 tiene traccia delle modifiche ai criteri di gruppo. Gli attaccanti possono modificarli per ottenere il controllo.

Dovresti anche cercare i segnali di attacchi Kerberoasting o Golden Ticket. Questi attacchi lasciano tracce nei log, come richieste di ticket anomale o nuovi account di servizio.

Suggerimento: controlla i log ogni giorno. Verifiche rapide ti aiutano a intercettare i problemi prima che peggiorino.

Strumenti di sicurezza consigliati

Puoi usare strumenti specifici per monitorare e proteggere il tuo Active Directory. Questi strumenti semplificano la visibilità su ciò che accade e l'individuazione dei punti deboli.

• Lepide Auditor for Active Directory: tiene traccia delle modifiche in tempo reale e ti avvisa delle azioni sospette.

• Netwrix Auditor: invia avvisi immediati e conserva i log per lunghi periodi.

• ManageEngine ADAudit Plus: monitora l'attività degli utenti e consente di impostare avvisi personalizzati.

• SolarWinds Access Rights Manager (ARM): ti aiuta a gestire chi può accedere a cosa e verifica la conformità.

• Soluzione di Quest: tiene traccia delle modifiche e si integra con gli strumenti SIEM per un monitoraggio migliore.

• BloodHound: mappa i percorsi di attacco, così puoi capire come potrebbero muoversi gli attaccanti.

• PingCastle: verifica i rischi del tuo AD e assegna un punteggio di integrità.

• LAPS (Local Administrator Password Solution): garantisce che ogni computer abbia una password di amministratore univoca.

• Defender for Identity: rileva minacce e comportamenti anomali sui tuoi controller di dominio.

Molti di questi strumenti funzionano bene con i sistemi SIEM, come Splunk. Questo ti aiuta a individuare gli attacchi più rapidamente e a rispondere in fretta.

Nota: usare gli strumenti giusti e controllare i log giusti ti offre una solida difesa contro gli attaccanti.

Proteggere Active Directory aiuta la tua azienda a evitare grossi problemi. Proteggi la rete riducendo il blast radius degli amministratori. Chiudi anche le falle della PKI e rendi più affidabile la sincronizzazione ibrida. Gli attaccanti si muovono rapidamente se trascuri questi passaggi.

• Controlla i log usando gli strumenti SIEM.

• Concedi l'accesso amministrativo a un numero minore di persone e cambia le password spesso.

• Usa MFA e tieni separati i computer amministrativi.

• Controlla spesso i criteri di gruppo e le appartenenze.

Usa la tua checklist di triage e controlla la sicurezza ogni mese. Inizia con un solo dominio. Apporta piccole modifiche e frequenti. Resta vigile per proteggere il tuo bene più prezioso.

Domande frequenti

Qual è il passo più importante per proteggere Active Directory?

Devi avere meno account amministratore. Assicurati che ogni computer abbia una password propria. Controlla spesso chi appartiene ai gruppi di amministrazione. Questo aiuta a impedire agli attaccanti di causare danni importanti.

Con quale frequenza bisogna verificare account e autorizzazioni amministrative?

Controlla ogni mese gli account amministratore e le autorizzazioni. Elimina gli account che non utilizzi. Così la tua rete diventa più sicura e puoi individuare i problemi in anticipo.

Perché gli attaccanti prendono di mira i modelli di certificato?

Gli attaccanti sfruttano i modelli di certificato deboli per ottenere accessi amministrativi falsi. Questi certificati funzionano come chiavi segrete. Blocca i modelli e verifica chi può utilizzarli.

Una violazione del cloud può interessare Active Directory locale?

Sì. Se gli attaccanti accedono agli account cloud, possono raggiungere la tua AD locale. Devi proteggere entrambe e monitorare eventuali attività anomale.

Quali strumenti aiutano a monitorare Active Directory per individuare attacchi?

Puoi usare BloodHound, PingCastle e Defender for Identity. Questi strumenti ti aiutano a individuare i punti deboli e ti avvisano delle minacce.

Ascolta anche questi episodi

Se stai approfondendo la sicurezza di Active Directory, questi episodi offrono un contesto pratico su architettura, operazioni, sicurezza e governance:

• Microsoft AI Agent Harness – Simply Explained — Scopri orchestrazione e guardrail.
• Azure AI Foundry – Simply Explained — Comprendi la distribuzione dell'AI in azienda.
• Microsoft Defender XDR – Simply Explained — Aggiungi contesto sulla sicurezza.