Strategia di audit logging di Microsoft 365: guida pratica alla governance

By Mirko Peters · 2026-04-21 · Updated 2026-07-29

Costruisci una strategia di audit logging di Microsoft 365 con Purview Audit, conservazione, monitoraggio della sicurezza, evidenze di conformità e indagini operative.

Automatically translated with AI from the original post. Read the English original

Una strategia di audit logging di Microsoft 365 richiede un risultato di business chiaro, un responsabile identificato e controlli pratici. Parti dal caso d'uso a rischio più alto o a valore maggiore, verifica le indicazioni Microsoft aggiornate, testa con utenti rappresentativi e documenta la decisione prima di estendere l'implementazione. In questo modo la soluzione resta utile, sostenibile e allineata ai requisiti di sicurezza e governance.

Strategia di audit logging di Microsoft 365: checklist pratica

• Definisci lo scenario, il responsabile e i criteri decisionali.
• Valuta le implicazioni su sicurezza, accessi, licenze e operatività.
• Testa, documenta e verifica il risultato prima di un'implementazione più ampia.

Consulta Microsoft Learn per le indicazioni aggiornate.

Ultima revisione: luglio 2026.

Se gestisci Microsoft 365 per la tua organizzazione, l'audit logging non è un optional: è il cuore pulsante della tua strategia di conformità e sicurezza. Questa guida ti accompagna in ogni aspetto necessario per gestire, perfezionare e ricavare valore concreto dai log di audit. Scoprirai quali attività vengono registrate, per quanto tempo restano disponibili e come funzionano i diversi strumenti di reporting.

Troverai i passaggi pratici per attivare l'audit logging in tutto il tuo ambiente Microsoft 365, coprendo tutti i servizi che i tuoi team usano davvero, da SharePoint e Teams fino a Exchange e oltre. La guida approfondisce strategie di gestione avanzate, offre suggerimenti utili per la conservazione dei log e presenta modi per bilanciare budget, sicurezza ed esigenze normative senza sprechi.

Non si tratta solo di spuntare una casella per la conformità. Vedrai come i log di audit diventano la base del monitoraggio della sicurezza, della risposta agli incidenti e di decisioni consapevoli. Un'attenzione particolare va alle sfide attuali, come il monitoraggio del lavoro ibrido e da remoto, la scalabilità della gestione dei log e l'integrazione dei dati per un monitoraggio unificato. Quindi, che tu voglia ridurre i rischi per la sicurezza, superare un audit senza problemi o semplicemente tenere il passo con le novità di M365, questa guida pone le basi per una strategia di logging resiliente, efficiente e pronta per il futuro.

Definizione

L'audit logging di Microsoft 365 è una funzionalità centralizzata che registra le azioni di utenti, amministratori e sistemi nei servizi Microsoft 365 (come Exchange Online, SharePoint, OneDrive, Teams e Azure AD) per creare una traccia immutabile degli eventi a fini di sicurezza, conformità e analisi forense.

Fondamenti dell'audit logging di Microsoft 365

Prima di iniziare ad attivare impostazioni o a esplorare le dashboard, conviene capire cosa significa davvero l'audit logging nel mondo di Microsoft 365. Questi log sono il registro di chi ha fatto cosa, quando e dove in tutti i tuoi carichi di lavoro M365, dalle modifiche ai file in SharePoint alle eliminazioni di chat in Teams, dagli accessi alle caselle in Exchange e molto altro. Quando pensi ai « log di audit », immagina una traccia dettagliata e con marcatura temporale che ti dà visibilità sulle azioni nel tuo ambiente.

L'audit logging non è solo un compito tecnico. È una parte fondamentale della governance complessiva e della gestione del rischio dell'organizzazione. Questi log possono aiutarti a individuare comportamenti anomali, indagare sugli incidenti, dimostrare la conformità o semplicemente mantenere il controllo quando arrivano inevitabilmente gli auditor. E con normative sempre più severe, avere una configurazione di logging solida è indispensabile per mantenere le certificazioni ed evitare le sanzioni regolamentari.

Microsoft 365 include diversi livelli di registrazione degli audit, a volte con funzionalità che dipendono dal piano di licenza o dalla regione. Questi log coprono più servizi: dagli accessi degli utenti, all'attività di condivisione e alle modifiche amministrative, fino a segnali più approfonditi se disponi della licenza giusta. Quindi, padroneggiare bene le basi ti garantisce di non perdere un elemento cruciale più avanti e ti prepara a un deployment più fluido, a una risoluzione dei problemi più efficace e a una reportistica migliore.

Le sezioni seguenti ti mostrano come attivare e configurare questi log, sia tramite il portale Microsoft Purview, per chi preferisce l'approccio grafico, sia tramite PowerShell, per chi ama l'automazione. Assicuriamoci che tu ricavi un valore reale (e non solo rumore) dal tuo audit trail.

7 aspetti sorprendenti dell'audit logging in Microsoft 365

1. Il log unificato non significa che tutto venga acquisito immediatamente: il log di audit unificato di Microsoft 365 centralizza molti segnali, ma gli eventi possono impiegare fino a 24 ore (e talvolta di più) per comparire, con un impatto sulle componenti in tempo reale della tua strategia di audit logging m365.
2. Servizi diversi hanno conservazioni predefinite diverse: gli eventi di SharePoint, Exchange, Teams e AzureAD possono avere periodi di conservazione predefiniti differenti; progettare una strategia di audit logging m365 richiede di configurare in modo esplicito i criteri di conservazione oppure di usare un'esportazione a lungo termine per soddisfare le esigenze di conformità.
3. Non tutte le attività vengono registrate se non le abiliti: alcune azioni sensibili (ad esempio gli audit delle cassette postali o alcune azioni amministrative) devono essere abilitate o coperte da licenza per essere acquisite, quindi la tua strategia di audit logging m365 deve includere la verifica delle impostazioni di audit specifiche di ciascun servizio.
4. Limiti di esportazione e archiviazione influenzano l'architettura: il log di audit unificato prevede throttling, limiti delle API e considerazioni sulle dimensioni; una strategia di audit logging m365 efficace spesso sposta i dati in Azure Storage, Sentinel o in un SIEM, per avere archivi durevoli e interrogabili.
5. La ricerca può ingannare: i risultati vengono campionati e paginati: le ricerche nel log di audit nel centro Security & Compliance usano la paginazione e potrebbero non restituire tutti gli elementi storici in un'unica query; la tua strategia di audit logging m365 dovrebbe basarsi su esportazioni sistematiche per avere completezza ai fini forensi.
6. Privacy e oscuramento influenzano ciò che puoi vedere: la privacy degli utenti, le etichette di conservazione e la governance dei dati possono oscurare o nascondere dettagli nei risultati di audit; includi i requisiti di governance e legali quando pianifichi una strategia di audit logging m365 per evitare punti ciechi.
7. Molti segnali importanti si trovano al di fuori del log di audit unificato: la telemetria degli endpoint, la diagnostica degli accessi di Azure AD e i report di accesso condizionale richiedono a volte raccoglitori separati: una strategia completa di audit logging m365 deve integrare queste fonti per una copertura totale.

Come attivare l'audit logging in Microsoft 365

1. Verifica le tue autorizzazioni: ti serve il ruolo amministrativo corretto, in genere «Amministratore conformità» o «Amministratore globale». Senza questo, non puoi gestire le funzionalità di audit logging.
2. Vai al portale di conformità di Purview: apri il portale di conformità di Microsoft Purview. È il tuo hub centrale per le impostazioni del log di audit, per le indagini e per la reportistica.
3. Attiva l'audit: per impostazione predefinita, l'audit è ormai abilitato per la maggior parte dei tenant, ma se viene richiesto, fai clic su «Avvia la registrazione dell'attività di utenti e amministratori». In questo modo ti assicuri che l'attività dell'organizzazione venga registrata.
4. Verifica i requisiti di licenza: alcune funzionalità avanzate di logging (come la conservazione più lunga e segnali più ricchi) richiedono Microsoft 365 E5 oppure componenti aggiuntivi premium. Controlla le tue licenze per non perdere una copertura di log fondamentale.
5. Conferma lo stato: nella sezione Audit, verifica che la registrazione sia attiva. Se non lo è, risolvi eventuali ostacoli di autorizzazioni o di sottoscrizione prima di procedere.
6. Esamina la copertura della registrazione: i log di audit coprono Exchange, SharePoint, Teams e altri servizi, ma il livello di dettaglio può variare in base al servizio e alla licenza.

Per una panoramica visiva e per saperne di più sui livelli dei log di controllo, consulta questa guida sull'audit delle attività degli utenti con Microsoft Purview.

Configurare i log di controllo con PowerShell

1. Connettiti a Exchange Online PowerShell: apri PowerShell e connettiti con il cmdlet Connect-ExchangeOnline. Accedi con un account che dispone di privilegi di amministratore.
2. Abilita il registro di controllo unificato: se necessario, per i tenant meno recenti usa Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true. La maggior parte dei tenant moderni ha già il registro unificato abilitato, ma è buona pratica verificarlo.
3. Abilita il controllo delle cassette postali: per Exchange, esegui Set-Mailbox -Identity "user@domain.com" -AuditEnabled $true per assicurarti che le attività delle cassette postali vengano registrate.
4. Script per le distribuzioni su larga scala: automatizza le modifiche in blocco scorrendo utenti o gruppi con script PowerShell. Includi la registrazione e la gestione degli errori, soprattutto quando gestisci ambienti di grandi dimensioni.
5. Verifica e controlla: usa Get-Mailbox | FL Name,AuditEnabled per verificare lo stato del controllo su tutte le cassette postali. Controlla regolarmente la configurazione dell'audit dopo la distribuzione.

Cerca il modo di integrare questi script nelle pipeline di distribuzione, così da rendere la tua postura di audit scalabile e coerente. Ti servono altri consigli su PowerShell e automazione? Dai un'occhiata alle ultime indicazioni su come rendere operativa la governance in Microsoft 365 con l'automazione PowerShell (reindirizzamento all'episodio del podcast).

Gestione dei log di controllo e strategie di conservazione

Attivare i log di controllo è solo l'inizio. La vera sfida, e anche l'opportunità, sta nel gestire questi log in modo efficiente man mano che cresce l'attività della tua organizzazione. Conservazione e gestione significano capire quanti dati devi mantenere, per quanto tempo, e come gestire tutto, dalle richieste di conformità alle indagini IT, senza essere sommerso da costi di archiviazione inutili o perdere qualcosa di essenziale.

In questa sezione trovi il contesto per trovare il giusto equilibrio nelle tue impostazioni dei criteri. Conservare i log per troppo poco tempo può far sparire prove critiche prima che servano. Conservarli per sempre, invece, può far lievitare i costi o sollevare problemi di privacy. Le strategie di conservazione efficaci si allineano ai requisiti di conformità (come GDPR, HIPAA e simili), continuando però a tener conto della propensione al rischio dell'azienda e delle sue esigenze operative.

Una gestione sostenibile dei log significa definire routine. Valuta chi esamina i log, con che frequenza e come garantisci nel tempo accesso, sicurezza e accuratezza. Quando i volumi di dati crescono in modo rapido (soprattutto in ambienti ibridi o in team in forte espansione), pratiche come lo showback e le revisioni della proprietà diventano essenziali per il controllo dei costi e la governance, come puoi vedere in episodi come la responsabilità dei costi con lo showback per la gestione dei costi IT di Microsoft 365.

Vedremo come definire criteri di conservazione pratici per ogni carico di lavoro, come organizzare e proteggere i log e quali abitudini di gestione ripagano man mano che l'ambiente evolve. Prima di addentrarti in ogni singola best practice, prenditi un momento per considerare come proprietà, revisioni periodiche e applicazione dei criteri siano tutti elementi fondamentali per il successo dei log di controllo: non solo per superare gli audit, ma anche per la protezione quotidiana e la chiarezza operativa.

Configurare i criteri di conservazione dei log di controllo in Microsoft 365

1. Comprendi la conservazione predefinita: i log di controllo standard vengono in genere conservati per 90 giorni con le licenze M365 E3. I piani E5 e Premium possono conservare i record di controllo fino a 1 anno o oltre, a seconda delle impostazioni.
2. Valuta i requisiti normativi: stabilisci quali normative o certificazioni (GDPR, HIPAA, SOX e simili) impongono periodi minimi di conservazione. Questo ti indica per quanto tempo devi conservare determinati log.
3. Personalizza i criteri per carico di lavoro: imposta periodi di conservazione diversi per servizi come Exchange, SharePoint e Teams, in modo da rispondere ai rischi e alle esigenze di conformità di ogni unità di business.
4. Bilancia costi e rischi: valuta i costi di archiviazione rispetto ai rischi legali e operativi. A volte una conservazione più lunga è fondamentale, ma non conservare log inutili solo "per sicurezza".
5. Configura e rivedi: usa Microsoft Purview per impostare questi criteri di conservazione e verificarne periodicamente la pertinenza. Aggiornali quando emergono nuove esigenze di business o normative.

Se stai pianificando la conservazione insieme a Data Loss Prevention, ascolta questa risorsa sulla configurazione di DLP e sull'integrazione dei criteri in Microsoft 365 per approfondire la sinergia tra sicurezza e conformità.

Best practice per la gestione dei log di controllo

1. Esegui revisioni periodiche: controlla periodicamente i log di controllo per individuare anomalie, configurazioni errate o segnali di rischio emergente. Non limitarti a raccogliere i log: usali.
2. Proteggi l'accesso: concedi l'accesso ai log di controllo solo ai ruoli appropriati. Usa un'autenticazione robusta e monitora i tentativi di accesso non riusciti per ridurre le minacce interne ed esterne.
3. Archivia in modo strategico: implementa una strategia di archiviazione per i log che devi conservare a lungo termine, assicurandoti che restino integri e accessibili per blocchi legali o audit futuri.
4. Monitora le modifiche: configura avvisi per modifiche sospette, come l'escalation dei privilegi o le modifiche ai criteri di logging stessi. Questo ti aiuta a individuare tempestivamente le manomissioni.
5. Documenta responsabilità e processo: assegna responsabilità chiare su chi esamina, gestisce e inoltra i risultati dei controlli. La vera governance si basa su un processo intenzionale, non solo sulla tecnologia.

Per approfondire la disciplina necessaria oltre i controlli nativi, leggi l'illusione della governance in Microsoft 365 e scopri come evitare confusione. Se vuoi rafforzare la sicurezza senza infastidire gli utenti finali, trovi indicazioni anche in questa guida pratica alla configurazione della sicurezza.

Integrazione dei log di controllo con il monitoraggio di conformità e sicurezza

I log di controllo fanno molto più che restare in attesa di un audit. Sono un elemento fondamentale di qualsiasi programma di conformità e uno strumento di difesa in prima linea per le operazioni di sicurezza. Nei settori regolamentati, mantenere la traccia di audit corretta può fare la differenza tra un audit senza intoppi e sanzioni pesanti. I log forniscono prove chiare sia per il monitoraggio proattivo sia per la risposta reattiva agli incidenti.

Questa sezione illustra come i log di controllo di Microsoft 365 si mappano sui vari standard di conformità (come SOX, HIPAA e GDPR) e come aiutano a misurare e dimostrare la conformità nel tempo o a individuare quando qualcosa va storto. Ma la conformità non è l'unico aspetto. I log supportano le indagini forensi, alimentano il rilevamento delle minacce e aiutano a collegare tra loro attività degli utenti, modifiche di sistema e segnali di rischio.

Tutti questi dati preziosi hanno valore solo se riesci a trasformarli in vera intelligence sulla sicurezza. È qui che le integrazioni con i SIEM, che portano Microsoft 365 insieme alle più ampie piattaforme di sicurezza cloud e on-premise, offrono grandi vantaggi. Un'integrazione intelligente consente un monitoraggio unificato, un triage degli incidenti più rapido e flussi di lavoro di sicurezza più efficienti. Ottieni anche il contesto necessario per affrontare rischi emergenti come attività nascoste degli agenti AI o la deriva della conformità, approfonditi in risorse come questa guida al monitoraggio della conformità con Defender for Cloud e questo approfondimento su agenti AI e governance dello shadow IT.

In breve, integrare il logging di controllo con l'ecosistema più ampio di conformità e sicurezza ti permette di passare da "casella spuntata" a "completamente protetto". Nelle prossime sezioni vediamo i ruoli fondamentali che questi log svolgono nella conformità, nelle indagini di sicurezza e nel monitoraggio in tempo reale.

Uso dei log di controllo per la conformità e gli standard normativi

1. Identifica i tipi di log chiave: concentrati sui log critici richiesti dagli standard di settore, come le attività degli amministratori, l'accesso ai dati, gli eventi di condivisione e le modifiche ai criteri in Purview.
2. Dimostrare la prontezza per gli audit: usa i report e le dashboard di audit di Microsoft Purview per raccogliere rapidamente le prove necessarie per verifiche normative o audit di terze parti, semplificando la preparazione.
3. Gestire gli scenari complessi: per funzionalità come il salvataggio automatico e la co-authoring, tieni presente che i log potrebbero comprimere la cronologia; le tue prove devono riflettere il comportamento reale degli utenti, non solo la conservazione statica.
4. Automatizzare la raccolta delle prove: usa Purview e Sentinel per raccogliere ed esportare i log quando analizzi l'impatto di Copilot o di Azure AI, o altri scenari di conformità più avanzati.
5. Colmare le lacune di conformità: valuta regolarmente la copertura dei log rispetto ai requisiti normativi e aggiorna i criteri per includere nuovi flussi di dati o processi di lavoro.

Per un approfondimento sui problemi di conformità nascosti, dai un'occhiata a questo episodio del podcast sul drift di conformità della conservazione in M365. Se stai proteggendo Copilot e altre funzionalità di AI, consulta questi passaggi per mantenere i progetti di AI conformi e sotto controllo.

Audit di sicurezza e indagini con i log di controllo di Microsoft 365

1. Analizzare i campi principali: usa timestamp, utente, carico di lavoro, IP client e dettagli dell'evento per indagini approfondite. Questi indizi sono fondamentali per ricostruire le azioni sospette degli utenti nei vari servizi.
2. Seguire il flusso di lavoro dell'incidente: parti da avvisi o segnali di rilevamento (come condivisioni impreviste o eventi di accesso) e usa i log di controllo filtrati per seguire le tracce tra account, dispositivi o servizi.
3. Individuare i modelli di minaccia: riconosci tecniche di attacco come il phishing di consenso, l'abuso di token OAuth o le app shadow IT, esaminando i log pertinenti e cercando schemi noti.
4. Escalare e documentare: documenta con chiarezza i risultati ed escalali per la risoluzione o per azioni legali. Tracce di audit complete sono essenziali quando un incidente diventa grave.

Vuoi suggerimenti per il rilevamento avanzato delle minacce, come il phishing AiTM e il monitoraggio delle app non autorizzate? Scopri dai casi reali di violazione in questa analisi della catena di attacco e la governance pratica dello shadow IT in questa guida all'amministrazione.

Integrazione SIEM per la registrazione di controllo di Microsoft 365

1. Scegli il tuo SIEM: Microsoft Sentinel, Splunk e QRadar sono scelte diffuse per centralizzare il monitoraggio dei log e correlare le minacce tra piattaforme.
2. Configura l'acquisizione dei log: collega i log di controllo di Microsoft 365 tramite connettori integrati o API, assicurandoti che i dati giusti confluiscano nel SIEM in tempo reale.
3. Normalizza e correla: usa le regole di normalizzazione del SIEM per rendere leggibili i campi dei log e unisci gli eventi di controllo di M365 con i dati di Azure, Entra ID ed endpoint per una threat hunting più ampia.
4. Automatizza la risposta: attiva avvisi o flussi di lavoro automatizzati nel SIEM in base ai segnali dei log di controllo, per una risposta agli incidenti più rapida e coordinata.
5. Governance continua: verifica regolarmente l'integrazione per individuare il drift dei criteri e cura la governance fin dalla progettazione, come illustrato in questi approfondimenti sulla strategia di governance di Azure e i cicli di sicurezza centrati sull'identità.

Esplorare gli strumenti e i portali di registrazione di controllo di Microsoft 365

Una volta che i log di controllo sono attivi, ti serviranno gli strumenti giusti per dare senso a tutto. Microsoft mette a disposizione una cassetta degli attrezzi: il portale di conformità di Purview, Activity Explorer e la ricerca nel log di controllo. Sono pensati sia per i professionisti della conformità sia per quelli della sicurezza, così puoi indagare sugli incidenti, rispettare le normative e avere un quadro chiaro di ciò che accade nel tuo ambiente digitale.

Il portale di controllo di Microsoft Purview ti permette di approfondire l'attività degli utenti in tutti i principali servizi di Microsoft 365. È progettato per fornire log forensi e di conformità in modo rapido, e ti aiuterà a capire quando è il momento di passare dai piani standard a quelli premium, soprattutto se il rischio aziendale o la normativa sono priorità. Nel frattempo, Activity Explorer evidenzia i modelli di attività e ti consente di analizzare i dati da più angolazioni per individuare segnali di problemi, condivisioni eccessive o violazioni dei criteri.

Imparare a eseguire ricerche mirate, salvare le query e usare i filtri ti fa risparmiare tempo e mantiene le indagini ordinate. Se devi gestire richieste di audit provenienti da più reparti, avere opzioni di ricerca ed esportazione chiare e facili da capire è fondamentale, soprattutto quando ti vengono chieste prove per verifiche di conformità o indagini sulla sicurezza.

Usare in modo efficace questi portali e queste dashboard fa una grande differenza nel monitoraggio continuo, nella risposta agli incidenti e nel dimostrare alla dirigenza o alle autorità di vigilanza che sai esattamente cosa succede nel tuo tenant. Potrai superare il semplice «sperare che tutto vada bene» e passare a un reporting basato su evidenze concrete. La prossima parte ti guiderà passo dopo passo nell'uso pratico di questi strumenti.

Usare Activity Explorer e la ricerca nel log di controllo in Microsoft 365

1. Accedi ad Activity Explorer: apri il portale di conformità di Microsoft Purview e seleziona Activity Explorer per una panoramica delle azioni degli utenti e degli amministratori nel tuo ambiente.
2. Esegui ricerche mirate nel log di controllo: usa la barra di ricerca per trovare utenti, attività o carichi di lavoro specifici. Filtra per intervallo di tempo, tipo di attività o carico di lavoro per individuare rapidamente gli eventi che contano.
3. Analizza e salva le query: una volta ottenuta la porzione giusta di dati di log, salva i parametri di ricerca per le verifiche o le indagini ricorrenti, così da risparmiare tempo nei controlli futuri.
4. Esporta i risultati: scarica i risultati filtrati in formato CSV per ulteriori analisi, archiviazione offline o condivisione con stakeholder esterni.
5. Potenzia il monitoraggio della sicurezza: l'uso regolare di Activity Explorer e della ricerca nei log aumenta la tua capacità di individuare anomalie e di mantenere un controllo continuo.

Per un approfondimento e consigli di esperti sul controllo delle attività degli utenti, dai un'occhiata a questa guida completa su Purview Audit.

Funzionalità di log di controllo per SharePoint, Teams ed Exchange Online

Non tutte le attività sono uguali, soprattutto quando si lavora con applicazioni diverse di Microsoft 365. SharePoint Online, Microsoft Teams ed Exchange Online hanno ciascuno un approccio particolare al reporting di controllo. Man mano che i tuoi utenti adottano nuovi modi di collaborare e comunicare, oppure continuano a usare la posta elettronica di sempre, devi sapere esattamente cosa viene registrato e come accedere a questi dettagli.

Questa sezione ti aiuta a capire dove trovare i log specifici di ciascun carico di lavoro e quali tipi di attività ed eventi ci si può aspettare che ogni servizio registri. Dalla condivisione dei file e dalle autorizzazioni di accesso in SharePoint, alle chat e alle attività sui file in Teams, fino alle operazioni sulle caselle di posta in Exchange, conoscere la portata di ogni funzione di registrazione ti permette di colmare le lacune e rafforzare la tua postura di conformità.

Vedrai anche come il lavoro ibrido e da remoto, ormai diventato la «nuova normalità» in molte realtà, sposti il focus dell'analisi dei log. Gli ambienti distribuiti pongono sfide per il monitoraggio, il controllo degli accessi e l'individuazione di segnali di problemi o fughe di dati oltre i confini digitali. Capire come si comportano questi log ti aiuta a reagire rapidamente e a coprire tutti gli obblighi normativi.

Lungo il percorso troverai anche consigli pertinenti su errori di governance e su una progettazione sostenibile (ad esempio, evitare di forzare le Elenchi di SharePoint per scopi per cui non sono stati pensati: approfondisci questo tema in questa spiegazione sugli errori di governance tra SharePoint e Dataverse). Le due sezioni successive affrontano nel dettaglio SharePoint/Teams ed Exchange.

Report di controllo di SharePoint e log attività di Microsoft Teams

1. Acquisizione delle attività di SharePoint: i log di controllo di SharePoint registrano eventi come accesso ai file, condivisione, eliminazione e modifiche alle autorizzazioni. I report aiutano a ricostruire lo spostamento dei contenuti, i modelli di accesso e a segnalare attività non autorizzate.
2. Logging di Microsoft Teams: Teams registra le modifiche e le eliminazioni dei messaggi in chat, la creazione di team e canali, l'accesso degli ospiti, la condivisione dei file e gli aggiornamenti dei membri, a supporto sia dell'analisi della collaborazione sia delle indagini.
3. Generare ed esportare report: Usa Microsoft Purview o i report nativi dei singoli carichi di lavoro per recuperare i log on demand, filtrando per sito, utente o azione. Esporta in CSV come prova di conformità o per la revisione offline.
4. Campi specifici e casi d'uso: Presta particolare attenzione agli eventi di condivisione esterna, all'attività dei link anonimi e alle modifiche amministrative: sono aree ad alto rischio sia per la conformità sia per il monitoraggio della sicurezza.
5. Approfondimenti su ibrido e lavoro da remoto: Sfrutta i dati di audit per monitorare gli accessi fuori rete, le condivisioni insolite o gli eventi DLP, un aspetto cruciale ora che il lavoro da remoto e i team distribuiti sono diventati la norma.

Approfondisci con checklist e strategie per una governance stabile di SharePoint e Power Platform in questa risorsa sulla governance di SharePoint. Se stai valutando le scelte di piattaforma, confronta le strategie di affidabilità a lungo termine in questa discussione approfondita su Dataverse vs SharePoint.

Report di audit di Exchange Online e funzionalità principali di logging

1. Logging delle attività nella casella: I log di audit di Exchange coprono l'accesso alla casella, l'accesso agli elementi, l'invio e la ricezione dei messaggi, le eliminazioni e le modifiche alle autorizzazioni della casella, a supporto sia della gestione operativa sia dei blocchi per ragioni legali.
2. Eventi amministrativi e di configurazione: Registra le azioni amministrative come le modifiche alle regole, gli aggiornamenti dei criteri e le deleghe delle caselle, fondamentali per la conformità e il controllo operativo.
3. Generare report di audit: Usa il Centro di amministrazione Exchange e/o il portale di conformità di Microsoft Purview per generare report personalizzati per utente, intervallo di tempo o tipo di attività.
4. Scenari legali e di sicurezza: Sfrutta i log di Exchange per eDiscovery, i blocchi per controversie legali, le indagini su violazioni o per verificare le assegnazioni di deleghe rischiose.
5. Buona pratica: Esporta e rivedi regolarmente questi log per assicurarti che siano completi, accurati e disponibili quando arrivano auditor o investigatori.

Errori comuni con i log di audit di Microsoft 365 (strategia di audit logging m365)

Questo elenco descrive gli errori più frequenti che le organizzazioni commettono quando pianificano o gestiscono una strategia di audit logging per Microsoft 365.

1. Dare per scontato che l'audit logging sia attivo per impostazione predefinita

Molti ritengono che l'audit logging sia attivo automaticamente per tutti i tenant e per tutti i servizi. In realtà il log di audit unificato va abilitato, e alcune funzionalità o carichi di lavoro specifici richiedono configurazioni aggiuntive o licenze per registrare gli eventi.

2. Non capire i limiti di conservazione e di licenza

Aspettarsi una conservazione illimitata è un errore comune. I periodi di conservazione dipendono dalla licenza e dalla configurazione di Microsoft 365 (ad esempio i 90 giorni predefiniti rispetto a una conservazione più lunga con Microsoft 365 E5 o soluzioni aggiuntive). Non allineare la conservazione ai requisiti di conformità porta a lacune nei dati.

3. Trascurare le lacune di logging specifiche dei carichi di lavoro

Dare per scontato che tutte le attività di Exchange, SharePoint, Teams, Azure AD e degli altri carichi di lavoro compaiano in modo uniforme nel log di audit è sbagliato. Alcune attività richiedono impostazioni di audit separate, vengono registrate in log diversi o non vengono affatto catturate dal log di audit unificato.

4. Affidarsi esclusivamente al log di audit di Microsoft 365 per il monitoraggio della sicurezza

Il log di audit è prezioso, ma non sostituisce un SIEM completo. Le organizzazioni dovrebbero inoltrare i log a un SIEM o a una piattaforma di log analytics, arricchire gli eventi, correlarli con altra telemetria (rete, endpoint, identità) e implementare avvisi e playbook di risposta agli incidenti.

5. Criteri di ricerca e conservazione progettati male

Cercare nei log di audit grezzi senza filtri, campi indicizzati o query salvate porta a perdere segnali e a sprecare tempo. Non implementare criteri di conservazione ed esportazione (ad esempio verso un account di archiviazione o un SIEM) rende difficile preservare le prove per le indagini.

6. Ignorare l'attività degli account amministrativi e di servizio

Non concentrarsi su account privilegiati, service principal e chiamanti API significa lasciarsi sfuggire attività ad alto rischio. I criteri di audit dovrebbero evidenziare le operazioni amministrative, le modifiche ai ruoli, le concessioni di consenso e gli eventi di esecuzione dell'automazione.

7. Non verificare l'integrità e la completezza dei log

Dare per scontato che i log siano sempre completi e non manomessi è rischioso. Le organizzazioni dovrebbero verificare la consegna dei log, controllare il numero di eventi di audit dopo le modifiche alla configurazione e implementare controlli per impedire l'eliminazione o la manomissione (ove possibile), conservando copie immutabili quando necessario.

8. Mancanza di avvisi e procedure di risposta

Raccogliere log senza avvisi definiti, procedure di triage e passaggi di risposta agli incidenti ne riduce il valore operativo. Definisci soglie, automatizza gli avvisi per gli eventi critici e documenta i percorsi di escalation.

9. Trascurare la privacy e la minimizzazione dei dati

Raccogliere tutti i possibili dati di audit senza considerare la privacy e la minimizzazione dei dati può creare problemi di conformità. Bilancia la raccolta con i criteri legali, di privacy e di conservazione; quando necessario, oscura o limita l'accesso ai campi sensibili.

10. Controlli di accesso inadeguati ai dati di audit

I log di audit contengono informazioni sensibili. Concedere un accesso ampio ai log o alle esportazioni aumenta l'esposizione. Applica il principio del privilegio minimo, controlli basati sui ruoli e il monitoraggio di chi visualizza o esporta i dati di audit.

11. Non considerare la latenza e i ritardi dei dati

Gli eventi di audit potrebbero non comparire immediatamente nel log di audit unificato. Metti in conto dei ritardi e progetta il monitoraggio e la risposta agli incidenti in modo che tollerino la latenza di acquisizione e la coerenza finale.

12. Non documentare e non comunicare la strategia di registrazione dell'audit

Senza criteri documentati, responsabilità e runbook per la registrazione dell'audit (raccolta, conservazione, accesso e risposta), i team non possono usare i log in modo affidabile durante le indagini o gli audit di conformità.

13. Dare per scontato che l'interfaccia di ricerca nativa basti per analisi complesse

L'interfaccia di ricerca dell'audit di Microsoft 365 è utile per query occasionali, ma è limitata per analisi su larga scala. Esportare i log in un SIEM, in Azure Monitor o in Log Analytics consente query avanzate, dashboard e conservazione a lungo termine.

14. Non tenere traccia delle modifiche alla configurazione della registrazione

Modifiche alle impostazioni di audit, alla conservazione o gli aggiornamenti del servizio possono alterare involontariamente ciò che viene acquisito. Implementa un controllo delle modifiche e monitora la deriva della configurazione per la tua strategia di registrazione dell'audit di m365.

Riepilogo

Evita questi errori comuni progettando una strategia di registrazione dell'audit deliberata per Microsoft 365: abilita e testa la registrazione, allinea la conservazione alla conformità, centralizza e arricchisci i log, proteggi l'accesso, implementa avvisi e risposta, e documenta i processi.

Analisi avanzata ed esportazione dei log di audit di Microsoft 365

Il vero tesoro dei log di audit non sta solo nel conservarli o rivederli, ma nel modo in cui li analizzi e li usi per ottenere informazioni di business, eseguire analisi forensi di sicurezza e produrre report. Che tu stia indagando su un incidente sui dati, dimostrando la conformità a un'autorità di vigilanza o cercando di individuare tendenze nel tempo, vuoi sapere come estrarre i dati da Microsoft 365 e lavorarli come un professionista.

Questa sezione presenta i metodi di esportazione, i formati di dati comuni come CSV, e come collegare i log a strumenti di analisi big data o a piattaforme SIEM per indagini integrate. Se necessario, puoi perfino combinare i dati di audit di Microsoft 365 con i log di Entra ID o dei sistemi endpoint, creando una visione unificata dell'attività a livello di identità e dispositivo, indispensabile per un contesto di sicurezza completo e una risposta rapida agli incidenti.

Ma ogni piattaforma ha dei limiti, e Microsoft 365 non fa eccezione. Prima di mettere tutte le uova in un solo paniere, tieni presenti i limiti di conservazione dei log, i limiti di volume e di esportazione, o i punti ciechi nell'acquisizione delle attività che possono incidere sulle tue indagini di conformità o sicurezza. Comprendere questi vincoli ti aiuta a sviluppare una strategia di rischio e conformità resiliente, includendo dove potresti aver bisogno di strumenti complementari o di un'archiviazione a lungo termine dei dati.

Di seguito trovi i passaggi operativi per esportare, analizzare in profondità e riconoscere, e aggirare, i limiti che incontrerai con i log di audit di Microsoft 365.

Esportare i risultati ed eseguire un'analisi approfondita dei log di audit

1. Esportazione con PowerShell: usa cmdlet come Search-UnifiedAuditLog per filtrare ed esportare direttamente in CSV i risultati dei log, automatizzando il processo per audit di grandi dimensioni o ricorrenti.
2. Download dal portale: nel portale di conformità di Purview, filtra i risultati per utente, servizio o evento, quindi esportali in CSV per analisi offline o report.
3. Sfrutta le API: per l'integrazione con strumenti di terze parti o SIEM, usa Microsoft Graph o le API di Office 365 Management per estrarre i dati di audit su larga scala.
4. Unisci ad altre fonti dati: correla i log di Microsoft 365 con Azure AD, i log degli endpoint o altri log di sicurezza per costruire scenari di attacco o di conformità più completi.
5. Mantieni l'integrità dell'audit: durante l'esportazione, assicurati che la catena di custodia sia preservata con checksum o firme quando i log potrebbero essere presentati come prova.

Riconoscere i limiti dei log di audit di Microsoft 365

• Lacune nella conservazione: la conservazione standard dei log può durare solo 90 giorni, a meno che tu non disponga di licenze E5 o Premium. Dopo questo periodo, quei record non esistono più.
• Copertura parziale: non tutte le azioni degli utenti o gli eventi dei carichi di lavoro vengono registrati, soprattutto per alcune app o negli scenari ibridi e cloud-to-on-prem.
• Limiti di volume: le esportazioni di grandi dimensioni o gli eventi ad alta frequenza possono raggiungere i limiti di frequenza o di aggregazione, compromettendo la completezza durante incidenti gravi.
• Latenza: alcuni eventi compaiono nei log con un ritardo di diversi minuti (o anche di più), il che può rendere difficile una risposta in tempo reale.
• Limitazioni del formato di esportazione: i formati dei dati e la disponibilità dei campi possono variare. Non tutti i log sono facilmente utilizzabili per le analisi a valle.

Strategie di ottimizzazione dei costi e di licenza per l'audit logging in Microsoft 365

L'audit logging non è solo una questione tecnica: può avere un impatto concreto sul budget IT, soprattutto con la crescita dell'utilizzo di Microsoft 365. Questa sezione illustra i fattori di costo, le opzioni di licenza e le tattiche intelligenti per mantenere gestibili l'archiviazione e la gestione dei log di audit, che tu sia in una piccola organizzazione no-profit o in una grande azienda globale che gestisce enormi volumi di record.

Il percorso di passaggio da M365 E3 a E5 può sembrare complicato, ma si tratta essenzialmente di mettere in relazione i rischi e le esigenze normative con i set di funzionalità e i prezzi. La conservazione estesa dei log di audit e le funzionalità avanzate di ricerca o indagine potrebbero essere disponibili solo in E5 oppure richiedere licenze aggiuntive. Valutare questi investimenti rispetto ai potenziali rischi e agli obblighi di conformità è fondamentale per prendere decisioni consapevoli.

Ma i costi del logging non dipendono solo dalle licenze. Con l'aumento dello spazio di archiviazione utilizzato (soprattutto con il lavoro da remoto e le strategie cloud-first), diventano fondamentali una corretta suddivisione in livelli dei dati, l'archiviazione e criteri di conservazione «più intelligenti». È facile conservare troppo, con costi di archiviazione che lievitano, oppure conservare troppo poco, rischiando errori di conformità. I criteri costruiti tenendo conto di governance e responsabilità, e non solo di showback o di un budgeting fatto per «spuntare la casella», favoriscono una vera responsabilizzazione (come evidenziato in questa discussione su showback e responsabilità in Microsoft 365).

Nelle prossime sezioni troverai confronti diretti tra le funzionalità di E3 ed E5, insieme a indicazioni pratiche per gestire grandi volumi di dati di audit senza spendere una fortuna. Aspettati elenchi brevi e concreti che ti aiutino a fare scelte più oculate nel lungo periodo.

Confronto tra le funzionalità e i costi di audit di Microsoft 365 E3 e E5

• Durata della conservazione: E3 offre la conservazione standard dei log di audit per 90 giorni. E5 (o il componente aggiuntivo Compliance) estende questo periodo a 1 anno o più, un aspetto fondamentale per cicli normativi più lunghi.
• Funzionalità di audit avanzate: E5 sblocca funzionalità come il logging dell'accesso agli elementi della casella di posta, la conservazione a lungo termine e segnali di alto valore (come «Accessed Files»).
• Implicazioni sui costi: le licenze E5 sono sensibilmente più costose. Per le PMI, E3 può bastare se i cicli di conformità sono brevi e il rischio sui dati è basso.
• Considerazioni per le grandi aziende: le grandi aziende o i settori regolamentati spesso necessitano di E5 per conformità, indagini avanzate e monitoraggio dei rischi interni: è una scelta strategica, non solo una questione di costi.
• Flessibilità dei componenti aggiuntivi: alcune funzionalità di audit avanzate possono essere acquistate come componenti aggiuntivi separati, consentendo aggiornamenti selettivi delle licenze se E5 completo non è fattibile.

Gestione dei costi di archiviazione e conservazione dei log di audit su larga scala

• Suddivisione dei dati in livelli: usa livelli di archiviazione a costo inferiore o soluzioni di archiviazione esterne per i log di audit più vecchi o meno critici, così da ridurre le spese correnti.
• Criteri di conservazione: adatta i periodi di conservazione per carico di lavoro o unità aziendale. Non conservare i dati di audit più del necessario se non richiesto dalla conformità: elimina l'eccedenza dove è sicuro farlo.
• Verifiche periodiche: controlla con frequenza i report su consumo di spazio e costi. Avvisi automatici e dashboard di showback aiutano a tenere gli stakeholder consapevoli del costo reale dei log. Consulta le indicazioni in questo episodio sull'ottimizzazione dei costi di Microsoft 365.
• Archiviazione di secondo livello: valuta l'esportazione dei log in uno storage a freddo a lungo termine al di fuori di Microsoft 365, se raggiungi i limiti di conservazione o di spazio.
• La proprietà genera responsabilità: assegna il costo dei log di controllo a ruoli o reparti specifici, così da gestire in modo più intelligente e consapevole ciò che viene effettivamente archiviato.

Audit logging in Microsoft 365 (strategia di audit logging m365)

Vantaggi

• Visibilità completa: l'acquisizione centralizzata delle attività di utenti, amministratori e sistema in Exchange, SharePoint, OneDrive, Teams, Azure AD e altri servizi di M365 offre una visione ampia degli eventi rilevanti per sicurezza e conformità.
• Supporto a indagini forensi e gestione degli incidenti: i record dettagliati degli eventi aiutano gli investigatori a ricostruire le sequenze temporali, identificare le risorse coinvolte e determinare portata e impatto di un incidente di sicurezza.
• Prove per conformità e normative: i log di controllo conservati possono soddisfare requisiti normativi (ad esempio GDPR, HIPAA, SOX) e supportare audit interni ed esterni, se configurati in base ai criteri di conservazione e di accesso.
• Avvisi e rilevamento automatico: l'integrazione con Microsoft Sentinel e altri SIEM consente avvisi in tempo reale, regole di correlazione e risposte automatiche basate sugli eventi di audit.
• Conservazione ed esportazione configurabili: gli amministratori possono impostare criteri di conservazione dei log di controllo, esportare i log in uno storage a lungo termine (ad esempio Azure Storage) e integrarli in sistemi di archiviazione esterni per una conservazione prolungata.
• Controllo degli accessi basato sui ruoli e registrazione degli accessi ai log di controllo: l'accesso ai log di controllo può essere limitato tramite RBAC, e anche le azioni eseguite sui log di controllo stessi possono essere registrate, per garantire responsabilità a chi li esamina.
• Log ricercabili e filtrabili: la ricerca integrata e il filtraggio avanzato nella soluzione Microsoft Purview Audit facilitano la individuazione di eventi specifici e la creazione di query riutilizzabili.
• Applicazione operativa e dei criteri: i dati di audit supportano l'applicazione dei criteri interni (ad esempio l'uso di accessi privilegiati o tentativi di esfiltrazione dei dati) e la misurazione dell'efficacia dei criteri stessi.

Svantaggi

• Volume e costi dei dati: volumi elevati di eventi di audit possono comportare costi significativi di archiviazione e acquisizione, soprattutto quando i log vengono conservati per lunghi periodi o esportati in sistemi esterni.
• Configurazione complessa: stabilire con precisione quali attività controllare, configurare la conservazione, abilitare il registro di controllo unificato per tutti i servizi e integrare i SIEM richiede una pianificazione attenta e competenze operative solide.
• Rumore e rapporto segnale/rumore: i flussi di audit predefiniti possono generare una grande quantità di eventi a basso valore, rendendo difficile individuare indicatori significativi senza ottimizzazione e filtri.
• Ritardi e completezza: alcuni eventi di audit possono essere ritardati, aggregati o non acquisiti, a seconda delle funzionalità del servizio e dei piani di licenza, con possibili ripercussioni sul rilevamento in tempo reale e sulla visibilità completa.
• Restrizioni di licenza e di funzionalità: le funzionalità avanzate di audit, la conservazione più lunga o l'accesso a determinate capacità di audit possono richiedere livelli specifici di licenza di Microsoft 365 o Microsoft Purview, con costi e complessità maggiori.
• Rischi per la privacy e per gli accessi: i log di controllo contengono metadati sensibili e dati personali identificabili; controlli di accesso inadeguati o una conservazione troppo ampia possono generare rischi per la privacy e la conformità.
• Carico di gestione: per mantenere efficace la strategia di audit logging sono necessarie attività continue, come ottimizzare gli avvisi, aggiornare i criteri di conservazione, gestire esportazioni e archiviazione e garantire il controllo RBAC.
• Interpretare gli eventi può essere difficile: i record di audit richiedono spesso un arricchimento contestuale (ad esempio ruolo dell'utente, dispositivo, geolocalizzazione) e un'analisi esperta per interpretare correttamente intenzione e gravità.

Strategia di audit logging M365: checklist

Usa questa checklist per pianificare, attivare, verificare e mantenere l'audit logging in Microsoft 365.

Pianificazione e governance

• Definisci obiettivi e ambito dell'audit logging (sicurezza, conformità, indagini forensi, rischio interno).
• Individua le origini dati necessarie: Azure AD, Exchange Online, SharePoint/OneDrive, Teams, Defender, Purview, Power Platform, Endpoint.
• Stabilisci i periodi di conservazione richiesti per ogni origine dati, in base ai requisiti legali, normativi e aziendali.
• Assegna le responsabilità: responsabile dei log, responsabile della conformità, responsabile SIEM/integrazioni e revisori.
• Documenta i controlli di accesso e il processo di approvazione per l'accesso ai dati di audit e per le esportazioni.

Attivazione e configurazione dell'audit logging

• Verifica che il registro di controllo unificato sia attivo in Microsoft Purview (Centro sicurezza e conformità) per il tenant.
• Attiva il controllo delle cassette postali per tutte le cassette postali e imposta, se necessario, la registrazione predefinita dell'audit delle cassette postali.
• Abilita il controllo per gli accessi di Azure AD, gli accessi a rischio e le modifiche alla directory.
• Abilita il controllo di SharePoint e OneDrive per le attività sui file e sulle condivisioni.
• Abilita il controllo di Teams per gli eventi di canali, chat, riunioni e app.
• Abilita il controllo di Exchange Online per le attività delle caselle di posta di amministratori e utenti.
• Abilita la registrazione di Power Platform e Microsoft 365 Defender dove applicabile.

Conservazione e archiviazione

• Configura in Purview le impostazioni di conservazione dei log di controllo per soddisfare i requisiti legali e i criteri aziendali.
• Pianifica una strategia di archiviazione a lungo termine e di archiviazione dei log di controllo (conservazione nativa oppure SIEM esterno o storage esterno).
• Assicurati che la conservazione mantenga i metadati necessari e i timestamp utili per le indagini.

Controllo degli accessi e sicurezza

• Limita chi può cercare, esportare e gestire i log di controllo usando ruoli con privilegi minimi (ad esempio Amministratore conformità e Lettore sicurezza).
• Abilita l'autenticazione a più fattori per gli account con accesso ai log di controllo.
• Monitora e controlla le modifiche alla configurazione dei log di controllo e alle impostazioni di conservazione.

Integrazione e inoltro

• Configura l'esportazione dei log di controllo verso un SIEM (Azure Sentinel/Microsoft Sentinel o di terze parti) per la correlazione e l'archiviazione a lungo termine.
• Automatizza l'esportazione dei log usando l'API Office 365 Management Activity o i connettori nativi.
• Verifica l'integrità dei log esportati e assicurati la sincronizzazione dell'ora (UTC e NTP).

Avvisi e monitoraggio

• Definisci e implementa regole di avviso per gli eventi critici (modifiche ai ruoli di amministratore, esfiltrazione di dati, download di massa, accessi sospetti).
• Crea dashboard e report periodici per le metriche chiave del controllo e per le anomalie.
• Definisci playbook di risposta agli incidenti che facciano riferimento all'uso dei dati di controllo.

Test e validazione

• Verifica periodicamente che gli eventi vengano registrati per azioni rappresentative nei vari servizi (creazione, eliminazione, modifica delle autorizzazioni, accesso, condivisione).
• Valida la copertura e la completezza dei log dopo modifiche alla configurazione o aggiornamenti dei servizi.
• Esegui test periodici di prontezza forense per verificare che i log supportino le indagini.

Conformità e aspetti legali

• Allinea la strategia di controllo agli obblighi normativi (ad esempio GDPR, HIPAA, SOX) e ai requisiti di evidenza.
• Coordinati con il team legale per gli impatti di eDiscovery e dei blocchi per vincolo legale sui dati di controllo.
• Conserva i log di controllo in modo immutabile dove richiesto e documenta le procedure di catena di custodia.

Operatività e manutenzione

• Pianifica revisioni periodiche delle impostazioni di controllo, della conservazione e delle assegnazioni di ruolo (trimestrali o secondo necessità).
• Mantieni aggiornati i runbook e la documentazione di configurazione.
• Tieni traccia dei requisiti di licenza per le funzionalità avanzate di controllo e assicurane la copertura.
• Monitora gli annunci dei servizi per modifiche alle funzionalità di controllo e per i ritiri pianificati.

Formazione e sensibilizzazione

• Forma amministratori e team di conformità su come cercare, filtrare ed esportare i log di controllo.
• Istruisci i responder agli incidenti e gli investigatori a interpretare gli eventi di controllo di Microsoft 365.
• Condividi le responsabilità di reporting e di avviso tra i team interessati.

Revisione e miglioramento continuo

• Valuta l'efficacia del controllo dopo gli incidenti e aggiorna di conseguenza regole, conservazione e fonti.
• Esegui ogni anno una verifica della strategia di registrazione dei controlli rispetto alle esigenze aziendali e normative.
• Integra nel piano di registrazione dei controlli le lezioni apprese e le minacce emergenti.

Usa questa checklist come base di partenza e adatta le voci ai requisiti e ai criteri specifici della tua organizzazione.

registro di controllo unificato per i log di controllo di Office 365 in Office 365

Che cos'è una strategia di registrazione dei controlli per Microsoft 365 e perché è importante?

Una strategia di registrazione dei controlli per Microsoft 365 definisce quali log di controllo vengono raccolti, per quanto tempo vengono conservati i dati, chi può accedere ai record di controllo e come i log vengono analizzati e generano avvisi. È importante per la sicurezza, la conformità e la risposta agli incidenti in Microsoft 365, perché consente di tracciare le attività di utenti e amministratori, far emergere gli eventi di sicurezza e soddisfare i requisiti normativi e di reporting interno all'interno del tuo tenant Microsoft 365.

Come faccio ad assicurarmi che la registrazione dei controlli sia attiva nel mio tenant Microsoft 365?

La registrazione dei controlli è attiva per impostazione predefinita per la maggior parte dei servizi Microsoft 365, ma è opportuno verificare nel portale di conformità di Microsoft Purview (o nel Centro sicurezza e conformità) che il registro di controllo unificato sia abilitato. Controlla le impostazioni del registro di controllo amministratore, di SharePoint Online e OneDrive e degli altri carichi di lavoro. Usa le indicazioni di Microsoft Learn e la documentazione di Microsoft Service Assurance per confermare la configurazione di registrazione e monitoraggio nel tuo ambiente Microsoft 365.

Quali tipi di dati di log sono disponibili nel registro di controllo unificato?

Il registro di controllo unificato contiene diversi tipi di dati di log, tra cui attività di utenti e amministratori, eventi di file e condivisione (sito SharePoint, SharePoint Online e OneDrive), eventi di autenticazione e accesso, azioni sulle caselle di posta ed eventi di sicurezza provenienti da Microsoft Defender. Il registro di controllo di Office 365 e i registri di controllo in Office 365 forniscono un log consultabile delle attività tracciate, con il contenuto dei record di controllo che descrive chi ha fatto cosa, quando, dove e da quale IP.

Come cerco ed esporto i registri di controllo in Office 365?

Puoi cercare nei registri di controllo nella soluzione di controllo di Microsoft Purview oppure tramite PowerShell (Search-UnifiedAuditLog) per creare una query di ricerca sul log. Le query possono filtrare per attività tracciate, utenti, date e servizi specifici di Microsoft 365. Esporta i risultati in CSV per l'analisi, per l'importazione in un SIEM o per l'archiviazione a lungo termine. Assicurati che i dati di log archiviati rispettino i tuoi criteri di conservazione e i requisiti di conformità.

Quali eventi auditabili devo includere nell'elenco degli eventi auditabili?

Dai la priorità agli eventi auditabili che incidono sulla sicurezza di Microsoft 365 e sulle operazioni aziendali: modifiche ai ruoli di amministratore, provisioning e deprovisioning degli utenti, accessi e tentativi di autenticazione non riusciti, accesso alle caselle di posta, modifiche alle autorizzazioni su un sito SharePoint, download e condivisioni di file, e azioni segnalate da Microsoft Defender. Adotta un approccio basato sul rischio e includi gli eventi che supportano le indagini forensi e la reportistica normativa.

Chi dovrebbe avere accesso ai registri di controllo di Microsoft 365 e come controllo questo accesso?

Limita l'accesso ai team di amministrazione e sicurezza di Microsoft 365, ai responsabili della conformità e agli auditor designati. Usa il controllo degli accessi basato sui ruoli nell'interfaccia di amministrazione di Microsoft 365 e in Purview per concedere il privilegio minimo necessario. Mantieni un registro di controllo amministrativo di chi ha acceduto o esportato i dati dei registri di controllo, per prevenire abusi dell'accesso alle informazioni di controllo di Microsoft 365.

Per quanto tempo devono essere conservati i dati dei registri di controllo in un ambiente Microsoft 365?

La conservazione dipende dai requisiti normativi, legali e aziendali. Microsoft conserva alcuni registri di controllo per periodi predefiniti, ma puoi configurare una conservazione più lunga tramite audit avanzato, criteri di conservazione oppure esportando i log in un archivio esterno o in un SIEM. Definisci la conservazione nella tua strategia di registrazione dei controlli, in modo che il contenuto critico dei record di controllo e i dati di log archiviati soddisfino le esigenze di conformità.

Quali sono le difficoltà più comuni nella registrazione dei controlli di Microsoft 365?

Le difficoltà includono grandi volumi di dati di log, copertura incompleta per alcuni servizi, conservazione limitata per impostazione predefinita, difficoltà nella ricerca tra i diversi carichi di lavoro e la necessità di garantire che i log di SharePoint e di altri servizi vengano acquisiti. Altri problemi riguardano la correlazione degli eventi di sicurezza tra gli utenti di Microsoft 365 e l'integrazione dei registri di controllo con soluzioni di logging e monitoraggio come SIEM e Microsoft Defender.

Come posso integrare i registri di controllo di Microsoft 365 con un SIEM o con una piattaforma di logging e monitoraggio?

Usa l'API Office 365 Management Activity, Microsoft Graph o le funzionalità di esportazione dei registri di controllo per trasmettere i log a un SIEM. Molti team instradano i dati dei registri di controllo verso Azure Monitor, Sentinel o piattaforme di logging di terze parti per la correlazione, gli avvisi e la conservazione a lungo termine. Assicurati che gli eventi di SharePoint Online, Exchange e Microsoft Defender siano inclusi e associati alle regole di avviso e alle dashboard pertinenti.

Posso tenere traccia delle attività di utenti e amministratori per il sito SharePoint e OneDrive usando i registri di controllo?

Sì. I registri di controllo acquisiscono le attività monitorate in SharePoint Online e OneDrive, come accesso ai file, download, modifiche alle condivisioni, aggiornamenti delle autorizzazioni e operazioni di amministrazione del sito. Usa le funzionalità di ricerca del registro di controllo unificato per interrogare i log delle azioni sul sito SharePoint ed esporta o inoltra i log per un'analisi più approfondita.

Cosa dovrebbe includere il contenuto dei record di controllo per supportare le indagini?

Un contenuto utile dei record di controllo dovrebbe includere data e ora, l'autore dell'azione (utente o amministratore), il suo ruolo, l'azione eseguita, l'oggetto di destinazione (file, casella di posta, sito), il proprietario dell'oggetto, l'IP di origine, i dettagli del dispositivo e gli eventuali ID degli eventi di sicurezza correlati. Includere dati contestuali di Microsoft 365 rende i registri di controllo più utili per chi gestisce gli incidenti e per gli auditor.

In che modo funzionalità di Microsoft 365 come l'audit avanzato e Microsoft Defender migliorano la registrazione dei log?

L'audit avanzato estende la conservazione e fornisce eventi sensibili e critici aggiuntivi per le indagini a lungo termine, mentre Microsoft Defender genera eventi di sicurezza e avvisi che arricchiscono i log di audit con threat intelligence, nomi dei rilevamenti e passaggi di risoluzione. Combinare l'audit avanzato con Defender e con la registrazione e il monitoraggio centralizzati migliora la tua capacità di rilevare e rispondere alle minacce.

Quali sono le best practice per la registrazione e per seguire le best practice nel log di audit di Microsoft 365?

Le best practice includono l'attivazione del registro di controllo unificato e dell'audit avanzato in base alle esigenze, la documentazione di un elenco di eventi verificabili, l'uso di accessi basati sui ruoli per i log di audit, l'integrazione con SIEM o con strumenti di registrazione e monitoraggio, la verifica dell'integrità dei log di audit e l'automazione degli avvisi per gli eventi critici di sicurezza. Rivedi regolarmente le pratiche di registrazione e forma i team di amministrazione e sicurezza di Microsoft 365 a usare efficacemente i dati dei log di audit.

Come posso verificare che i dati del mio log di audit siano completi e affidabili?

Esegui verifiche periodiche utilizzando i report di Microsoft Service Assurance, testa scenari che generano eventi di audit noti e verifica che compaiano nei log di audit. Monitora eventuali lacune usando le metriche di disponibilità e di acquisizione dei dati, convalida i dati di log archiviati in archivi o SIEM e mantieni un controllo delle modifiche quando alteri le configurazioni di registrazione, così da garantire un'acquisizione coerente delle attività tracciate nel tuo ambiente Microsoft 365.

Dove posso approfondire la configurazione dei log di audit e gli eventi disponibili?

Consulta Microsoft Learn per tutorial dettagliati, la documentazione di Microsoft Purview per la configurazione del log di audit e Microsoft Service Assurance per le garanzie di conformità e di registrazione. Consulta la documentazione relativa al registro di controllo di Office 365 e al registro di controllo di amministrazione per un elenco completo degli eventi verificabili ed esempi di query sui log di audit utili ai team di amministrazione e sicurezza di Microsoft 365.

🎧 Ti consigliamo anche di ascoltare

• Modello operativo di governance di Microsoft 365

  Scopri la responsabilità e i controlli alla base di decisioni sostenibili.

• Microsoft Purview – Simply Explained

  Approfondisci il contesto di conformità e di governance delle informazioni.

• AI Agents – Simply Explained

  Comprendi come adottare l'IA in modo responsabile.

Strategia di registrazione degli audit di Microsoft 365

Una strategia efficace traduce i requisiti di sicurezza e conformità in eventi, conservazione, ricerche, avvisi, responsabilità e procedure di indagine. L'obiettivo sono prove utilizzabili, non registrazioni scollegate tra loro.

Checklist per la registrazione degli audit

1. Mappa rischi e obblighi sulle attività da registrare.
2. Verifica la licenza di audit, la copertura, la conservazione e il tempo di acquisizione.
3. Definisci i ruoli degli investigatori e la protezione delle prove.
4. Crea ricerche ripetibili e schemi di avviso significativi.
5. Testa gli eventi, documenta le lacune e rivedi la strategia regolarmente.

Errori comuni

• Presumere che la conservazione predefinita soddisfi ogni requisito.
• Raccogliere eventi senza un processo di indagine.
• Non verificare se le attività previste compaiono nei log.
• Concedere un accesso troppo ampio ai dati di audit.

Domande frequenti sulla strategia di registrazione degli audit di Microsoft 365

Che cos'è la strategia di registrazione degli audit di Microsoft 365?

Mappa rischi su eventi verificabili, conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Applicala in modo coerente e rivedila man mano che cambiano i servizi, i criteri Microsoft e i requisiti di business.

Perché è importante la strategia di registrazione degli audit di Microsoft 365?

Mappa rischi su eventi verificabili, conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Affidati a un responsabile documentato, a un risultato misurabile e a un processo approvato, anziché a pratiche informali.

Come funziona la strategia di registrazione degli audit di Microsoft 365?

Mappa rischi su eventi verificabili, conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Parti da uno scenario a basso rischio, chiaramente delimitato, verifica il risultato ed estendi l'ambito solo quando il controllo e il modello di supporto funzionano.

Chi ne ha bisogno della strategia di registrazione degli audit di Microsoft 365?

Mappa i rischi rispetto a eventi sottoposti ad audit, criteri di conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Applica questo approccio in modo coerente e rivedilo man mano che cambiano i servizi, i criteri e i requisiti aziendali di Microsoft.

Quali sono i principali vantaggi della strategia di registrazione di controllo di Microsoft 365?

Mappa i rischi rispetto a eventi sottoposti ad audit, criteri di conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Usa un responsabile documentato, un risultato misurabile e un processo approvato, anziché affidarti a pratiche informali.

Quali sono i principali rischi della strategia di registrazione di controllo di Microsoft 365?

Mappa i rischi rispetto a eventi sottoposti ad audit, criteri di conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Inizia da uno scenario a basso rischio e con un perimetro chiaramente definito, verifica il risultato ed estendi l'ambito solo quando il modello di controllo e di supporto funziona.

Quali sono i requisiti della strategia di registrazione di controllo di Microsoft 365?

Mappa i rischi rispetto a eventi sottoposti ad audit, criteri di conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Applica questo approccio in modo coerente e rivedilo man mano che cambiano i servizi, i criteri e i requisiti aziendali di Microsoft.

Come si inizia con la strategia di registrazione di controllo di Microsoft 365?

Mappa i rischi rispetto a eventi sottoposti ad audit, criteri di conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Usa un responsabile documentato, un risultato misurabile e un processo approvato, anziché affidarti a pratiche informali.

Qual è la checklist consigliata per la strategia di registrazione di controllo di Microsoft 365?

Mappa i rischi rispetto a eventi sottoposti ad audit, criteri di conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Inizia da uno scenario a basso rischio e con un perimetro chiaramente definito, verifica il risultato ed estendi l'ambito solo quando il modello di controllo e di supporto funziona.

Quali sono le best practice della strategia di registrazione di controllo di Microsoft 365?

Mappa i rischi rispetto a eventi sottoposti ad audit, criteri di conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Applica questo approccio in modo coerente e rivedilo man mano che cambiano i servizi, i criteri e i requisiti aziendali di Microsoft.

Quali sono gli errori più comuni nella strategia di registrazione di controllo di Microsoft 365?

Mappa i rischi rispetto a eventi sottoposti ad audit, criteri di conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Usa un responsabile documentato, un risultato misurabile e un processo approvato, anziché affidarti a pratiche informali.

Come deve essere governata la strategia di registrazione di controllo di Microsoft 365?

Mappa i rischi rispetto a eventi sottoposti ad audit, criteri di conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Inizia da uno scenario a basso rischio e con un perimetro chiaramente definito, verifica il risultato ed estendi l'ambito solo quando il modello di controllo e di supporto funziona.

In che modo la sicurezza si applica alla strategia di registrazione di controllo di Microsoft 365?

Mappa i rischi rispetto a eventi sottoposti ad audit, criteri di conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Applica questo approccio in modo coerente e rivedilo man mano che cambiano i servizi, i criteri e i requisiti aziendali di Microsoft.

In che modo la conformità si applica alla strategia di registrazione di controllo di Microsoft 365?

Mappa i rischi rispetto a eventi sottoposti ad audit, criteri di conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Usa un responsabile documentato, un risultato misurabile e un processo approvato, anziché affidarti a pratiche informali.

In che modo la strategia di registrazione di controllo di Microsoft 365 influisce sugli amministratori?

Mappa i rischi rispetto a eventi sottoposti ad audit, criteri di conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Inizia da uno scenario a basso rischio e con un perimetro chiaramente definito, verifica il risultato ed estendi l'ambito solo quando il modello di controllo e di supporto funziona.

In che modo la strategia di registrazione di controllo di Microsoft 365 influisce sugli utenti finali?

Mappa i rischi rispetto a eventi sottoposti ad audit, criteri di conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Applica questo approccio in modo coerente e rivedilo man mano che cambiano i servizi, i criteri e i requisiti aziendali di Microsoft.

Come deve essere monitorata la strategia di registrazione di controllo di Microsoft 365?

Mappa i rischi rispetto a eventi sottoposti ad audit, criteri di conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Usa un responsabile documentato, un risultato misurabile e un processo approvato, anziché affidarti a pratiche informali.

Come deve essere misurata la strategia di registrazione di controllo di Microsoft 365?

Mappa i rischi rispetto a eventi verificabili, conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Parti da uno scenario a basso rischio con un ambito chiaramente definito, convalida il risultato e amplia solo quando il modello di controllo e di supporto funziona.

Come vanno gestite le eccezioni nella strategia di audit logging di Microsoft 365?

Mappa i rischi rispetto a eventi verificabili, conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Applicala in modo coerente e rivedila man mano che cambiano i servizi, i criteri e i requisiti di business di Microsoft.

Come va documentata la strategia di audit logging di Microsoft 365?

Mappa i rischi rispetto a eventi verificabili, conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Usa un responsabile documentato, un risultato misurabile e un processo approvato, invece di affidarti a prassi informali.

Come scala nelle grandi aziende la strategia di audit logging di Microsoft 365?

Mappa i rischi rispetto a eventi verificabili, conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Parti da uno scenario a basso rischio con un ambito chiaramente definito, convalida il risultato e amplia solo quando il modello di controllo e di supporto funziona.

Cosa conviene automatizzare nella strategia di audit logging di Microsoft 365?

Mappa i rischi rispetto a eventi verificabili, conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Applicala in modo coerente e rivedila man mano che cambiano i servizi, i criteri e i requisiti di business di Microsoft.

Cosa deve restare sotto controllo umano nella strategia di audit logging di Microsoft 365?

Mappa i rischi rispetto a eventi verificabili, conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Usa un responsabile documentato, un risultato misurabile e un processo approvato, invece di affidarti a prassi informali.

In che modo la strategia di audit logging di Microsoft 365 si integra con Microsoft 365 stesso?

Mappa i rischi rispetto a eventi verificabili, conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Parti da uno scenario a basso rischio con un ambito chiaramente definito, convalida il risultato e amplia solo quando il modello di controllo e di supporto funziona.

Che rapporto ha con Microsoft Entra ID la strategia di audit logging di Microsoft 365?

Mappa i rischi rispetto a eventi verificabili, conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Applicala in modo coerente e rivedila man mano che cambiano i servizi, i criteri e i requisiti di business di Microsoft.

Che rapporto ha con Microsoft Purview la strategia di audit logging di Microsoft 365?

Mappa i rischi rispetto a eventi verificabili, conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Usa un responsabile documentato, un risultato misurabile e un processo approvato, invece di affidarti a prassi informali.

Come deve funzionare la risoluzione dei problemi nella strategia di audit logging di Microsoft 365?

Mappa i rischi rispetto a eventi verificabili, conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Parti da uno scenario a basso rischio con un ambito chiaramente definito, convalida il risultato e amplia solo quando il modello di controllo e di supporto funziona.

Cosa va rivisto regolarmente nella strategia di audit logging di Microsoft 365?

Mappa i rischi rispetto a eventi verificabili, conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Applicala in modo coerente e rivedila man mano che cambiano i servizi, i criteri e i requisiti di business di Microsoft.

Cosa dovrebbero evitare le organizzazioni nella strategia di audit logging di Microsoft 365?

Mappa i rischi rispetto a eventi verificabili, conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Usa un responsabile documentato, un risultato misurabile e un processo approvato, invece di affidarti a prassi informali.

Qual è il primo passo migliore nella strategia di audit logging di Microsoft 365?

Mappa i rischi rispetto a eventi verificabili, conservazione, ricerche, ruoli, avvisi, procedure di indagine, gestione delle prove e metriche di revisione. Parti da uno scenario a basso rischio con un ambito chiaramente definito, convalida il risultato e amplia solo quando il modello di controllo e di supporto funziona.

Esplora altre risorse di M365.fm: M365.fm Learning Hub, checklist di governance per Microsoft 365 e modello di sicurezza di Microsoft Copilot.