Integrare EASM nel tuo stack di sicurezza: Sentinel, Copilot e oltre

By Mirko Peters · 2026-08-13

Bentornato a un nuovo approfondimento sul mondo in continua evoluzione della sicurezza cloud e dell'architettura di Microsoft 365. Nel nostro podcast ribadiamo continuamente che le moderne…

Automatically translated with AI from the original post. Read the English original

Bentornato a un nuovo approfondimento sul mondo in continua evoluzione della sicurezza cloud e dell'architettura di Microsoft 365. Nel nostro podcast ribadiamo continuamente che le moderne operazioni di sicurezza richiedono una visione olistica del tuo panorama digitale. In un episodio recente abbiamo illustrato i fondamenti della scoperta degli asset esterni. Se non l'hai ancora ascoltato, non perdere l'episodio correlato, «Microsoft Defender EASM - Simply Explained», in cui esploriamo come le organizzazioni possano cambiare radicalmente il modo di vedere la propria presenza pubblica.

Capire cosa si trova sulla rete internet pubblica è un passo avanti enorme, ma avere un semplice inventario degli asset esposti non basta. La vera svolta arriva quando integri l'intelligence della gestione della superficie di attacco esterna (EASM) nel tuo stack di sicurezza più ampio. In questo post approfondiamo questi concetti e vediamo come Microsoft Defender EASM alimenta Microsoft Sentinel, Log Analytics, Azure Data Explorer e Security Copilot con un contesto prezioso, per migliorare in modo deciso la postura di sicurezza complessiva.

Introduzione alla gestione della superficie di attacco esterna

Prima di parlare di integrazione, inquadriamo brevemente la sfida centrale. I framework di sicurezza tradizionali sono fortemente orientati all'ambiente interno. I sistemi SIEM, gli strumenti di endpoint detection and response (EDR) e gli scanner di vulnerabilità si basano in genere su agent installati sui dispositivi gestiti o su scansioni della rete interna. Tuttavia, gli attaccanti non avviano le loro campagne dalla rete interna: partono da internet aperta.

Defender EASM colma questo divario funzionando come un raccoglitore di intelligence, non come uno strumento di enforcement inline tradizionale, come un firewall o un antivirus. Mappa in modo continuo, da una prospettiva esterna verso l'interno, domini, sottodomini, certificati SSL, indirizzi IP pubblici e porte aperte. Ma scoprire questi asset è solo l'inizio. Per generare un cambiamento operativo concreto, questa intelligence esterna deve confluire negli strumenti che i tuoi analisti del Security Operations Center (SOC) usano ogni giorno.

Prospettiva esterna e inventari interni a confronto

Quando i team di sicurezza costruiscono i propri inventari degli asset, di solito attingono a database di gestione della configurazione, storici dei ticket IT e portali delle sottoscrizioni cloud. Purtroppo questi inventari interni sono notoriamente pieni di punti ciechi: shadow IT, campagne marketing dimenticate, ambienti di test non monitorati e infrastrutture rimaste dopo le acquisizioni.

Una prospettiva esterna attraversa il rumore dei silos organizzativi interni. Non le importa quale reparto abbia attivato un carico di lavoro cloud o quale fornitore abbia distribuito un portale pubblico. Se un asset è raggiungibile tramite browser o scanner IP sul web pubblico, EASM lo troverà. Traducendo questi dati grezzi esterni in osservazioni strutturate, le organizzazioni possono finalmente confrontare ciò che ritengono esposto con ciò che è realmente accessibile dall'esterno.

Come Microsoft Defender EASM scopre gli asset pubblici

Per capire come questi dati si integrano con il resto del tuo stack di sicurezza, è utile conoscere il funzionamento del motore di discovery. La scoperta parte da un semplice punto di partenza, come un dominio aziendale principale, un Autonomous System Number o un blocco noto di IP pubblici. Da lì il sistema avvia una discovery ricorsiva.

Segue le tracce digitali: un dominio radice rimanda a un certificato, il certificato fa riferimento a sottodomini alternativi, questi sottodomini risolvono in host specifici, e tali host si trovano su indirizzi IP pubblici associati a servizi web precisi. Man mano che Defender EASM mappa queste relazioni, crea un grafo ricco di asset. Esportare questa mappa basata sulle relazioni verso gli strumenti di sicurezza a valle offre ai tuoi analisti un contesto senza precedenti durante un'indagine.

Integrare le informazioni di EASM con Microsoft Sentinel

Microsoft Sentinel è il sistema nervoso centrale delle moderne operazioni di sicurezza: raccoglie log, alert e threat intelligence da tutta l'azienda. Quando integri le informazioni di Defender EASM in Sentinel, colmi il divario tra esposizione esterna e telemetria interna.

Immagina che in Sentinel scatti un avviso per tentativi di autenticazione anomali contro un'applicazione web. Se i dati di EASM vengono inseriti nel tuo workspace di Sentinel, le regole di analisi e le query di correlazione possono stabilire immediatamente se quell'applicazione web mirata è un sistema di produzione ufficiale o un server di staging dimenticato e non gestito, individuato dalla scansione della superficie di attacco esterna. Questo arricchimento contestuale immediato aiuta gli analisti a dare priorità agli incidenti più rapidamente, separando le minacce ad alta priorità su asset critici dal rumore generato da infrastrutture shadow IT obsolete.

Sfruttare Log Analytics e Azure Data Explorer per i dati di EASM

Le organizzazioni enterprise gestiscono spesso ampie presenze pubbliche composte da migliaia di domini, certificati e intervalli IP. Analizzare questo volume di dati sulla superficie di attacco richiede piattaforme dati solide. È qui che entrano in gioco Log Analytics e Azure Data Explorer.

Esportando i dati di inventario e di osservazione di EASM nei workspace di Log Analytics, i team di ingegneria della sicurezza possono creare workbook personalizzati e dashboard di monitoraggio. Puoi tenere traccia di metriche come quanti certificati SSL scadranno nei prossimi trenta giorni, quanti nuovi indirizzi IP pubblici non classificati sono comparsi questa settimana o quali unità di business accumulano il maggior numero di esposizioni esterne ad alto rischio.

Per le organizzazioni che operano su larga scala in più filiali globali, Azure Data Explorer offre la potenza necessaria per eseguire query complesse e velocissime su milioni di dati storici della superficie di attacco. Gli architetti della sicurezza possono eseguire analisi di tendenza su mesi o anni, mappando come evolve la postura esterna insieme alla crescita aziendale, a fusioni e acquisizioni.

Accelerare le indagini con Security Copilot

Man mano che gli strumenti di sicurezza diventano più avanzati, il carico cognitivo sugli analisti SOC continua ad aumentare. Scrivere query complesse in Kusto Query Language per correlare i dati degli asset esterni con le fonti di log interne può rallentare la risposta attiva agli incidenti. È qui che Microsoft Security Copilot trasforma il flusso di lavoro.

Security Copilot funge da interfaccia in linguaggio naturale su tutto il tuo ecosistema di sicurezza, inclusi i dati di EASM. Un analista che gestisce un incidente in corso può porre a Copilot domande in forma colloquiale, ad esempio: "Mostrami tutti gli indirizzi IP esterni associati al nostro brand principale che hanno porte di gestione remota aperte e avvisi recenti di brute force in Sentinel."

Copilot sintetizza i dati sulla postura esterna di Defender EASM con la telemetria delle minacce interne, generando in pochi secondi un briefing completo sull'incidente. Sebbene i professionisti della sicurezza restino saldamente al controllo, interpretando i risultati ed eseguendo le azioni di remediation, Copilot riduce notevolmente il tempo speso a passare da un portale amministrativo disconnesso all'altro.

Combinare EASM con Microsoft Security Exposure Management

Oltre agli strumenti SIEM e di analisi tradizionali, Defender EASM svolge un ruolo fondamentale all'interno di Microsoft Security Exposure Management. Mentre EASM ti indica cosa è visibile da internet pubblico, Security Exposure Management unifica le informazioni provenienti da più carichi di lavoro, inclusi sicurezza cloud, postura delle identità, conformità degli endpoint e superfici di attacco esterne, in un unico punteggio di sicurezza e in un unico motore di definizione delle priorità.

Quando combini EASM con strumenti interni di gestione della postura, i tuoi team di sicurezza possono dare priorità alla remediation in base al rischio effettivo anziché alle supposizioni. Ad esempio, un server web esposto individuato da EASM potrebbe essere segnalato come ad alto rischio non solo perché è accessibile pubblicamente, ma perché Defender for Cloud segnala che presenta una vulnerabilità critica non patchata e Microsoft Entra ID rileva che mancano controlli di autenticazione a più fattori adeguati. Questa visione su più livelli garantisce che gli sforzi di remediation siano concentrati dove contano di più.

Best practice per iniziare e passare all'azione

Integrare EASM nel tuo stack di sicurezza più ampio è una strategia operativa continua, non un progetto di implementazione una tantum. Per avere successo, segui queste best practice concrete:

• Parti da seed affidabili: definisci l'ambito iniziale di discovery usando i domini aziendali principali, i brand ufficiali e i numeri ASN verificati. Evita di voler risolvere tutto il problema fin dal primo giorno.
• Coinvolgi team trasversali: gli asset esterni coinvolgono marketing, cloud engineering, sviluppo e fornitori esterni. Condividi gli insight di EASM con queste unità di business per assegnare con precisione la proprietà degli asset.
• Automatizza le pipeline di esportazione: configura esportazioni continue dei dati da Defender EASM verso Log Analytics e Microsoft Sentinel, così gli analisti del SOC lavoreranno sempre con mappe della superficie di attacco aggiornate.
• Stabilisci una cadenza di revisione: pianifica revisioni operative periodiche per valutare le nuove osservazioni, eliminare i falsi positivi o gli asset non di proprietà e trasformare le scoperte in ticket di rimedio concreti.

Conclusioni

La visibilità è la base di una difesa efficace. Microsoft Defender EASM cambia il paradigma della sicurezza permettendo alle organizzazioni di vedere la propria infrastruttura con gli occhi di un attaccante esterno. Tuttavia, tenere queste informazioni isolate ne limita il valore. Portando gli insight di EASM in Microsoft Sentinel, Log Analytics, Azure Data Explorer e Security Copilot, e unificando questi risultati in Microsoft Security Exposure Management, crei uno stack di sicurezza coeso e intelligente.

Per saperne di più sui fondamenti della scoperta degli asset esterni e su come muovere i primi passi nella mappatura della tua presenza pubblica, ascolta la nostra discussione completa nell'episodio correlato, Microsoft Defender EASM - Simply Explained. Metti in pratica quello che hai imparato oggi: scegli tre domini pubblici associati alla tua organizzazione e inizia subito a porti le domande difficili su proprietà, scopo e rimedio.