Rischio di accesso e rischio utente in Microsoft Entra ID: qual è la differenza?

By Mirko Peters · 2026-10-26

Scopri le differenze fondamentali tra rischio di accesso e rischio utente in Microsoft Entra ID Protection e come configurare correttamente l'accesso condizionale.

Automatically translated with AI from the original post. Read the English original

Rischio di accesso e rischio utente in Microsoft Entra ID Protection sono due metriche di sicurezza distinte. Il rischio di accesso valuta se un singolo tentativo di autenticazione è sospetto, mentre il rischio utente determina se le credenziali principali di un account sono state compromesse nel corso di più sessioni.

Punti chiave

• Il rischio di accesso valuta la probabilità che uno specifico tentativo di autenticazione non provenga dal legittimo titolare dell'account.
• Il rischio utente valuta se le credenziali di un account sono state compromesse in modo permanente o esposte in una violazione di dati.
• Un singolo rischio di accesso non gestito può progressivamente accumularsi e trasformarsi, nel tempo, in uno stato di rischio elevato segnalato per l'utente.
• Il rischio di accesso si risolve in genere subito con una richiesta MFA, mentre il rischio utente richiede spesso una modifica sicura della password.
• Per sfruttare appieno i criteri basati sul rischio, lo storico dettagliato dei report e la risoluzione automatica è necessario Microsoft Entra ID P2.

Capire la differenza fondamentale

Quando gli amministratori distribuiscono per la prima volta Microsoft Entra ID Protection, uno dei punti di confusione più comuni è sovrapporre il rischio di accesso al rischio utente. Entrambe le metriche si basano sull'enorme rete di intelligence sui segnali di Microsoft, che analizza ogni giorno migliaia di miliardi di segnali provenienti da account consumer, tenant aziendali e perfino dai servizi Xbox, ma rispondono a domande fondamentalmente diverse.

Un sistema di sicurezza non può trattare un singolo accesso anomalo allo stesso modo in cui tratta un account realmente rubato. Se un amministratore applica un blocco generalizzato dell'account ogni volta che qualcuno accede da una posizione o una rete insolita, la produttività si ferma. Al contrario, trattare un account effettivamente compromesso con una semplice richiesta MFA temporanea lascia all'attaccante persistente la libertà di accedere di nuovo non appena la richiesta scade. Capire come queste due metriche funzionano in modo indipendente e come interagiscono è essenziale per progettare una postura di sicurezza cloud equilibrata.

Cos'è il rischio di accesso?

Il rischio di accesso si concentra esclusivamente su un singolo momento: l'istante preciso in cui un utente tenta di accedere a una risorsa come Microsoft Teams, SharePoint o Outlook. Riguarda solo il contesto specifico di quel singolo tentativo di accesso. Il sistema verifica se le caratteristiche di quella richiesta corrispondono ai normali schemi di comportamento dell'utente.

Microsoft Entra ID Protection valuta diverse variabili durante i controlli di accesso in tempo reale. Tra queste ci sono le connessioni provenienti da indirizzi IP anonimi, spesso usati per mascherare la posizione geografica, gli scenari di « viaggio impossibile », in cui gli accessi avvengono da regioni geograficamente lontane in un intervallo di tempo irrealistico, oppure i segnali di un attacco password spray, in cui un malintenzionato prova una sola password comune su migliaia di account aziendali contemporaneamente. Anche le proprietà di accesso insolite vengono valutate dinamicamente: più la richiesta appare anomala rispetto alle linee di base storiche, più il punteggio di rischio sale.

Soprattutto, un punteggio di rischio di accesso riguarda esclusivamente quel singolo tentativo. Se un utente supera con successo una richiesta di autenticazione a più fattori di step-up durante quello specifico accesso, il rischio associato a quel sign-in viene immediatamente neutralizzato e l'utente può proseguire la propria giornata senza alcuna penalizzazione duratura sullo stato del suo account.

Che cos'è il rischio utente?

Il rischio utente, al contrario, non riguarda un singolo accesso. Riguarda la salute e l'integrità dell'account stesso. Il rischio utente valuta se le credenziali dell'account sono finite nelle mani sbagliate, ovvero se un malintenzionato è in possesso delle chiavi permanenti del regno e può tornare a compromettere i dati ogni volta che lo desidera.

Il fattore principale del rischio utente è la comparsa delle credenziali in violazioni di dati note. Quando nome utente e password vengono divulgati sul dark web o sottratti tramite malware info-stealer, la threat intelligence di Microsoft segnala immediatamente tali credenziali. Altri indicatori includono infrastrutture di threat actor verificate che interagiscono direttamente con il profilo utente o schemi di attività anomali che suggeriscono un accesso non autorizzato persistente.

Quando un account viene segnalato per rischio utente, la minaccia resta presente anche dopo che l'utente ha effettuato la disconnessione. Poiché un malintenzionato potrebbe aver ottenuto la password al di fuori dei normali limiti della sessione, la semplice richiesta di MFA all'utente raramente basta a risolvere completamente un punteggio di rischio utente elevato. La vulnerabilità di fondo deve essere affrontata.

Come vengono calcolati i livelli di rischio

Sia il rischio di accesso sia il rischio utente si riducono a tre chiari livelli di confidenza: basso, medio e alto. Questi livelli rappresentano stime di probabilità della minaccia basate su machine learning, non verità binarie assolute.

Il rischio alto indica che i sistemi automatizzati di Microsoft dispongono di prove solide e verificate di compromissione, come credenziali trapelate che corrispondono a database del dark web o firme IP malevole verificate. Il rischio medio riflette segnali moderati di attività sospetta con una confidenza assoluta inferiore. Il rischio basso indica comportamenti anomali che si discostano dagli schemi standard, ma non presentano indicatori malevoli definitivi.

Un dettaglio amministrativo importante riguarda il modo in cui questi record invecchiano nel tempo. Gli elementi a rischio basso scadono automaticamente dopo circa sei mesi, per mantenere le dashboard pulite e gestibili. Gli elementi a rischio medio e alto, invece, non scadono da soli. Restano nell'interfaccia di amministrazione finché un criterio automatico o un amministratore umano non li esamina, risolve o chiude esplicitamente.

L'effetto di riporto: come sono collegati

Sebbene il rischio di accesso e il rischio utente valutino elementi diversi, sono strettamente collegati nei report e nell'applicazione delle regole. Un singolo rischio di accesso che rimane completamente non affrontato o non verificato può accumularsi nel tempo e, alla fine, contribuire al punteggio complessivo di rischio utente.

Ciò significa che un utente può comparire come utente a rischio nella dashboard di Entra ID anche se i suoi tentativi di accesso più recenti sembravano del tutto normali. Il sistema riconosce una cronologia cumulativa di comportamenti sospetti che aumenta la probabilità di una compromissione a lungo termine. Gli amministratori IT devono esaminare entrambi i report contemporaneamente, invece di trattarli come silos isolati.

Automatizzare la risoluzione con l'accesso condizionale

Per evitare che i team di sicurezza vengano sommersi da avvisi manuali, Microsoft Entra Conditional Access colma il divario tra i punteggi di rischio e l'applicazione automatica. Le organizzazioni possono configurare criteri specifici che si attivano quando vengono superate le soglie di rischio basso, medio o alto.

Per il rischio di accesso, i criteri possono imporre azioni come richiedere MFA, forzare una nuova sessione di accesso o bloccare completamente l'accesso. Quando un utente supera con successo una richiesta MFA, il rischio viene risolto sul momento.

Per il rischio utente, i criteri richiedono in genere una modifica sicura della password o la risoluzione automatica del rischio. La parte più intelligente della risoluzione del rischio è la sua adattabilità: se l'utente accede con una password tradizionale, il sistema richiede una modifica sicura della password e invalida immediatamente tutte le sessioni esistenti. Se l'utente accede con metodi senza password, interrompe le sessioni attive e richiede un nuovo flusso di autenticazione. Questa risposta automatica riduce drasticamente il volume dei ticket dell'help desk e blocca sul nascere gli attaccanti.

Conclusione

Padroneggiare la distinzione tra rischio di accesso e rischio utente permette agli architetti cloud di costruire criteri di sicurezza precisi e sfumati, che proteggono i dati aziendali senza creare attriti eccessivi per gli utenti di tutti i giorni. Lasciando che l'automazione gestisca le attività di risoluzione più comuni, i team IT possono concentrare le energie sull'analisi delle minacce reali. Per approfondire come operano questi livelli di protezione negli ambienti cloud moderni, ascolta l'episodio completo del podcast: troverai una panoramica dettagliata sulle best practice di configurazione, sui requisiti di licenza e sulle strategie di amministrazione applicate al mondo reale.

Domande frequenti

Che cosa succede quando viene rilevato un rischio di accesso?

Quando viene rilevato un rischio di accesso, Accesso condizionale di Microsoft Entra può bloccare automaticamente il tentativo, consentire l'accesso oppure chiedere all'utente di verificare la propria identità con l'autenticazione a più fattori (MFA).

Per quanto tempo gli eventi a basso rischio restano nei report di Entra ID Protection?

I rilevamenti a basso rischio scadono e scompaiono automaticamente dai report dopo circa sei mesi, mentre le voci a rischio medio e alto restano finché un amministratore o la risoluzione self-service non le rimuovono.

Gli account ospiti possono usare la risoluzione automatica del rischio utente?

No, il flusso completo di risoluzione automatica del rischio non funziona per gli utenti ospiti ed esterni, perché Microsoft Entra ID non revoca le sessioni di questi account esterni allo stesso modo in cui lo fa per i membri interni.

Qual è la differenza tra "Conferma sicuro" e "Ignora" nei report di amministrazione?

Confermare come sicuro indica al sistema che l'avviso era un falso allarme causato da un comportamento normale. Ignorare indica invece che l'avviso era tecnicamente un vero positivo, ma si è rivelato innocuo in questo contesto specifico, ad esempio durante un test di sicurezza pianificato.