Dalla reazione alla proattività: padroneggiare la sicurezza di Microsoft Graph

By Mirko Peters · 2026-08-28

Automatically translated with AI from the original post. Read the English original

Cover: Microsoft Graph Security Automation for Microsoft 365

Bentornati sul blog! Se seguite il nostro percorso podcast, sapete che ci piace approfondire le architetture tecniche e le strategie operative che mantengono in buona salute gli ambienti Microsoft. Oggi approfondiamo un tema che si colloca proprio all'incrocio tra efficienza e difesa: trasformare la postura di sicurezza da una corsa affannosa a reagire agli eventi in una macchina di gestione proattiva e automatizzata. In questo post vedremo come puoi sfruttare Microsoft Graph per proteggere l'intero tenant, individuare tempestivamente le anomalie e semplificare i flussi di risposta.

Per ricavare il massimo da questo approfondimento scritto, ascolta l'episodio podcast collegato, Microsoft Graph Security Automation for Microsoft 365, in cui analizziamo le architetture reali, le scelte di sicurezza e le decisioni pratiche di governance che i team affrontano ogni giorno.

Panoramica di Microsoft Graph

Microsoft Graph è uno strumento potente per rafforzare la sicurezza del tenant. Offre diverse funzionalità che permettono alle organizzazioni di monitorare e gestire in modo efficace la propria postura di sicurezza.

Funzionalità principali

Visibilità in tempo reale

Con Microsoft Graph ottieni una visibilità in tempo reale sulle attività del tuo tenant. Questa funzionalità ti consente di tracciare gli accessi degli utenti, le modifiche alle autorizzazioni e il comportamento delle applicazioni nel momento in cui accadono. Avendo accesso a questo flusso continuo di informazioni, puoi intervenire sulle potenziali minacce prima che si aggravino. L'API di Microsoft Graph offre un endpoint unificato per accedere a un'ampia gamma di dati e insight dei servizi cloud Microsoft, incluse le funzionalità di sicurezza che aiutano a proteggere le organizzazioni dalla perdita di dati.

Integrazione con Microsoft 365

Microsoft Graph si integra perfettamente con Microsoft 365, potenziando le tue capacità di sicurezza. L'API di sicurezza di Microsoft Graph fornisce un'interfaccia standard per integrare avvisi di sicurezza e threat intelligence provenienti da più fonti. Questa integrazione arricchisce gli avvisi con informazioni contestuali e automatizza le operazioni di sicurezza. Ad esempio, puoi automatizzare le verifiche delle autorizzazioni di accesso e integrare i flussi di conformità, contribuendo a soddisfare requisiti normativi come GDPR e HIPAA.

Vantaggi per la sicurezza del tenant

Accesso centralizzato ai dati

L'accesso centralizzato ai dati è un vantaggio significativo di Microsoft Graph. Ti permette di gestire ruoli utente e diritti di accesso in modo programmatico. Questa capacità garantisce un controllo rigoroso e un monitoraggio continuo dell'accesso ai sistemi critici. Puoi generare report tramite Microsoft Graph Data Connect per individuare e correggere gli episodi di condivisione eccessiva. Questo approccio proattivo aiuta a mantenere la conformità ai criteri di governance e riduce il rischio di violazioni dei dati.

Governance proattiva

La governance proattiva è essenziale per mantenere un ambiente sicuro. Microsoft Graph ti permette di automatizzare i processi di conformità, un requisito fondamentale per rispettare le normative. Valutando continuamente le autorizzazioni e automatizzando la rimozione degli accessi non necessari, puoi ridurre in modo significativo la superficie di attacco. Inoltre, la possibilità di monitorare i miglioramenti nel tempo facilita l'applicazione dei criteri e rafforza la postura di sicurezza complessiva.

Usare Microsoft Graph per il rilevamento delle minacce

Individuare le minacce in anticipo è fondamentale per mantenere un ambiente sicuro. Microsoft Graph offre strumenti potenti per raggiungere questo obiettivo. Sfruttando gli avvisi di sicurezza e analizzando la threat intelligence, puoi potenziare in modo significativo le tue capacità di rilevamento delle minacce.

Utilizzo degli avvisi di sicurezza

Configurazione degli avvisi

Per usare Microsoft Graph in modo efficace nel rilevamento delle minacce, inizia configurando gli avvisi di sicurezza. Questi avvisi ti segnalano in tempo reale le potenziali minacce. Segui questi passaggi per configurare gli avvisi:

Accedi all'API di sicurezza di Microsoft Graph.
Definisci i tipi di avviso che vuoi monitorare, come gli accessi sospetti o il comportamento anomalo delle applicazioni.
Imposta il livello di gravità per ogni tipo di avviso. Puoi scegliere tra gravità bassa, media o alta, in base alla tolleranza al rischio della tua organizzazione.

Ecco una panoramica rapida dei comuni avvisi di sicurezza generati da Microsoft Graph:

Livello di gravità	Descrizione
Medio	Avvisi generati da rilevamenti e comportamenti post-violazione che potrebbero far parte di una minaccia persistente avanzata (APT). Include comportamenti osservati tipici delle fasi di un attacco, modifiche anomale al registro e l'esecuzione di file sospetti.
Alta	Avvisi comunemente associati a minacce persistenti avanzate (APT) che indicano un rischio elevato a causa del potenziale danno. Esempi includono attività di strumenti per il furto di credenziali, attività di ransomware e manomissione dei sensori di sicurezza.

Risposta agli avvisi

Una volta configurati gli avvisi, devi rispondere tempestivamente. Un'azione rapida può impedire l'esfiltrazione dei dati e mitigare i rischi. Ecco alcuni passaggi da seguire quando ricevi un avviso:

Esamina subito l'avviso per stabilirne la legittimità.
Valuta il potenziale impatto sulla tua organizzazione.
Se l'avviso indica una minaccia reale, avvia il tuo piano di risposta agli incidenti.
Documenta i risultati e le azioni intraprese per riferimento futuro.

Studi recenti mostrano che gli avvisi di sicurezza di Microsoft Graph cambiano il modo in cui i difensori percepiscono e rispondono alle minacce. Gli attaccanti sfruttano le vulnerabilità con un approccio basato sui grafi, quindi dovresti adottare strategie simili per un rilevamento efficace delle minacce. Questo approccio proattivo migliora la tua capacità di comprendere schemi di minaccia complessi, portando a risposte di sicurezza più rapide e informate.

Analisi della Threat Intelligence

Accesso ai dati sulle minacce

Analizzare la threat intelligence è fondamentale per comprendere il panorama delle potenziali minacce. Puoi accedere ai dati sulle minacce tramite Microsoft Graph seguendo questi passaggi:

Verifica gli accessi alla casella di posta per confermarne la legittimità.
Indaga su attività insolite relative alle autorizzazioni dell'API Microsoft Graph.
Usa strumenti come Sparrow per controllare le autorizzazioni delle applicazioni dell'API Graph.
Analizza MailItemsAccessed per ottenere informazioni sull'accesso alla casella di posta.
Usa Aviary per la raccolta e l'analisi dei dati.

Esaminando sistematicamente questi dati, puoi individuare schemi che potrebbero indicare una violazione della sicurezza.

Integrazione con gli strumenti di sicurezza

Integrare Microsoft Graph con altri strumenti di sicurezza migliora la capacità di rilevamento delle minacce. Questa integrazione offre una visione più completa della tua postura di sicurezza. Puoi combinare dati provenienti da fonti diverse per creare un sistema unificato di rilevamento delle minacce.

Ad esempio, utilizzare Microsoft Graph insieme alle soluzioni SIEM può fornire informazioni più approfondite sugli eventi di sicurezza. Questa integrazione ti permette di visualizzare le relazioni tra i diversi punti dati, rendendo più semplice individuare le potenziali minacce.

Funzionalità	Microsoft Graph	Altre piattaforme
Visibilità contestuale	Comprensione più profonda delle relazioni	Visibilità limitata
Velocità di rilevamento e risposta	Più rapida grazie all'accesso unificato alla telemetria	Tempi di risposta più lenti
Threat hunting proattivo	Potenziato con il grafo di hunting	Analisi degli avvisi isolata
Efficienza nella mitigazione dell'impatto	Visualizzazione in tempo reale del raggio d'azione	Mitigazione meno mirata
Funzionalità assistite dall'IA	Capacità di difesa autonoma	Metodi tradizionali

Sfruttando queste integrazioni, puoi migliorare in modo significativo la capacità della tua organizzazione di rilevare e rispondere alle minacce.

Log di attività e audit

I log di attività svolgono un ruolo fondamentale nel mantenere la sicurezza del tenant. Ti forniscono informazioni sulle attività di utenti e amministratori, consentendoti di rilevare e prevenire efficacemente gli incidenti di sicurezza. Monitorando questi log, puoi garantire la conformità ai requisiti normativi e rafforzare la tua postura di sicurezza complessiva.

Importanza dei log di attività

Monitoraggio delle attività degli utenti

Monitorare le attività degli utenti tramite i log di attività ti consente di avere visibilità su diverse azioni all'interno del tuo ambiente Microsoft 365. Ecco alcuni aspetti chiave che i log di attività possono aiutarti a monitorare:

Accessi degli utenti e tentativi di autenticazione
Attività su file, cartelle e account in SharePoint Online e OneDrive
Attività nei canali di Teams, comprese modifiche o eliminazioni dei messaggi in chat
Accesso alle caselle di posta di Exchange Online da parte di amministratori o delegati
Assegnazioni di ruoli e modifiche alle autorizzazioni

Questi log consentono al tuo team IT di indagare rapidamente sulle azioni sospette e di rispondere con prontezza alle potenziali minacce.

Individuazione delle anomalie

Individuare anomalie nel comportamento degli utenti è fondamentale per il rilevamento precoce delle minacce. Analizzando i log di attività, puoi individuare schemi insoliti che potrebbero indicare una violazione della sicurezza. Ad esempio, se un utente di solito accede ai file durante l'orario di lavoro ma improvvisamente effettua l'accesso a orari insoliti, questo potrebbe essere un campanello d'allarme.

Audit con Microsoft Graph

L'auditing è un processo essenziale per mantenere la sicurezza e la conformità. Microsoft Graph offre strumenti potenti che ti aiutano a generare report di audit dettagliati e a tenere traccia delle attività in modo efficace.

Generare report di audit

Per generare report di audit con Microsoft Graph, segui questi passaggi:

Passaggio	Descrizione
1	Crea la query di ricerca impostando i valori dei parametri di ricerca.
2	Invia una query di ricerca (job).
3	Recupera i risultati della ricerca (record di audit) al termine della query.

Puoi usare il seguente comando PowerShell per avviare una ricerca di audit:

$Uri = "https://graph.microsoft.com/beta/security/auditLog/queries"
$SearchName = ("Audit Search {0}" -f (Get-Date -format 'dd-MMM-yyyy HH:mm'))
$SearchParameters = @{
    "displayName" = $SearchName;
    "filterStartDateTime" = $StartDateSearch;
    "filterEndDateTime" = $EndDateSearch;
    "operationFilters" = $Operations;
}
$SearchQuery = Invoke-MgGraphRequest -Method POST -Uri $Uri -Body $SearchParameters
$SearchId = $SearchQuery.Id

Questo comando ti consente di creare un report di audit completo, utile a mantenere la conformità ai criteri di sicurezza.

Procedure consigliate

Per mantenere log delle attività completi con Microsoft Graph, valuta le seguenti procedure consigliate:

Procedura consigliata	Descrizione
Usa $select	Scegli solo le proprietà di cui la tua app ha bisogno, per migliorare le prestazioni.
Notifiche webhook	Ricevi notifiche sulle modifiche dei dati invece di eseguire polling regolare, per maggiore efficienza.
Delta query	Usa i webhook per attivare le chiamate delta query e implementa una soglia di polling di backstop.
Batch JSON	Raggruppa più richieste in un unico oggetto JSON per ridurre la latenza di rete e il consumo di risorse.

Inoltre, registra sempre la chiamata HTTP completa all'API Graph, inclusi URL, intestazioni e corpo JSON, sia per le richieste sia per le risposte. Evita di memorizzare informazioni sensibili, come password o token, nelle risorse soggette ad audit.

Seguendo queste pratiche potrai migliorare i processi di auditing e garantire che il tuo tenant resti sicuro.

Tecniche di investigazione con Microsoft Graph

Indagare in modo efficace sugli incidenti di sicurezza è fondamentale per mantenere un ambiente sicuro. Microsoft Graph offre diverse tecniche per analizzare i dati degli utenti e automatizzare le indagini. Sfruttando queste funzionalità, puoi rafforzare la postura di sicurezza della tua organizzazione's.

Query sui dati utente

Analisi dei pattern di accesso

Puoi analizzare i pattern di accesso con Microsoft Graph per individuare potenziali violazioni della sicurezza. Ecco alcuni metodi per interrogare i dati utente:

Usa KQL (Kusto Query Language) per analizzare i Microsoft Graph Activity Logs.
Accedi a MicrosoftGraphActivityLogs, che funge da registro di controllo delle richieste HTTP elaborate da Microsoft Graph.
Le colonne principali per il rilevamento includono AppId, IPAddress, RequestId, RequestMethod, RequestUri, Roles, Scopes, ServicePrincipalId, UserAgent e UserId.
Usa la funzione parse_url() per estrarre i parametri da RequestUri e facilitare l'analisi.
Riassumi le statistiche delle richieste per individuare i tipi di richieste GraphAPI effettuate.

Questi log forniscono registrazioni complete delle chiamate API all'interno dei tenant Azure. Sono fondamentali per monitorare comportamenti sospetti e rilevare anomalie che possono indicare minacce alla sicurezza. Stabilire una baseline del comportamento normale degli utenti è essenziale per identificare attività insolite. Le interazioni recenti con file e cartelle vengono registrate automaticamente, il che facilita questa analisi. Questi dati di base sono cruciali per individuare un'eventuale esfiltrazione di documenti o altre violazioni della sicurezza.

Automatizzare le indagini

Automatizzare le indagini può migliorare in modo significativo i tempi di risposta agli incidenti di sicurezza. Microsoft Graph ti consente di automatizzare attività e flussi di lavoro di sicurezza, migliorando l'efficienza operativa. Ecco alcune funzionalità chiave:

Funzionalità	Descrizione
Unified Security Threat Submission API	Consente di inviare minacce e recuperare i risultati delle segnalazioni, facilitando l'integrazione tra le diverse soluzioni di sicurezza.
Automazione dei flussi di lavoro di sicurezza	Consente di automatizzare la gestione, il monitoraggio e le indagini di sicurezza per migliorare l'efficienza operativa.
Integrazione con soluzioni di sicurezza	Offre un'interfaccia unificata per integrarsi con diverse soluzioni di sicurezza, semplificando le operazioni e rafforzando la difesa dalle minacce informatiche.

Il modulo MgGraph PowerShell supporta le indagini di risposta agli incidenti. Permette di raccogliere e analizzare i dati da Microsoft Graph in modo flessibile ed efficiente.

Integrazione con le soluzioni SIEM

Integrare Microsoft Graph con le soluzioni SIEM migliora la tua capacità di rispondere alle minacce in tempo reale. Questa integrazione offre diversi vantaggi:

Maggiore visibilità sulle minacce a livello applicativo, con rilevamento e risposta più rapidi.
Contesto utile per i team SOC, che migliora la capacità di smistare le minacce e individuarne le cause principali.
Collaborazione tra i team di sicurezza grazie a una visione condivisa dei rischi a livello applicativo.

Usando Microsoft Graph insieme alle tue soluzioni SIEM puoi costruire una strategia di sicurezza più completa. Questa integrazione ti permette di visualizzare le relazioni tra diversi punti dati, rendendo più semplice individuare le potenziali minacce e reagire in modo efficace.

Best practice per la sicurezza del tenant

Mantenere sicuro un tenant di Microsoft 365 richiede di applicare best practice che si adattino alle minacce in evoluzione. Due aree critiche su cui concentrarsi sono l'accesso condizionale e le valutazioni periodiche della sicurezza.

Implementare l'accesso condizionale

L'accesso condizionale è una strategia fondamentale per rafforzare la sicurezza del tenant. Ti permette di applicare criteri che regolano il modo in cui gli utenti accedono alle risorse in base a condizioni specifiche.

Impostare i criteri

Per impostare criteri di accesso condizionale efficaci, segui questi passaggi:

Applica i criteri di accesso condizionale a ogni app per garantire una copertura di sicurezza completa.
Riduci al minimo il numero di criteri per migliorarne la gestibilità e l'efficienza.
Definisci convenzioni di denominazione per i criteri, così da governarli e gestirli su larga scala.
Monitora l'impatto con gli strumenti di reporting per visualizzare l'efficacia dei criteri e individuare eventuali conflitti.
Risolvi i problemi in modo efficiente usando lo strumento What If per simulare scenari di accesso.
Proteggi le modifiche ai criteri abilitando le azioni protette per una verifica aggiuntiva.
Automatizza la gestione dei criteri usando le API di Microsoft Graph per semplificare le operazioni.

Applicare queste pratiche allinea i controlli di accesso al principio del privilegio minimo. Questo approccio riduce la superficie di attacco dell'organizzazione, limitando gli incidenti di accesso non autorizzato. Le verifiche periodiche e l'obbligo di autenticazione a più fattori (MFA) rafforzano ulteriormente la postura di sicurezza.

Monitorare gli accessi

Monitorare gli accessi è fondamentale per individuare potenziali minacce alla sicurezza. Usa Microsoft Graph per tenere traccia degli accessi degli utenti e dei loro schemi di utilizzo. Questi dati ti aiutano a rilevare anomalie che possono indicare tentativi di accesso non autorizzati. Analizzando questi schemi, puoi reagire rapidamente alle attività sospette.

Valutazioni periodiche della sicurezza

Eseguire valutazioni periodiche della sicurezza è essenziale per mantenere una postura di sicurezza solida. Queste valutazioni ti aiutano a individuare le vulnerabilità e a verificare la conformità ai criteri di sicurezza.

Eseguire le valutazioni

Dovresti eseguire valutazioni della sicurezza almeno ogni trimestre. È inoltre essenziale il monitoraggio continuo della deriva di configurazione. Le valutazioni periodiche migliorano l'efficacia e l'operatività della sicurezza, fornendo informazioni preziose dai prodotti dei partner integrati. Semplificano gli investimenti in ingegneria per i partner tecnologici, amplificando il valore per il cliente.

Aggiornare i protocolli di sicurezza

Aggiornare i protocolli di sicurezza è fondamentale per affrontare le minacce emergenti. Ecco alcuni aggiornamenti consigliati:

Disconnetti automaticamente gli utenti inattivi: questa pratica impedisce gli accessi non autorizzati disconnettendo gli utenti dopo un periodo di inattività.
Blocca l'autenticazione legacy: disabilitare i protocolli di autenticazione legacy riduce il rischio di attacchi password spray e credential stuffing.
Imposta le password degli utenti in modo che non scadano mai: seguire le raccomandazioni del NIST aiuta a mantenere la robustezza e la sicurezza delle password.

Rivedi le configurazioni di sicurezza almeno ogni trimestre e ogni volta che Microsoft rilascia aggiornamenti significativi. Questa revisione periodica aiuta a individuare la deriva dei criteri e le nuove vulnerabilità, mantenendo il tenant sicuro.

Applicando queste best practice puoi migliorare in modo significativo la sicurezza del tuo tenant di Microsoft 365. Misure proattive come l'accesso condizionale e le valutazioni periodiche ti aiuteranno a restare un passo avanti rispetto alle potenziali minacce.

In sintesi, puoi migliorare in modo significativo la sicurezza del tenant sfruttando Microsoft Graph. Le strategie chiave includono:

Monitorare l'attività delle applicazioni per individuare potenziali rischi per la sicurezza.
Applicare il principio del privilegio minimo per ridurre la superficie di attacco.
Usare metodi di autenticazione moderni per rafforzare la postura di sicurezza.
Eseguire revisioni periodiche delle autorizzazioni per le applicazioni ad alto rischio, per prevenire accessi non autorizzati.

Implementando queste strategie puoi creare un solido framework di sicurezza. Ricorda che la vigilanza costante è essenziale. Mantieni un approccio proattivo nelle attività di sicurezza per proteggere efficacemente il tuo ambiente Microsoft 365. Per un approfondimento più discorsivo su come questi flussi di automazione si combinano nelle architetture di produzione, non perdere il nostro episodio del podcast correlato, Microsoft Graph Security Automation for Microsoft 365!

Domande frequenti

Che cos'è Microsoft Graph?

Microsoft Graph è un'API unificata che collega vari servizi di Microsoft 365. Fornisce accesso a dati e insight, e ti consente di gestire sicurezza, attività degli utenti e conformità in tutta l'organizzazione.

In che modo Microsoft Graph migliora la sicurezza del tenant?

Microsoft Graph migliora la sicurezza del tenant offrendo visibilità in tempo reale sulle attività degli utenti e sugli avvisi di sicurezza. Ti consente di automatizzare i processi di governance e di gestire in modo proattivo le autorizzazioni, riducendo le potenziali vulnerabilità.

Posso integrare Microsoft Graph con altri strumenti di sicurezza?

Sì, puoi integrare Microsoft Graph con diversi strumenti di sicurezza, incluse le soluzioni SIEM. Questa integrazione potenzia le capacità di rilevamento delle minacce e offre una visione completa della tua postura di sicurezza.

Come configuro gli avvisi di sicurezza in Microsoft Graph?

Per configurare gli avvisi di sicurezza, accedi all'API di sicurezza di Microsoft Graph. Definisci i tipi di avviso che vuoi monitorare, imposta i livelli di gravità e configura le notifiche per restare informato sulle potenziali minacce.

Che cosa sono i log delle attività e perché sono importanti?

I log delle attività registrano le azioni degli utenti e degli amministratori nel tuo ambiente Microsoft 365. Sono fondamentali per individuare anomalie, garantire la conformità e indagare in modo efficace sugli incidenti di sicurezza.

Con quale frequenza devo eseguire valutazioni della sicurezza?

Dovresti eseguire valutazioni della sicurezza almeno ogni trimestre. Le valutazioni periodiche aiutano a individuare le vulnerabilità e a garantire la conformità ai criteri di sicurezza, mantenendo il tuo tenant protetto dalle minacce emergenti.

Che cos'è l'accesso condizionale e come funziona?

L'accesso condizionale è una strategia di sicurezza che applica criteri che regolano l'accesso degli utenti in base a condizioni specifiche. Contribuisce a garantire che solo gli utenti autorizzati possano accedere alle risorse sensibili, migliorando la sicurezza complessiva.

Come posso automatizzare le indagini con Microsoft Graph?

Puoi automatizzare le indagini sfruttando l'API unificata Security Threat Submission di Microsoft Graph. Questa API ti consente di inviare minacce e semplificare i flussi di lavoro di sicurezza, migliorando i tempi di risposta agli incidenti.