Come iniziare con i log di controllo di Microsoft Purview

By Mirko Peters · 2026-08-28

Bentornato sul blog di accompagnamento del podcast! In questo articolo approfondiamo i meccanismi di base per tracciare e rivedere le azioni degli utenti all'interno del tuo c…

Automatically translated with AI from the original post. Read the English original

Bentornato sul blog di accompagnamento al podcast! In questo post approfondiamo i meccanismi di base per tracciare e verificare le azioni degli utenti nel tuo ambiente cloud. Se vuoi proteggere il tuo tenant, indagare su potenziali incidenti di sicurezza e garantire una rigorosa conformità normativa, capire il Unified Audit Log è indispensabile. Per ascoltare l'analisi audio completa e la nostra discussione su questo argomento, non perderti l'episodio del podcast collegato, Audit Microsoft 365 User Activity with Purview.

Man mano che le organizzazioni spostano i carichi di lavoro nel cloud, gestire la visibilità su utenti e amministratori diventa molto più complesso. Senza una strategia di auditing strutturata, stai di fatto operando alla cieca rispetto alle minacce alla sicurezza, interne ed esterne. Questa guida ti accompagna nei passaggi strutturali necessari per verificare il tuo ambiente, assegnare ruoli di governance adeguati e ricavare informazioni utili dal portale di Microsoft Purview.

Introduzione ai log di controllo di Microsoft Purview

Monitorare le azioni di utenti e amministratori in un ecosistema cloud è un elemento critico di qualsiasi postura di cybersicurezza moderna. Microsoft Purview funge da hub centrale per conformità, governance e auditing nel tuo tenant. Consolida i registri delle attività di Exchange Online, SharePoint, OneDrive, Microsoft Teams e Microsoft Entra ID in un unico repository ricercabile.

Saper sfruttare questi record di audit permette agli amministratori di ricostruire le sequenze temporali durante le indagini sulla sicurezza, individuare derive di configurazione non autorizzate e soddisfare framework di conformità rigorosi come HIPAA, GDPR e PCI DSS. Che tu stia tracciando semplici accessi degli utenti o schemi complessi di esfiltrazione dei dati tramite link di condivisione di file, Purview fornisce la telemetria approfondita necessaria per restare sicuri.

Prerequisiti per l'auditing: autorizzazioni e ruoli

Autorizzazioni e ruoli

Prima di iniziare a cercare anomalie di sicurezza o a estrarre report di conformità, devi assicurarti di aver configurato i confini amministrativi appropriati e i controlli di accesso basati sui ruoli (RBAC). Non tutti gli amministratori hanno bisogno dell'accesso completo ai dati di audit grezzi; applicare qui il principio del privilegio minimo protegge la telemetria sensibile dell'azienda.

Assegnare questi ruoli specifici tramite l'interfaccia di amministrazione di Microsoft Entra o il portale di conformità di Microsoft Purview garantisce che i responsabili della conformità e gli analisti della sicurezza abbiano esattamente l'accesso di cui hanno bisogno per svolgere le proprie attività in modo efficiente.

Abilitare la registrazione di controllo

Sebbene molte sottoscrizioni moderne di Microsoft 365 abbiano l'auditing standard abilitato per impostazione predefinita, verificare lo stato dell'auditing del tuo tenant è sempre un primo passo obbligatorio. Se l'auditing è disattivato, la tua organizzazione non avrà alcuna traccia storica delle azioni degli utenti che hanno preceduto un evento di sicurezza.

1. Verifica che la tua organizzazione disponga del livello di sottoscrizione corretto (come Microsoft 365 E3 o E5) per supportare la profondità di registrazione che desideri.
2. Conferma che il Unified Audit Log sia attivo utilizzando i comandi di Exchange Online PowerShell oppure controllando il portale di Purview.
3. Assegna i ruoli Lettore audit o Amministratore audit necessari al personale di sicurezza designato.
4. Configura le funzionalità avanzate come Microsoft Purview Audit (Premium) se la tua azienda richiede una conservazione dei log più lunga e la cattura di eventi di alto valore.
5. Stabilisci routine di verifica continue per assicurarti che lo stato dell'auditing non venga disattivato involontariamente durante migrazioni complesse del tenant o passaggi di consegne amministrativi.

Accedere ai log di controllo nel portale di Purview

Navigare nel portale di Purview

Una volta bloccate le autorizzazioni e confermato che l'auditing è attivo, puoi accedere agli strumenti di ricerca principali nell'interfaccia di conformità. Accedi al portale di conformità di Microsoft Purview, individua il riquadro di navigazione a sinistra e seleziona la soluzione Audit. Da lì, fai clic su Ricerca per aprire il generatore di parametri.

Tieni presente che, quando si verifica un evento nel tuo ambiente, di norma servono da 15 a 60 minuti perché la telemetria venga completamente acquisita, indicizzata e resa disponibile tramite lo strumento di ricerca del portale. Nella risposta agli incidenti in tempo reale, la pazienza è fondamentale.

Filtrare ed esportare i log

Poiché gli ambienti aziendali generano ogni giorno milioni di record di telemetria, scorrere manualmente i dati è impossibile. Purview offre strumenti di filtro granulari per mirare efficacemente le tue indagini:

• Intervallo di date e ore (UTC): specifica finestre precise per la tua indagine, tenendo presente che le finestre di ricerca standard arrivano fino a 180 giorni.
• Parole chiave: cerca stringhe specifiche all'interno dei payload JSON sottostanti.
• Attività (nomi descrittivi): seleziona operazioni leggibili anziché i nomi grezzi dei metodi di backend.
• Tipi di record: limita le ricerche a servizi specifici, come i download di file da SharePoint o gli accessi alle cassette postali di Exchange.

Quando è necessaria un'analisi offline più approfondita, puoi esportare i risultati della ricerca in formato CSV (comma-separated value, .csv). L'esportazione include le informazioni dettagliate sugli eventi nella colonna AuditData come oggetti JSON strutturati, che possono poi essere analizzati con strumenti come Power Query di Excel o pipeline SIEM esterne.

Comprendere e analizzare i log di audit

Le voci di audit grezze sono documenti JSON ricchi di dati contestuali, come indirizzi IP dei client, user agent, ID degli elementi interessati e dettagli espliciti dell'operazione. Interpretare questi log permette ai team di sicurezza di distinguere il comportamento legittimo degli utenti dalle minacce interne dolose.

Studiando queste categorie di attività, il tuo security operations center (SOC) può individuare schemi sottili di esfiltrazione dei dati, deriva della configurazione o escalation dei privilegi, molto prima che si traducano in una violazione catastrofica dei dati.

Best practice per l'audit: pianificazione e conformità

Mantenere un ambiente sicuro richiede una governance proattiva, non solo una revisione reattiva dei log. Stabilisci pianificazioni ricorrenti per verificare gli account privilegiati, controllare le modifiche all'appartenenza ai gruppi amministrativi e testare i criteri di avviso automatici.

Integrare la telemetria di audit di Purview con sistemi SIEM (Security Information and Event Management) esterni tramite le Microsoft Graph Activity API o Azure Event Hubs consente alla tua organizzazione di automatizzare le risposte. Ad esempio, se un evento di audit genera un avviso per l'eliminazione massiva di file, una Logic App collegata può revocare automaticamente le sessioni utente o forzare la reimpostazione dell'autenticazione a più fattori.

Inoltre, applica controlli di privacy solidi. Assicurati che i tuoi criteri di conservazione dei log bilancino i requisiti di conformità legali e normativa con gli standard organizzativi di tutela dei dati personali, ricorrendo, dove opportuno, a strumenti come l'eliminazione automatica e la pseudonimizzazione.

Risoluzione dei problemi di accesso e completezza dei log

Gli amministratori si imbattono spesso in ostacoli quando interrogano i log o verificano la copertura della telemetria. Se riscontri record mancanti o blocchi di accesso, segui questa checklist sistematica di risoluzione dei problemi:

• Verifica l'audit del tenant: esegui gli script PowerShell di verifica per assicurarti che l'audit non sia stato interrotto.
• Convalida le assegnazioni RBAC: assicurati che il tuo account utente disponga dei ruoli corretti di Audit Reader o di amministrazione della conformità.
• Controlla i ritardi di acquisizione: ricorda che le code di acquisizione temporanee lato backend possono causare brevi lacune nelle ricerche in tempo reale.
• Rivedi le impostazioni di diagnostica: conferma che le pipeline di esportazione dei dati e i profili di diagnostica siano mappati correttamente per acquisire tutti gli eventi dei carichi di lavoro previsti.

Se i problemi persistono, consulta la documentazione ufficiale Microsoft sulla risoluzione dei problemi oppure esegui query programmatiche mirate tramite PowerShell per isolare i set di record mancanti.

Conclusione

Padroneggiare l'ecosistema del registro di controllo di Microsoft Purview è un percorso essenziale per qualsiasi amministratore cloud o professionista della sicurezza che voglia rafforzare il proprio ambiente Microsoft 365. Dalla comprensione delle autorizzazioni di base all'attivazione della registrazione unificata, fino alla gestione di esportazioni JSON complesse e alle integrazioni SIEM, la tua capacità di tracciare l'attività degli utenti determina direttamente il livello di maturità della sicurezza della tua organizzazione.

Per approfondire e ascoltare scenari pratici reali sul monitoraggio degli utenti, non perdere l'episodio complementare Audit Microsoft 365 User Activity with Purview. Implementare queste rigorose pratiche di audit oggi significa proteggere i beni aziendali e mantenere una conformità solida anche domani.