Come Conditional Access usa i segnali di Defender per proteggere gli ambienti Microsoft

By Mirko Peters · 2026-04-26

Conditional Access in Microsoft Entra è il buttafuori alla porta d'ingresso: decide se puoi entrare, a quali risorse puoi accedere e a quali condizioni. Integrando i segnali di Microsoft Defender, non si limita a controllare la tua identità, ma verifica anche se porti con te qualcosa di rischioso. Questa integrazione stretta significa che la tua organizzazione non prende decisioni alla cieca basan

Automatically translated with AI from the original post. Read the English original

Cover: Fix Conditional Access Loopholes in Microsoft 365

Quando Entra Conditional Access e Defender lavorano insieme, raccolgono informazioni dalle identità degli utenti, dallo stato di integrità dei dispositivi e dall'intelligence sulle minacce in tempo reale. Tutti questi segnali si combinano per determinare con quali risorse un utente o un dispositivo può interagire. È un elemento chiave dello Zero Trust: nessuno riceve un lasciapassare solo perché è entrato una volta; ogni accesso e ogni sessione vengono verificati. In questa guida vedrai come questo approccio dinamico mantiene sicuro il tuo ambiente, anche quando le minacce cambiano continuamente.

Capire l'integrazione tra Entra Conditional Access e i segnali di Defender

La sicurezza del cloud moderno non riguarda i muri, ma cancelli intelligenti che si aprono solo quando l'intera situazione appare affidabile. È quello che ottieni integrando i criteri di Entra Conditional Access con i segnali di Defender. Invece di regole rigide valide per tutti, le decisioni sugli accessi vengono adattate in tempo reale usando dati attivi su utenti, dispositivi, posizioni e threat intelligence. Vuoi bloccare gli attaccanti, ma lasciare che gli utenti legittimi lavorino senza intoppi: è questa la grande idea.

Questo modello è sempre in ascolto dei cambiamenti che contano. Ad esempio, se Defender for Endpoint individua malware o comportamenti rischiosi, quel segnale viene inviato direttamente alla pipeline decisionale di Conditional Access. All'improvviso, una richiesta che un minuto fa sembrava sicura viene bloccata prima che possa causare problemi. Questo flusso di lavoro (segnali, decisioni, applicazione) è ciò che lo rende dinamico, efficace e adatto alle minacce di oggi e alle esigenze di conformità.

In questo articolo vedrai modi pratici in cui Conditional Access usa questi segnali per creare un controllo degli accessi più intelligente, bloccare le attività sospette e supportare una sicurezza adattiva basata su Zero Trust. Se ti sei mai chiesto cosa rende l'accesso al cloud sicuro e allo stesso tempo praticabile (senza escludere le persone), è qui che tutto si unisce. Per un approfondimento su come gestire le lacune di fiducia e ottimizzare i criteri per implementazioni senza intoppi, dai un'occhiata a questa guida sui problemi di fiducia dei criteri di Conditional Access oppure ascolta gli esperti che discutono di rischi legati all'identità in questo podcast su Entra ID e i cicli di sicurezza.

Cos'è Entra Conditional Access e come funziona?

Entra Conditional Access è il modo in cui Microsoft applica intelligenti barriere di sicurezza alle tue applicazioni e ai tuoi dati. Nella sua essenza è un sistema basato su criteri che decide se l'accesso di un utente debba essere consentito, bloccato o sottoposto a verifica, in base a segnali come chi sta effettuando l'accesso, da quale dispositivo e in quali condizioni.

Ecco come funziona: ogni tentativo di accesso viene valutato seguendo un flusso di lavoro "segnali → decisioni → applicazione". I segnali provengono dalle identità degli utenti, dalla conformità dei dispositivi e dal rilevamento delle minacce. I criteri interpretano questi segnali, prendono decisioni sugli accessi in tempo reale e le applicano in Microsoft 365, Azure AD o nelle app connesse. In questo modo solo gli utenti legittimi, integri e autorizzati possono accedere a ciò che conta di più per la tua attività.

Come Microsoft Defender fornisce segnali di rischio per Conditional Access

Microsoft Defender funge da sistema di allerta precoce per Conditional Access. Defender for Endpoint e Defender for Cloud Apps inviano in tempo reale segnali di rischio su integrità dei dispositivi, minacce attive e comportamenti sospetti direttamente al motore di Conditional Access.

Ad esempio, Defender potrebbe segnalare un dispositivo come compromesso a causa del rilevamento di malware, oppure individuare un comportamento utente sospetto che indica una sessione dirottata. Questi segnali influenzano immediatamente i criteri di accesso, permettendo a Conditional Access di bloccare sessioni ad alto rischio, richiedere una verifica aggiuntiva o applicare restrizioni di sessione. Con Defender, le decisioni di accesso restano allineate alla postura di sicurezza attuale, non solo allo stato di ieri. Per saperne di più sulla conformità continua e sulle informazioni di rischio utili all'azione, consulta come Defender for Cloud supporta il monitoraggio in tempo reale.

Segnali chiave che guidano le decisioni di Conditional Access

Tutto parte dai segnali, ovvero dati in tempo reale che danno a Conditional Access la sua intelligenza. Senza di essi, il controllo degli accessi sarebbe fermo all'età della pietra, lasciando passare i malintenzionati o frustrando gli utenti con regole goffe e opprimenti. Quindi, cosa alimenta davvero queste decisioni? È una combinazione: informazioni sulla conformità dei dispositivi, rischio dell'identità dagli accessi, threat intelligence e contesto relativo alle applicazioni e alle sessioni in uso.

La conformità del dispositivo è molto più di un semplice "ha l'antivirus?". Verifica che gli endpoint siano in buono stato, conformi ai criteri e che non facciano nulla di sospetto. Nel frattempo, i segnali di identità e di minaccia provengono dai modelli di accesso di un utente, dal rilevamento di password compromesse o da spostamenti geografici insoliti. Quando l'account di qualcuno mostra segni di compromissione, nel sistema scatta un campanello d'allarme.

La magia avviene quando questi segnali si combinano, permettendoti di adattare i controlli di accesso al volo. Vuoi che l'accesso cambi se il dispositivo viene compromesso durante una sessione, o se Defender rileva malware a metà sessione: questo è ciò che rende il modello dinamico. Nelle sezioni successive vedremo come tutti questi segnali confluiscono nelle decisioni sui criteri, così potrai capire quali sono indispensabili per un controllo degli accessi solido e consapevole del contesto.

Come i segnali di conformità dei dispositivi influenzano il controllo degli accessi

I segnali di conformità dei dispositivi sono il pane quotidiano dell'accesso sicuro negli ambienti Microsoft. Generati da Microsoft Intune, questi segnali indicano se un dispositivo soddisfa i requisiti di sicurezza dell'organizzazione: cifratura, livello delle patch e protezione antimalware, per citarne alcuni.

Quando un utente effettua l'accesso, Conditional Access verifica questi segnali di conformità in tempo reale. Solo i dispositivi contrassegnati come conformi possono accedere a dati e applicazioni sensibili, sbarrando di fatto la porta a endpoint compromessi, non aggiornati o non gestiti. Imporre la conformità dei dispositivi riduce drasticamente il rischio, garantendo che solo dispositivi sicuri e allineati ai criteri gestiscano i tuoi carichi di lavoro critici.

Sfruttare i segnali di identità e di minaccia di Microsoft Defender

Microsoft Defender ha un occhio acuto per i comportamenti anomali. Individua accessi rischiosi, credenziali compromesse e perfino attività sospette come il phishing per il consenso o l'installazione di malware sugli endpoint. Questi segnali confluiscono direttamente in Entra ID e nei criteri di Conditional Access.

Se Defender rileva un account con credenziali compromesse, all'utente può essere richiesta un'autenticazione aggiuntiva oppure l'accesso può essere bloccato finché il rischio non rientra. Quando una sessione diventa rischiosa a metà, ad esempio perché compare del malware o un token sembra dirottato, Conditional Access può applicare immediatamente controlli di sessione o forzare la disconnessione. Non si tratta solo di teoria: schemi di attacco moderni, come quelli descritti in questa analisi reale di un attacco a Microsoft 365, mostrano perché una progettazione dei criteri dinamica e basata sul rischio sia fondamentale contro il furto di token e le minacce moderne.

Creare criteri di Conditional Access solidi con l'integrazione di Defender

I criteri migliori partono da un piano chiaro: deve consentire agli utenti reali di lavorare, ma bloccare con decisione il traffico sospetto. La forza sta nell'integrare i segnali di Defender e la conformità di Intune con Conditional Access, così non stai solo creando regole statiche, ma costruendo difese intelligenti e stratificate che reagiscono a ciò che accade in questo momento.

L'approccio giusto è una combinazione. Usi l'autenticazione a più fattori per gestire le minacce all'identità, richiedi che i dispositivi siano sia attendibili sia conformi e lasci passare l'accesso alle app solo quando ogni controllo è superato. Così la sicurezza resta solida senza ostacolare le persone che devono svolgere il proprio lavoro.

Se vuoi una protezione dei dati solida ma senza scatenare le lamentele degli utenti, configurare bene i criteri fin dall'inizio fa una grande differenza. Per vedere un caso reale di sicurezza rafforzata senza esasperare gli utenti, dai un'occhiata a questa guida sulle configurazioni di sicurezza ironclad per Microsoft 365. Poi analizzeremo i criteri essenziali, perché sono importanti e come l'integrazione con Defender porta la protezione a un livello superiore.

Criteri essenziali per l'accesso condizionale di Azure

Blocca l'autenticazione legacy: i protocolli obsoleti come IMAP e POP non supportano MFA e sono i preferiti dagli attaccanti. Applica criteri che bloccano questi metodi di autenticazione legacy per eliminare un importante vettore di rischio dal tuo ambiente. Questa è la base di qualsiasi implementazione sicura di Microsoft 365 o Azure.
Richiedi MFA per utenti e amministratori: l'autenticazione a più fattori blocca sul nascere la maggior parte dei furti di credenziali. Applica MFA a tutti gli utenti e richiedi un'autenticazione aggiuntiva (resistente al phishing, se possibile) per scenari ad alto privilegio o ad alto rischio. Questo impedisce i movimenti laterali in caso di compromissione.
Richiedi che il dispositivo sia contrassegnato come conforme: assicurati che solo gli endpoint gestiti e integri, verificati tramite i criteri di conformità dei dispositivi di Intune, possano accedere ad app sensibili come Exchange Online o SharePoint. Questo protegge i dati da dispositivi infetti o non gestiti che entrano nel lavoro da remoto.
Applica controlli sulla posizione di accesso: limita l'accesso alle app critiche in base a posizioni di rete attendibili e attiva un'autenticazione aggiuntiva quando gli utenti accedono da luoghi insoliti o inattesi. Questo si allinea bene con i principi di Zero Trust: non dare per scontata la fiducia solo perché nome utente e password sono corretti.
Usa i criteri di controllo delle app e delle sessioni: collega i controlli di sessione tramite Defender for Cloud Apps per governare ciò che gli utenti possono fare una volta dentro. Puoi limitare i download, analizzare eventuali esfiltrazioni o bloccare operazioni rischiose consentendo solo l'accesso in sola lettura, soprattutto sugli endpoint non gestiti.

Se stai andando verso Zero Trust, ti conviene una progettazione coordinata dei criteri, come illustrato in questo podcast su Zero Trust by Design, che tratta i criteri di accesso adattivi e la valutazione continua in Microsoft 365 e Dynamics 365.

Applicare MFA e autenticazione resistente al phishing per gli utenti

MFA per tutti gli utenti: rendi MFA l'impostazione predefinita, per ogni account e non solo per gli amministratori. Usa i criteri di accesso condizionale integrati per un avvio rapido.
Opzioni resistenti al phishing: punta su chiavi di sicurezza FIDO2 e Windows Hello for Business come fattori principali, riducendo il rischio di attacchi di phishing e di replay dei token.
Gruppi di amministratori e ad alto rischio: richiedi sempre un'autenticazione aggiuntiva per gli account amministratore e per gli utenti che accedono ad app sensibili, perché sono i bersagli principali degli attacchi.
Account di emergenza: conserva un account di eccezione sicuro e monitorato per il ripristino in caso di emergenza, ma limitalo e controllalo con attenzione per prevenirne un uso improprio.

Dispositivi attendibili e conformi come requisiti di accesso

Richiedi dispositivi conformi: limita l'accesso in modo che solo i dispositivi conformi a Intune e allineati ai criteri possano ottenere il via libera per i dati aziendali sensibili.
Applica l'aggiunta a Entra ID ibrido o completo: per gli scenari avanzati, consenti l'accesso solo da dispositivi aggiunti in modo ibrido o completamente registrati in Entra ID, un ulteriore livello di integrazione con l'identità.
Combina il rischio del dispositivo e quello dell'utente: stratifica la conformità del dispositivo con i segnali di rischio dell'utente, così anche un dispositivo conforme può essere bloccato se l'utente o la sessione associata appare improvvisamente sospetta.

Procedure consigliate ed errori comuni nell'implementazione dell'accesso condizionale

L'accesso condizionale è valido solo quanto la sua implementazione: se è troppo restrittivo blocchi tutti fuori, se è troppo permissivo lasci falle ovunque. Il segreto sta in un rollout graduale e nell'evitare gli errori da principianti che possono causare interruzioni operative o lasciarti esposto ad attaccanti abili.

La maggior parte dei grattacapi deriva da overblocking (un criterio troppo restrittivo), configurazioni MFA sbagliate o criteri che entrano in conflitto e creano varchi per gli attaccanti oppure, peggio ancora, frustrano gli utenti di tutti i giorni. Non è tutta una questione di strumenti: una governance solida, responsabilità chiare e una gestione del ciclo di vita dei criteri sono elementi essenziali per mantenere il perimetro delle identità stabile e prevedibile.

Prima di iniziare, verifica i prerequisiti, i requisiti di licenza e tutte le piccole particolarità tecniche (soprattutto negli ambienti ibridi e multicloud con basi utenti complesse). E non sottovalutare il monitoraggio: l'automazione da sola non basta se nessuno controlla il drift dei criteri o l'emergere di nuove lacune. Per capire davvero queste insidie negli ambienti Microsoft 365 di grandi dimensioni, dai un'occhiata a questa panoramica sui più comuni errori di governance, oppure leggi dei problemi legati alle piattaforme di collaborazione in questa guida incentrata sulla governance.

Come evitare i comuni errori e conflitti di Accesso condizionale

Testa i criteri prima dell'implementazione completa: usa la modalità "solo report" o gruppi pilota per vedere l'impatto reale. Evita sorprese testando le modifiche prima di applicarle a tutta l'azienda.
Fai attenzione alle collisioni tra criteri: criteri sovrapposti possono bloccare l'accesso in modo inatteso oppure concedere più autorizzazioni del previsto. Verifica regolarmente la matrice di Accesso condizionale per evitare regole in conflitto, soprattutto quando più amministratori lavorano sullo stesso ambiente.
Configura l'MFA con attenzione: una configurazione errata dell'MFA può bloccare utenti legittimi (anche amministratori) oppure creare falle se passano protocolli legacy. Mantieni sempre un account "break-glass" sicuro e monitorato come rete di sicurezza.
Monitora e controlla in modo continuo: osserva i log in tempo reale e il feedback degli utenti, e tieniti pronto a intervenire man mano. Il monitoraggio automatizzato, unito a una risposta agli incidenti chiara, ti aiuta a individuare i problemi prima che degenerino.

Per un'altra prospettiva sull'integrazione della strategia di sicurezza tra app e piattaforme, ed evitare errori da vecchia scuola, ascolta questo approfondimento su DLP e governance della sicurezza in Microsoft Power Platform.

Prerequisiti di distribuzione e limitazioni del servizio

Ruoli amministrativi: ti servono privilegi sufficienti, di solito Amministratore globale o Amministratore sicurezza in Entra ID, per creare e gestire i criteri di Accesso condizionale.
Requisiti di licenza: la maggior parte delle funzionalità di Accesso condizionale richiede almeno una licenza Microsoft Entra ID P1 o P2, e le integrazioni con Defender possono richiedere ulteriori livelli di licenza: pianificalo fin dall'inizio.
Prerequisiti infrastrutturali: assicurati che i dispositivi siano registrati in Intune, che le identità siano pulite (senza duplicati o account obsoleti) e che la directory sia pronta per la sincronizzazione e il monitoraggio.
Limitazioni del servizio: non tutte le app legacy o di terze parti supportano l'applicazione dell'Accesso condizionale, e account di servizio e identità gestite richiedono spesso un trattamento particolare. Leggi attentamente la documentazione per non lasciare nulla al caso.

Controlli avanzati e integrazione degli strumenti di sicurezza

Una volta che le basi dell'Accesso condizionale funzionano a dovere, il passo successivo è aggiungere controlli di sessione, protezione dei token e l'integrazione con altre piattaforme di sicurezza. È qui che il principio del "privilegio minimo" diventa granulare: decidi cosa possono fare gli utenti anche dopo aver superato la porta d'ingresso, e fai in modo che i token non possano essere rubati e riutilizzati altrove.

La profonda integrazione con Microsoft Intune, Defender e altri prodotti di sicurezza di terze parti significa che non stai operando alla cieca. La telemetria unificata fornisce un feedback in tempo reale, rendendo il rilevamento e la risposta alle minacce un processo attivo e non reattivo. Questo è fondamentale per proteggere i carichi di lavoro sensibili e mantenere la conformità, soprattutto nei settori altamente regolamentati.

Il monitoraggio continuo e i controlli adattivi aiutano anche a prevenire la deriva di conformità, sfruttando Defender for Cloud e strumenti come Power BI. Per strategie pratiche sull'automazione della conformità nel tempo e su una visibilità unificata, consulta questa guida pratica al monitoraggio con Defender for Cloud. Ora vediamo nel dettaglio i controlli chiave e le strategie di integrazione per massimizzare sicurezza ed esperienza utente.

Utilizzo di controlli di sessione e Token Protection su dispositivi gestiti

Frequenza di accesso: definisci ogni quanto gli utenti devono autenticarsi di nuovo: intervalli più brevi per le app sensibili riducono la finestra di rischio se un token viene rubato.
Criteri di protezione delle app: limita azioni come copia/incolla, salva con nome o condivisione quando gli utenti accedono ai dati da dispositivi mobili o non conformi, per evitare che i dati sensibili escano dal perimetro.
Token Protection: associa i token di autenticazione a dispositivi specifici e verificati. Questo impedisce agli attaccanti di riutilizzare i token su altri computer, anche se i token sono stati rubati.
Equilibrio con l'usabilità: testa i controlli con utenti reali per evitare di sovraccaricarli; inasprisci le regole gradualmente, in base alle necessità e al rischio, non per supposizione.

Integrazione con gli strumenti di sicurezza e considerazioni sui client delle app

Integrazione con Microsoft Intune: collega la gestione dei dispositivi direttamente con l'accesso condizionale per avere segnali sempre aggiornati su conformità e integrità degli endpoint.
Defender for Endpoint/Cloud Apps: usa Defender per inviare segnali su minacce e sessioni che l'accesso condizionale può utilizzare per criteri adattivi in tempo reale.
Strumenti di sicurezza di terze parti: integra SIEM, CASB o soluzioni di gestione degli endpoint secondo necessità, ma verifica attentamente la compatibilità.
Supporto per app e client: verifica che i client delle app, soprattutto quelle legacy o mobili, supportino pienamente l'applicazione dell'accesso condizionale e la generazione di report di telemetria, per evitare punti ciechi.

Per approfondire la sicurezza di Microsoft Power Platform e la gestione dei rischi legati ai connettori, consulta queste best practice di governance per Power Platform.

Risposta alle minacce in tempo reale con i segnali di Defender

La sicurezza nel cloud non consiste più nel definire criteri e sperare nel meglio. Grazie ai segnali di Microsoft Defender integrati con l'accesso condizionale, ottieni una risposta dinamica alle minacce, non dopo giorni, ma in tempo reale. Se Defender for Endpoint rileva attività di malware o un attacco in corso, l'accesso condizionale può ribaltare la situazione all'istante, revocando le sessioni o richiedendo un'autenticazione più rigorosa al volo.

Questa automazione riduce drasticamente il tempo di permanenza degli attaccanti, bloccando i movimenti laterali e limitando la perdita di dati. Non devi farlo a mano: la telemetria generata da Defender alimenta direttamente le valutazioni del rischio in Entra ID, modificando i livelli di rischio per utente, dispositivo o sessione. Il risultato? Una risposta agli incidenti più efficace, meno carico di lavoro per il team di sicurezza e un ambiente molto più difficile da compromettere per gli attaccanti, un aspetto particolarmente importante nei principi di Zero Trust, dove ogni sessione e ogni contesto contano.

Le sezioni successive approfondiscono come avvengono concretamente gli adattamenti dinamici dei criteri e come le informazioni di Defender arricchiscono il punteggio di rischio per risposte di accesso condizionale più intelligenti e basate sul contesto. La sicurezza adattiva non è solo un termine di moda: ecco dove porta un valore reale e misurabile.

Adattamento dinamico dei criteri con Defender for Endpoint

Il rilevamento di malware modifica gli accessi: se Defender for Endpoint rileva malware su un dispositivo, l'accesso condizionale può bloccare immediatamente quel dispositivo da tutte le risorse aziendali oppure richiedere un'autenticazione aggiuntiva all'utente.
Processi sospetti o minacce: quando viene individuata un'attività di processo rischiosa, come uno sfruttamento noto di una vulnerabilità o un comportamento tipico dei ransomware, il segnale aumenta il rischio del dispositivo. L'accesso condizionale risponde revocando le sessioni attive o applicando controlli più rigorosi finché la situazione non viene risolta.
Revoca automatica delle sessioni: invece di attendere che un amministratore si accorga del problema, gli avvisi in tempo reale di Defender attivano l'applicazione automatica dei criteri: quarantena, disconnessione o passaggio dell'accesso utente in sola lettura, senza ritardi.
Risposta immediata e coordinata: queste funzionalità accelerano notevolmente la risposta agli incidenti, bloccando gli attaccanti in tempo reale e riducendo il rischio di diffusione o compromissione dei dati.

Arricchire i livelli di rischio di Identity Protection con Defender Intelligence

Defender non si limita a segnalare i dispositivi a rischio: invia il rischio dei dispositivi, le anomalie delle sessioni e i segnali di minaccia al motore di calcolo del rischio di Entra Identity Protection. A ogni accesso e a ogni sessione viene assegnato un livello di rischio sempre aggiornato, basato sulla telemetria in tempo reale di Defender for Endpoint e Defender for Cloud Apps.

Questo modello arricchito consente ad Accesso condizionale di applicare un controllo degli accessi davvero basato sul rischio: blocca automaticamente l'accesso o richiede l'autenticazione step-up quando è il rischio reale, e non solo le regole statiche, a richiederlo. Il risultato è che i tuoi criteri Zero Trust restano adattivi, sensibili a rischi che cambiano rapidamente e molto più efficaci nel bloccare gli attaccanti prima che possano causare danni.