L'identità come nuovo perimetro: proteggere Entra ID con l'AI

By Mirko Peters · 2026-08-11 · Updated 2026-08-27

Bentornato sul blog di accompagnamento del podcast! Man mano che gli ambienti IT moderni continuano a estendersi oltre i tradizionali confini della rete fisica, proteggere l'azienda requ…

Automatically translated with AI from the original post. Read the English original

Bentornato sul blog di accompagnamento al podcast! Man mano che gli ambienti IT moderni continuano a estendersi oltre i tradizionali confini della rete fisica, proteggere l'azienda richiede un cambio di prospettiva sostanziale su cosa siano oggi i perimetri di sicurezza. In questo approfondimento vediamo come l'identità sia diventata a tutti gli effetti il nuovo perimetro e in che modo l'intelligenza artificiale all'avanguardia stia ridefinendo il modo in cui la proteggiamo. Se ti sei mai sentito sopraffatto dal volume di eventi di accesso, dal comportamento anomalo e dai log frammentati, sei nel posto giusto. Oggi vediamo come Microsoft Security Copilot stia trasformando la difesa dell'identità all'interno di Microsoft Entra ID, valutando il comportamento degli utenti, correlando segnali deboli e suggerendo rimedi immediati.

Introduzione: l'identità come nuovo perimetro

Per decenni la sicurezza aziendale è stata definita dalle quattro pareti dell'ufficio. Firewall, sottoreti fisiche e domain controller fungevano da confine netto tra le risorse interne fidate e il mondo esterno, non attendibile. Ma quando lavoro da remoto, migrazione al cloud e dispositivi mobili sono diventati lo standard operativo permanente, quel perimetro fisico si è dissolto. Oggi dipendenti, partner e collaboratori accedono da bar, uffici domestici e aeroporti di tutto il mondo, usando una grande varietà di dispositivi personali e aziendali. Di conseguenza, il firewall tradizionale non è più il luogo in cui si vince o si perde la battaglia per la sicurezza aziendale.

Oggi l'identità ha preso il suo posto come principale superficie di attacco. Gli attaccanti si sono in gran parte allontanati dalle tecniche complesse per violare il perimetro, perché spesso è molto più semplice e redditizio rubare le credenziali. Phishing, credential stuffing e session hijacking sono ormai i vettori d'ingresso preferiti dagli autori di minacce. Una volta compromessa un'identità utente valida, un attaccante può muoversi lateralmente tra i servizi cloud, accedere ai dati sensibili ed eludere i meccanismi di rilevamento tradizionali, che presuppongono che un utente connesso sia un dipendente legittimo. Proteggere l'azienda moderna richiede quindi una svolta radicale verso una sicurezza incentrata sull'identità, in cui ogni singola richiesta di autenticazione viene esaminata, contestualizzata e valutata continuamente in termini di rischio.

Valutare il comportamento di accesso con Security Copilot

Valutare il comportamento di accesso su larga scala è una sfida enorme per le persone. Ogni giorno le organizzazioni elaborano milioni di autenticazioni, dai normali accessi del mattino alle chiamate API programmatiche eseguite in background. Pretendere che un analista della sicurezza esamini manualmente i log di accesso, incroci gli indirizzi IP e verifichi la conformità dei dispositivi per ogni singolo evento anomalo è una missione impossibile. È qui che l'intelligenza artificiale e, in particolare, Microsoft Security Copilot entrano in gioco per cambiare le regole.

Security Copilot agisce come un livello intelligente integrato direttamente in Microsoft Entra ID e nel più ampio ecosistema di sicurezza Microsoft. Quando un utente tenta di accedere, Copilot inizia immediatamente a valutare le baseline comportamentali. Non si limita a verificare che la password sia corretta: esamina il contesto complessivo del tentativo di autenticazione. L'utente sta accedendo da una posizione geografica insolita? Sta usando un dispositivo che non è mai stato registrato nel suo profilo? La velocità di spostamento tra due accessi consecutivi è fisicamente impossibile? Analizzando continuamente questi schemi comportamentali rispetto ai dati storici, Security Copilot può segnalare immediatamente gli accessi ad alto rischio che altrimenti sfuggirebbero ai criteri statici di accesso condizionale o passerebbero inosservati in un mare di log di routine.

Correlare i segnali deboli in storie di rischio significative

Uno degli aspetti più insidiosi delle minacce informatiche moderne è la dipendenza da indicatori frammentati e a bassa gravità. Presi singolarmente, eventi come una semplice richiesta di reimpostazione della password, una stringa user-agent del browser non riconosciuta o un breve accesso da una VPN commerciale potrebbero sembrare del tutto innocui. I tradizionali sistemi di gestione delle informazioni e degli eventi di sicurezza generano spesso avvisi separati per ciascuno di questi eventi, contribuendo direttamente alla continua saturazione da allarmi che affligge i centri operativi di sicurezza moderni.

Security Copilot eccelle nel fare da ponte cognitivo tra questi dati eterogenei. Invece di trattare gli eventi isolati come vicoli ciechi, Copilot correla automaticamente più segnali deboli tra utenti, dispositivi e applicazioni per costruire una storia del rischio coerente e significativa. Ad esempio, se un account registra un accesso leggermente fuori orario da un nuovo dispositivo, seguito da un rapido tentativo di cambio password e poi da una query immediata sui dati sensibili dei clienti, Copilot collega questi eventi tra loro. Trasforma la telemetria grezza e confusa in una narrazione chiara in linguaggio naturale che spiega esattamente come un malintenzionato stia cercando di compromettere un'identità. Questa capacità elimina la noiosa ricostruzione manuale del contesto e permette agli analisti di capire subito quanto sia grave la situazione.

Azioni di rimedio immediate per gli accessi ad alto rischio

Individuare una minaccia è solo metà della battaglia: la vera prova della postura di sicurezza sta nel fermarla prima che causi danni. Negli scenari ad alta pressione, ogni minuto speso a decidere la risposta giusta o a navigare in interfacce di amministrazione complesse aumenta il rischio di esfiltrazione dei dati o di movimento laterale. Security Copilot colma il divario tra rilevamento e risposta offrendo suggerimenti di rimedio immediati e contestualizzati direttamente nel flusso di lavoro dell'analista.

Quando un accesso ad alto rischio viene segnalato e verificato come malevolo o altamente sospetto, Copilot non si limita a mostrare il problema: fornisce percorsi di rimedio concreti. Gli analisti possono eseguire subito comandi per richiedere una nuova verifica con l'autenticazione a più fattori, forzare un reset immediato della password, revocare i token OAuth attivi o bloccare temporaneamente la sessione rischiosa. Poiché queste azioni sono integrate direttamente in Microsoft Entra ID e negli strumenti di Defender, i tempi di risposta si riducono drasticamente. Ciò che prima richiedeva un'indagine in più fasi e un intervento amministrativo manuale può ora essere neutralizzato con pochi clic, riducendo in modo significativo la finestra di esposizione complessiva dell'organizzazione.

Proteggere l'azienda moderna con la difesa dell'identità basata sull'IA

Man mano che le minacce informatiche diventano più automatizzate e sofisticate, i difensori umani non possono affidarsi solo a processi manuali, strumenti legacy e approcci reattivi. Adottando l'identità come nuovo perimetro e implementando assistenti IA avanzati come Microsoft Security Copilot, le organizzazioni possono finalmente ribaltare l'esito della partita contro attaccanti persistenti. Correlare segnali comportamentali deboli, ridurre i tempi di indagine e automatizzare le azioni di rimedio permette ai team di sicurezza di smettere di spegnere incendi e passare a una difesa proattiva e resiliente.

Per saperne di più su come l'intelligenza artificiale stia trasformando le operazioni di sicurezza e aiutando i team ad affrontare la fatica da allarmi nel SOC, non perdere il podcast correlato: Security Copilot for SOC Operations: Reduce Alert Fatigue.

Quali difficoltà affrontano gli analisti di sicurezza con l'attuale volume di avvisi?
Gli analisti di sicurezza sono sommersi da un flusso di avvisi, spesso superiore a 200 prima ancora che inizi la giornata. Questo volume genera ritardi e inefficienze, rendendo difficile rispondere in modo efficace alle minacce attive.

In che modo Security CoPilot migliora il flusso di lavoro dei team di sicurezza?
Security Copilot è integrato direttamente negli strumenti di sicurezza esistenti, permettendo agli analisti di accedere all'assistenza IA senza interrompere il proprio lavoro. Questa integrazione aiuta a restare concentrati sulla risoluzione dei problemi di sicurezza, invece di passare continuamente da un sistema all'altro.

In che modo CoPilot migliora la comprensione degli avvisi di sicurezza?
Copilot fornisce riepiloghi completi degli avvisi che traducono segnali tecnici complessi in narrazioni comprensibili. Ne spiega il contesto e la gravità, trasformandoli in report di intelligence utilizzabili.

Quali funzionalità proattive offre Security CoPilot ai team di sicurezza?
Copilot può individuare schemi tra più segnali di rischio, permettendo ai team di sicurezza di cercare attivamente minacce basate sull'identità invece di limitarsi a reagire agli avvisi ad alta confidenza. Questo sposta il focus dalle risposte reattive alla threat hunting proattiva.

Come assiste CoPilot nella gestione dei dispositivi e nella creazione dei criteri?
Copilot esegue analisi di livello esperto fornendo informazioni sull'impatto delle modifiche ai criteri di sicurezza sia sulla postura di sicurezza sia sull'esperienza utente. Questo aiuta gli amministratori a prendere decisioni informate che bilanciano i requisiti di sicurezza con la produttività degli utenti.

Ottieni l'accesso completo a M365 Show - Microsoft 365 Digital Workplace Daily su m365.show/subscribe