Passaggi per analizzare l'abuso di app OAuth con i log di attività di Microsoft Graph

By Mirko Peters · 2026-03-09 · Updated 2026-03-24

Rileva le minacce OAuth che colpiscono Microsoft 365 usando Entra ID e il log di attività di Microsoft Graph. Scopri come individuare le minacce alle app OAuth tramite i log di attività e l'API Graph.

Automatically translated with AI from the original post. Read the English original

Monitorare l'uso delle app OAuth è essenziale per mantenere la sicurezza nella tua organizzazione e prevenire l'abuso di app OAuth. Sfruttando i log di attività di Microsoft Graph, ottieni una visibilità fondamentale su come operano le applicazioni OAuth. Questi log ti aiutano a rilevare potenziali abusi di app OAuth e a scoprire minacce legate all'attività delle app OAuth.

• I log di attività di Microsoft Graph sono fondamentali per:

  • Monitorare l'attività delle app OAuth.

  • Rilevare potenziali abusi di app OAuth.

  • Fornire la visibilità di base necessaria per individuare le minacce.

Definire standard di conformità è essenziale, data la natura dei rischi associati all'abuso di app OAuth. Criteri chiari per valutare sicurezza e conformità ti permettono di selezionare le app giuste per l'uso aziendale.

Analizzare l'abuso di app OAuth con i log di attività di Microsoft Graph: 5 fatti sorprendenti

Quando si analizza l'abuso di app OAuth con i log di attività di Microsoft Graph, gli investigatori della sicurezza scoprono spesso funzionalità e limiti inattesi che incidono su rilevamento e risposta.

1. I log di attività espongono il client_app_id per gli eventi centrati sulle app. I log di attività di Microsoft Graph includono il client_app_id (l'appId dell'applicazione) per molti eventi di accesso e di consenso, il che permette di ricondurre direttamente token o azioni sospetti a un'app OAuth registrata, anziché solo a un utente.
2. L'attività delle app non si trova tutta in un unico posto: contano più tipi di log. Gli eventi legati a OAuth possono essere distribuiti tra Sign-In Logs, Audit Logs e i log di attività unificati di Microsoft Graph; affidarsi a un solo flusso può far perdere concessioni di consenso, emissioni di token o modifiche alle autorizzazioni delle app rilevanti per le indagini sugli abusi.
3. Conservazione ed esportazione possono limitare le cronologie forensi, se non configurate. Per impostazione predefinita, la conservazione nel tenant per alcuni log di attività è limitata; senza le Impostazioni diagnostiche che esportano verso un'area di lavoro di Log Analytics o un account di archiviazione, le prove storiche di abuso delle app possono andare perse rapidamente.
4. Alcuni campi sensibili sono mascherati o oscurati nei log di Graph. Per proteggere la privacy, alcuni dati PII e dettagli dei token vengono troncati o offuscati nei payload di attività, quindi per ricostruire la catena completa dell'attacco occorre correlare i log con quelli di accesso condizionale o di altro tipo.
5. Le notifiche di modifica e le query delta consentono un rilevamento quasi in tempo reale, ma richiedono una configurazione. Microsoft Graph supporta notifiche di modifica (webhook) e query delta per i log di attività, consentendo il rilevamento automatico di nuove autorizzazioni concesse alle app o di azioni anomale; tuttavia, devono essere configurate in modo proattivo per intercettare l'abuso mentre accade.

Punti chiave

• Monitora l'attività delle app OAuth con i log di attività di Microsoft Graph per individuare potenziali abusi e minacce.

• Controlla regolarmente le applicazioni OAuth per verificare che le autorizzazioni siano appropriate e indaga su qualsiasi app sospetta.

• Implementa controlli di accesso rigorosi, come disabilitare il consenso degli utenti per le app di terze parti, per rafforzare la sicurezza.

• Usa Kusto Query Language (KQL) per analizzare i log e individuare schemi insoliti che possono indicare un abuso di app OAuth.

• Informa i dipendenti sulle minacce alla sicurezza e sulle tecniche di phishing, per ridurre il rischio di abuso di app OAuth.

Panoramica sull'abuso di app OAuth

Vettori di attacco comuni

Gli attaccanti sfruttano spesso il consenso alle app OAuth per ottenere accessi non autorizzati a dati sensibili. Usano diverse tecniche per aggirare le misure di sicurezza. Ad esempio, le campagne di phishing sono diventate molto diffuse: gli attaccanti inducono gli utenti a inserire codici di dispositivo nelle pagine di verifica ufficiali di Microsoft. In questo modo ottengono token di accesso associati agli account delle vittime. Attacchi di questo tipo possono eludere i controlli di sicurezza tradizionali, compresa l'autenticazione a più fattori.

Inoltre, molte applicazioni di terze parti si connettono alle piattaforme SaaS tramite token OAuth. Questi token possono mantenere l'accesso per un tempo indefinito, a meno che non vengano gestiti attivamente. Il rischio è significativo: le organizzazioni possono consentire involontariamente l'accesso a dati sensibili tramite applicazioni che non sono più in uso. Gli esperti di sicurezza hanno osservato che gli attacchi OAuth sono particolarmente difficili da individuare. Lasciano pochissime tracce forensi e possono persistere anche dopo il reset delle password.

Rischi di accesso a lungo termine

I rischi a lungo termine associati all'accesso persistente delle app OAuth sono allarmanti. Negli ambienti cloud-first, l'identità è diventata il nuovo perimetro. Gli aggressori possono ottenere accesso persistente ai sistemi aziendali senza compromettere server o password. Sfruttano le relazioni di fiducia insite nei moderni sistemi di identità.

Le conseguenze dell'abuso delle app OAuth possono essere gravi. Ecco alcuni rischi documentati:

• Phishing interno: le email inviate da account attendibili attirano un numero maggiore di vittime.

• Furto di dati sensibili: file riservati, contratti e proprietà intellettuale possono essere esfiltrati.

• Accesso persistente: anche se le credenziali vengono reimpostate, i token possono rimanere attivi.

• Danno reputazionale: clienti e partner perdono fiducia se una violazione diventa pubblica.

Le organizzazioni devono restare vigili. Dovrebbero verificare regolarmente il consenso concesso alle app OAuth e monitorare eventuali attività sospette. In questo modo puoi mitigare i rischi associati all'abuso delle app OAuth e proteggere i dati sensibili.

Microsoft Graph Activity Logs per la sicurezza

Accedere ai Microsoft Graph Activity Logs è fondamentale per monitorare il comportamento delle app OAuth. Puoi seguire questi passaggi per recuperare i log in modo efficace:

1. Trasmetti i log tramite Impostazioni di diagnostica nel portale di Azure oppure usando le API di Azure Resource Manager.

2. Integra i log delle attività con i log di Azure Monitor.

3. Configura le impostazioni di diagnostica tramite l'API di Azure Resource Manager.

4. Imposta destinazioni di archiviazione come Azure Log Analytics Workspace, Azure Storage o Azure Event Hubs.

5. Esegui query sui log con Kusto Query Language (KQL) se inviati a un'area di lavoro di Log Analytics.

Una volta ottenuto l'accesso ai log, concentrati sulle voci chiave che possono indicare un comportamento sospetto delle app OAuth. Ecco alcune voci di log da monitorare:

Gli avvisi in tempo reale svolgono un ruolo fondamentale nel rilevare e rispondere agli incidenti di abuso delle app OAuth. Offrono visibilità sui comportamenti sospetti e consentono risposte automatizzate per mitigare i rischi. Ad esempio, i token OAuth di Drift avevano una durata prolungata, con la conseguenza che i clienti Salesforce non avevano visibilità sulle connessioni delle app. I token compromessi possono aggirare MFA e SSO, a dimostrazione della necessità di avvisi in tempo reale per individuare anomalie come i pull massivi tramite API.

Per configurare avvisi in tempo reale efficaci, valuta queste best practice:

• Imposta avvisi per attività sospette in Microsoft Graph Activity Logs, come l'assegnazione di autorizzazioni con privilegi elevati e accessi insoliti.

• Usa Microsoft Defender for Cloud Apps (MCAS) per monitorare e applicare i controlli di sessione, generando avvisi per l'accesso di app OAuth a rischio.

• Cerca nel Registro di controllo unificato di Microsoft 365 eventi chiave come 'Add application' o 'Consent to application' per identificare possibili abusi delle app OAuth.

• Correla gli avvisi di accesso insolito con i registri di controllo per rilevare attività malevole delle app OAuth.

Implementando queste strategie, puoi migliorare la postura di sicurezza della tua organizzazione e proteggerla meglio dagli abusi delle app OAuth.

Metodi di rilevamento per l'abuso delle app OAuth

Query KQL

Kusto Query Language (KQL) è uno strumento potente per analizzare Microsoft Graph Activity Logs. Puoi usare KQL per identificare schemi e anomalie che possono indicare un abuso delle app OAuth. Ecco alcune strategie efficaci per usare KQL:

• Verifica regolarmente le applicazioni di Entra per individuare autorizzazioni eccessive. Questo ti aiuta a individuare le applicazioni che possono rappresentare un rischio.

• Monitora gli accessi imprevisti all'API di Microsoft Graph. Tali accessi possono indicare una compromissione, permettendoti di intervenire tempestivamente.

• Definisci un elenco sicuro di applicazioni approvate. Questo elenco facilita il monitoraggio continuo e ti aiuta a individuare nuove applicazioni con privilegi elevati.

Per iniziare con KQL, considera la seguente query di esempio che verifica attività di accesso insolite:

AuditLogs
| where ActivityType == "SignIn"
| where Result == "Failure"
| summarize Count = count() by UserPrincipalName, bin(TimeGenerated, 1h)
| order by Count desc

Questa query identifica gli utenti con tentativi di accesso non riusciti, permettendoti di indagare su possibili accessi non autorizzati.

Automazione con PowerShell

L'automazione con PowerShell può semplificare notevolmente il rilevamento dell'abuso delle app OAuth. Con gli script PowerShell puoi automatizzare il monitoraggio delle applicazioni OAuth e delle loro attività. Ecco alcuni strumenti e le loro funzionalità:

Con PowerShell puoi anche creare script per verificare regolarmente la presenza di autorizzazioni eccessive nelle applicazioni di Entra. Questo approccio proattivo ti aiuta a mantenere un ambiente sicuro.

Ad esempio, puoi eseguire uno script per elencare tutte le applicazioni con privilegi elevati:

Get-AzureADServicePrincipal | Where-Object { $_.AppRoles -ne $null -and $_.AppRoles.Count -gt 5 }

Questo comando recupera le entità di servizio con più di cinque ruoli applicativi, permettendoti di valutare i potenziali rischi.

Combinando query KQL e automazione con PowerShell, puoi potenziare le tue capacità di rilevamento. Questi metodi ti forniscono gli strumenti necessari per individuare e rispondere in modo efficace agli abusi delle app OAuth.

Strategie di mitigazione per le minacce basate sull'identità

Analisi del comportamento degli utenti

Per mitigare efficacemente i rischi associati alle applicazioni OAuth, devi analizzare il comportamento degli utenti alla ricerca di anomalie. Gli strumenti di User Behavior Analytics (UBA) possono aiutarti a individuare schemi insoliti che potrebbero indicare un abuso di app OAuth. Ecco alcuni metodi da considerare:

Implementando queste strategie, puoi rilevare precocemente potenziali minacce. Anche le verifiche periodiche delle applicazioni OAuth giocano un ruolo fondamentale. Dovresti rivedere regolarmente le autorizzazioni per assicurarti che siano coerenti con i ruoli degli utenti. Indaga su qualsiasi app sospetta che possa avere diritti di accesso eccessivi.

Correlazione degli eventi

La correlazione degli eventi è un'altra strategia efficace per rilevare le minacce basate sull'identità. Questo approccio ti consente di ricomporre le informazioni provenienti da fonti diverse per individuare registrazioni di app malevole o il bypass dei controlli di sicurezza. Ecco alcune indicazioni sull'importanza della correlazione degli eventi:

Correlando gli eventi, puoi creare una valutazione del rischio completa. Questo processo ti aiuta a capire come le diverse attività si collegano tra loro, permettendoti di individuare schemi che potrebbero indicare tecniche di abuso OAuth.

Implementare queste strategie di mitigazione richiede impegno. Potresti incontrare difficoltà, come la difficoltà nel rilevare gli attacchi che sfruttano flussi OAuth legittimi. I controlli di sicurezza tradizionali spesso non bastano una volta concesso il consenso. Tuttavia, con un approccio proattivo, puoi ridurre in modo significativo il rischio di abuso delle app OAuth.

Per rafforzare ulteriormente la tua postura di sicurezza, considera queste efficaci strategie di mitigazione:

1. Audit: Verifica regolarmente le applicazioni OAuth per assicurarti che le autorizzazioni siano appropriate e indaga sulle app sospette.

2. Limita il consenso degli utenti: disabilita il consenso degli utenti per le app di terze parti, così da richiedere l'approvazione amministrativa per ogni richiesta di autorizzazione.

3. Role-Based Access Control (RBAC): implementa RBAC per limitare i privilegi degli utenti al minimo necessario.

4. Formazione degli utenti: organizza sessioni di formazione periodiche per sensibilizzare i dipendenti sulle minacce alla sicurezza e sulle tecniche di phishing.

Concentrandoti sull'analisi del comportamento degli utenti e sulla correlazione degli eventi, puoi rafforzare le tue difese contro le minacce basate sull'identità legate all'abuso di app OAuth.

In sintesi, l'analisi dell'abuso di app OAuth rivela vulnerabilità critiche in molte applicazioni. Studi recenti indicano che circa l'8% delle applicazioni testate è vulnerabile all'abuso OAuth. Questo evidenzia la necessità di un monitoraggio continuo per rafforzare la tua postura di sicurezza.

Dovresti concentrarti su:

• Verifiche periodiche delle identità di utenti e service principal.

• Implementazione dei criteri di consenso per bloccare gli accessi non autorizzati.

• Ricerca proattiva delle applicazioni rischiose.

Adottando queste strategie di difesa proattive, puoi ridurre in modo significativo i rischi legati all'abuso delle app OAuth e proteggere la tua organizzazione da potenziali minacce.

Domande frequenti

Che cos'è l'abuso delle app OAuth?

L'abuso delle app OAuth si verifica quando gli aggressori sfruttano le applicazioni OAuth per ottenere accessi non autorizzati a dati sensibili. Spesso ricorrono a tattiche come il phishing e il consent phishing per indurre gli utenti a concedere autorizzazioni.

Come posso rilevare l'abuso delle app OAuth?

Puoi rilevarlo monitorando i log delle attività di Microsoft Graph alla ricerca di comportamenti sospetti. Cerca accessi insoliti, download in grandi volumi e modifiche impreviste alle autorizzazioni.

Quali sono i rischi del consent phishing?

Il consent phishing consente agli aggressori di indurre gli utenti a concedere l'accesso ai propri account. Ciò può portare al furto di dati, ad accessi non autorizzati e a un potenziale danno alla reputazione dell'organizzazione.

Con quale frequenza dovrei verificare le app OAuth?

Dovresti verificare le app OAuth regolarmente, idealmente ogni pochi mesi. Questo aiuta a garantire che le autorizzazioni restino appropriate e a individuare rapidamente eventuali applicazioni sospette.

Quali misure posso adottare per prevenire l'abuso delle app OAuth?

Per prevenirlo, implementa controlli di accesso rigorosi, disattiva il consenso utente per le app di terze parti e organizza formazioni periodiche sulla consapevolezza del phishing per i dipendenti.

Indagare su Microsoft Graph: Log Analytics workspace e rilevamento delle minacce

Che cos'è l'analisi dell'abuso delle app OAuth con i log delle attività di Microsoft Graph?

Analizzare l'abuso delle app OAuth con i log delle attività di Microsoft Graph significa usare le attività e i log dell'API Graph per individuare attività dolose di applicazioni o attori delle minacce che abusano dell'autorizzazione OAuth 2.0 nel tuo ambiente Microsoft 365. Si esaminano le chiamate API Graph, i modelli delle richieste API e i log di accesso di Entra ID insieme alla serie di log delle attività di Graph in un Log Analytics workspace, per rilevare comportamenti OAuth sospetti e app OAuth a rischio.

Come si abilitano i log delle attività di Microsoft Graph e dove vengono inviati?

Abilitare i log delle attività di Microsoft Graph richiede la configurazione dei servizi Microsoft 365 e del servizio Microsoft Graph per inviare le attività dell'API Graph a un Log Analytics workspace (o a un SIEM esterno). Usa le impostazioni di diagnostica di Microsoft Entra ID per instradare le richieste dell'API Graph, i log di Entra ID e gli eventi di accesso verso un Log Analytics workspace (ID), dove puoi interrogare i log dell'API Graph ed eseguire query di rilevamento delle minacce con Kusto (log delle attività e query Kusto).

Quali indicatori nelle chiamate API Graph mostrano un'attività OAuth sospetta?

Cerca richieste API Graph insolite, come chiamate in grandi volumi da un singolo ID applicazione, concessioni di consenso ripetute, riutilizzo di token tra tenant o attività dell'API Graph da IP sconosciuti. Correlali con i log di accesso di Entra ID, con gli eventi del broker di autenticazione Microsoft e con anomalie nei tempi delle chiamate API, per individuare minacce e possibili abusi delle applicazioni OAuth.

Come posso indagare sulle app OAuth a rischio usando Log Analytics e le query Kusto?

Usa il Log Analytics workspace per centralizzare i log dell'API Graph ed eseguire query Kusto sulla serie di log delle attività di Graph. Passaggi tipici: acquisire le richieste dell'API Microsoft Graph e i log di Entra ID, scrivere KQL per evidenziare attività insolite dell'API Graph, fare pivot su ID applicazione e utente, e correlare con gli eventi dei servizi Microsoft 365. Un playbook per l'uso di Graph include esempi di KQL per rilevare token OAuth e attività API sospette.

Che ruolo ha Entra ID nel rilevamento dell'abuso OAuth?

Microsoft Entra ID (in precedenza Azure AD) fornisce i segnali di identità e accesso — log di Entra ID e log di accesso di Entra ID — che mostrano quale app ha richiesto l'accesso e quale utente ha dato il consenso. Usando questi log insieme all'API Microsoft Graph e ai log delle attività dell'API Graph, puoi collegare gli eventi di autorizzazione OAuth 2.0 alle richieste API, individuare credenziali compromesse o applicazioni dolose e applicare l'accesso condizionale o revocare le autorizzazioni delle applicazioni.

È possibile automatizzare il rilevamento delle minacce e la risposta all'abuso delle applicazioni OAuth?

Sì. Combina i log di attività dell'API Graph in un'area di lavoro di Log Analytics con avvisi automatici e playbook per rilevare minacce tramite Microsoft Graph. Usa KQL per attivare avvisi per le anomalie, quindi esegui una remediation automatica (revoca dei token, blocco dell'ID applicazione, disattivazione del consenso) tramite le chiamate all'API Microsoft Graph e il servizio Microsoft Graph, per contenere l'attività dannosa e ridurre l'accesso alle risorse di Microsoft 365.

Quali sono le best practice per ridurre il rischio delle app OAuth sospette e a rischio?

Le best practice includono: applicare il principio del privilegio minimo per le applicazioni, monitorare le richieste all'API Graph e i log di accesso di Entra ID, richiedere il consenso amministrativo solo dove necessario, usare i criteri di accesso condizionale e MFA, centralizzare i log dell'API Graph in un'area di lavoro di Log Analytics con il relativo ID, ed eseguire regolarmente indagini con il log delle attività di Graph e le query Kusto per rilevare tempestivamente le minacce tramite l'attività di Microsoft Graph.

Come collego Microsoft Teams o gli altri servizi di Microsoft 365 alle indagini?

Includi la telemetria di Microsoft Teams e degli altri servizi di Microsoft 365 nei log di attività dell'API Graph e correlala con le richieste all'API Graph. Molti scenari di abuso di OAuth comportano l'accesso a posta, file o messaggi di Teams. Usando l'API Microsoft Graph per recuperare l'attività specifica dei servizi e combinandola con i log di Entra ID in Log Analytics, puoi visualizzare l'intera catena dalla richiesta API all'accesso alla risorsa e rilevare attività dannose nell'intero ecosistema Microsoft.