Eventi di audit mancanti in Microsoft 365

By Mirko Peters · 2026-04-23 · Updated 2026-07-18

Scopri perché gli eventi di audit possono mancare negli ambienti Microsoft e come verificare la copertura, i workload, le autorizzazioni, la conservazione e i ritardi di acquisizione.

Automatically translated with AI from the original post. Read the English original

Cover: Microsoft 365 Governance Is a People and Ownership Problem

Ti è mai capitato di pensare che i log di audit non raccontino tutta la storia? Gli eventi di audit mancanti possono minare silenziosamente la sicurezza, la conformità e perfino la tua capacità di capire « chi ha fatto cosa » quando le cose vanno storte. Negli ambienti Microsoft, come Microsoft 365, Azure e Windows Server, le tracce di audit non sono semplici adempimenti normativi. Sono la base per le indagini e la prova di cui hai bisogno nei momenti più critici.

Con il passaggio al cloud e agli scenari ibridi, mantenere solidi i dati degli eventi di audit è sempre più complesso. Le lacune possono nascere dal lato cloud, dal lato on-premises o in un punto intermedio. Quando gli eventi scompaiono, rischi di non individuare incidenti di sicurezza critici o di perdere il filo nelle verifiche legali e operative. Vediamo perché queste lacune sono importanti, quali segnali osservare e come affrontarle, o prevenirle, prima che diventino un problema serio.

Sintomi che indicano eventi di audit mancanti

Lacune inspiegabili nei log
Se noti dei buchi in quello che dovrebbe essere un flusso costante di eventi, periodi in cui i log di audit tacciono anche se sai che l'attività c'è stata, è un chiaro campanello d'allarme. Questo è particolarmente sospetto sui sistemi molto utilizzati.
Azioni utente mancanti
Quando eventi come l'accesso ai file, le modifiche amministrative o i tentativi di accesso non compaiono nella traccia di audit, qualcosa non va. Se nei log mancano eventi chiave che ti aspettavi, è probabile che il sistema non stia registrando fatti importanti.
Avvisi di audit che non scattano
Hai impostato avvisi o strumenti SIEM per segnalare azioni rischiose, ma da un po' non arriva nulla? Quando gli avvisi previsti non arrivano, soprattutto durante modifiche legittime e note, potrebbe significare che gli eventi di audit non sono mai arrivati e quindi non li hanno attivati.
Periodi di silenzio inattesi
Se i log di audit o le dashboard risultano insolitamente tranquilli in momenti di attività prevista (ad esempio durante le finestre di patch o in orario di lavoro), non fidarti di questa calma. Spesso è il sintomo che gli eventi non vengono registrati correttamente.
Dashboard di conformità con dati incompleti
Quando esegui report di conformità o di analisi forense e trovi incongruenze o record mancanti, non è solo un fastidio: è un forte indizio che le tracce di audit presentano falle da correggere prima che arrivino audit o incidenti.

Cause principali delle lacune negli eventi di audit

Criteri di audit configurati in modo errato
È la causa più comune. Se l'audit non è attivo per le attività o le posizioni giuste, gli eventi non vengono mai acquisiti. Errori di configurazione, come dimenticare di abilitare l'audit delle cassette postali in Exchange o non controllare l'accesso alle cartelle in Windows, possono creare enormi punti ciechi.
Autorizzazioni insufficienti
I servizi di registrazione dell'audit hanno bisogno dei diritti corretti per funzionare. Senza accesso di livello amministrativo o con i ruoli corretti assegnati, questi servizi possono fallire silenziosamente, lasciando intere categorie di dati non registrate e non visibili.
Limiti di archiviazione e rotazione dei log
I file di log e le posizioni di archiviazione con limiti di dimensione o con criteri di conservazione aggressivi possono sovrascrivere o eliminare i record prima che tu li esamini. A volte i file di log si riempiono e iniziano a scartare le voci più vecchie, o perfino le più recenti.
Interruzioni del servizio e bug software
Se il servizio responsabile della registrazione va in crash, si blocca o è coinvolto in cicli di patch e riavvio, non viene scritto alcun evento di audit. Anche bug o incompatibilità successivi a un aggiornamento possono far smettere di funzionare i componenti di registrazione senza che tu te ne accorga.
Governance frammentata e responsabilità poco chiare
Se team diversi gestiscono parti dell'ambiente Microsoft senza un coordinamento stretto, possono nascere lacune in cui nessuno è responsabile. Per approfondire le criticità della governance, consulta questa guida sui fallimenti della governance in Microsoft 365.
Deriva di conformità nascosta
A volte i criteri di audit sembrano corretti, ma sottili cambiamenti nel comportamento di utenti o sistemi, come il salvataggio automatico, la co-authoring o modifiche al controllo delle versioni, possono comprimere o omettere tracce prima che i criteri le catturino. Per capire meglio come questo accade in profondità, consulta questo podcast sulla deriva di conformità in Microsoft 365.

Procedure di verifica e diagnostica per la registrazione di audit

Prima di correggere gli eventi di audit mancanti, devi sapere cosa funziona e cosa no. Verificare la configurazione del logging di audit è come assicurarsi che le telecamere di sicurezza siano collegate, puntate nei posti giusti e funzionanti. Una pipeline di audit sana è indispensabile per la conformità e la prontezza forense, soprattutto quando così tanto dipende da questi registri digitali.

Questa parte del processo riguarda la conferma delle impostazioni dei criteri di audit, la verifica che gli eventi effettivi vengano registrati e la raccolta delle prove necessarie per diagnosticare le lacune quando si presentano. Conviene controllare le configurazioni non solo in Microsoft 365, ma anche in Azure, sui server locali e nelle app integrate con il cloud.

Nelle sezioni successive troverai indicazioni passo passo per testare i criteri di audit e l'integrità del logging, oltre a una panoramica dei dati da raccogliere per le indagini. Che tu stia risolvendo un problema in corso o validando in modo proattivo il tuo ambiente, queste procedure costituiscono la base per una traccia di audit solida.

Come verificare che il logging di audit sia configurato e funzionante

Verifica le impostazioni dei criteri di audit
Inizia dalla tua console di amministrazione, che si tratti di Azure AD, Microsoft 365 Security Center o dell'Editor criteri di gruppo locali di Windows. Assicurati che tutte le categorie di audit critiche (eventi di accesso, accesso ai file, modifiche dei privilegi, operazioni sulle caselle di posta) siano abilitate. Controlla con attenzione cosa viene registrato e dove vengono inviati quegli eventi.
Testa la generazione degli eventi di audit
Esegui azioni di test controllate: accedi a un file, effettua l'accesso con un account di prova oppure modifica l'appartenenza a un gruppo. Poi ispeziona i log pertinenti per verificare che quelle azioni vengano registrate come previsto. Se non c'è alcun logging, significa che qualcosa non funziona nella pipeline.
Verifica la conservazione dei log e i percorsi di archiviazione
Conferma dove vengono archiviati i log (disco locale, archiviazione cloud, SIEM e così via) e verifica che i criteri di conservazione non eliminino anticipatamente gli eventi. Se operi in un ambiente regolamentato o ad alto rischio, valuta l'opportunità di passare a un livello di audit superiore. Per scoprire come ottenere una visibilità forense a livello di tenant, consulta questa guida su come usare Microsoft Purview Audit per Microsoft 365.
Controlla l'inoltro dei log e gli agenti di raccolta
Se inoltri i log a una piattaforma centralizzata (come Microsoft Sentinel o Splunk), verifica le regole di inoltro e la connettività. Controlla che gli eventi provenienti dalle varie origini vengano aggregati come previsto, senza perdite silenziose durante il transito.
Copertura dei criteri di audit per il cloud e Power Platform
Non trascurare gli elementi moderni come Microsoft Teams, SharePoint e i flussi di Power Platform. Assicurati che i loro log di audit dedicati siano abilitati: potrebbero essere gestiti separatamente dalle impostazioni di audit classiche.

Raccolta essenziale dei dati per analizzare gli eventi di audit mancanti

Esporta i log di sistema e i dati di Visualizzatore eventi
Estrai i log da tutte le posizioni pertinenti: Visualizzatore eventi di Windows, log attività di Azure, log di audit unificati di Microsoft 365 e perfino gli aggregatori di log di terze parti.
Documenta le impostazioni dei criteri di audit
Esporta la configurazione corrente dei criteri di audit da ogni sistema, inclusi gli oggetti Criteri di gruppo, le assegnazioni RBAC di Azure e gli screenshot dei criteri nel centro conformità di M365. Questo "snapshot dei criteri" aiuta a identificare le lacune durante l'indagine.
Raccogli i report sullo stato dei servizi e degli agenti
Verifica lo stato di salute e la disponibilità dei servizi di logging di audit, come il servizio Registro eventi di Windows, i connettori di log cloud e gli inoltratori. Le interruzioni possono spiegare i periodi mancanti nella traccia di audit.
Inventaria autorizzazioni e controlli di accesso
Raccogli l'elenco di chi dispone di privilegi di lettura e scrittura sui file di log, sulle posizioni di archiviazione e sulla configurazione dell'audit. Autorizzazioni incoerenti producono spesso guasti invisibili.
Acquisisci il contesto di flusso di lavoro e identità
Mappa le informazioni pertinenti su identità, gruppi o flussi di lavoro. Le revisioni di proprietà e di accesso, come illustrato in questa guida sulla governance dell'accesso ai dati di M365, possono mettere in luce problemi di responsabilità che si trasformano in lacune di audit.
Conserva i log di errore e di avviso
Se il sistema segnala errori di scrittura dei log o negazioni di autorizzazione, conservali. Sono preziosi per individuare la causa radice, perché indicano direttamente il punto del guasto.

Risoluzione passo passo per gli eventi di audit mancanti

Convalida e correggi le impostazioni dei criteri di audit
Rivedi ogni criterio di audit. Se una categoria o un oggetto non viene sottoposto ad audit, abilitalo subito. Per Microsoft 365 e Azure, assicurati di coprire tutti i carichi di lavoro rilevanti, non solo quelli più noti.
Ripristina autorizzazioni e assegnazioni di ruolo
I servizi di audit richiedono i privilegi corretti per leggere e scrivere i log. Verifica e assegna le autorizzazioni appropriate sia a livello di sistema sia a livello di directory. Se ci sono incongruenze, i log potrebbero non essere generati o archiviati correttamente.
Riavvia i servizi di logging e gli agent
Se i log di audit si sono interrotti all'improvviso, un servizio o un agent potrebbe essersi bloccato. Riavvia i servizi di logging (come «Registro eventi di Windows» o gli agent di Azure Monitor) e verifica che i log riprendano a fluire. A volte basta un bel riavvio.
Elimina i colli di bottiglia nell'archiviazione dei log
Se il disco o lo spazio di archiviazione dei log è pieno, libera spazio oppure configura la rotazione dei log. Controlla i limiti di dimensione dei log e i criteri di conservazione troppo aggressivi. Valuta, quando possibile, il passaggio all'archiviazione nel cloud o a un SIEM con capacità scalabile.
Applica patch e aggiorna i componenti di logging
Assicurati che tutti i componenti siano aggiornati, soprattutto dopo importanti aggiornamenti del sistema operativo o delle applicazioni. Bug non corretti o incompatibilità di versione possono compromettere silenziosamente le pipeline di audit.
Rivedi governance e passaggi di consegne
Per i problemi derivanti da una proprietà frammentata degli strumenti o da una scarsa visibilità della governance, rivaluta il tuo modello operativo. Per approfondire l'argomento, consulta le recenti puntate del podcast e gli approfondimenti sulla governance con l'automazione PowerShell nell'ecosistema Microsoft su questo link (reindirizza alle discussioni più recenti).

Come prevenire la perdita di eventi di audit in futuro

Verifiche e revisioni periodiche dei criteri
Stabilisci una routine per rivedere e adeguare i criteri di audit su tutte le piattaforme. Non «impostare e dimenticare», soprattutto quando cambiano gli ambienti o compaiono nuovi requisiti di conformità.
Monitoraggio automatizzato e avvisi
Implementa controlli automatici e monitor di integrità che individuino le lacune di audit. Gli avvisi in tempo reale ti permettono di anticipare i problemi quando i log non fluiscono come previsto. L'automazione proattiva può aiutare, proprio come i controlli preliminari evitano i fallimenti dei flussi nei progetti Power Platform (ecco come lo fanno gli sviluppatori Power Platform per la DLP).
Archiviazione dei log ridondante e backup
Configura un logging ridondante e resistente alle manomissioni (più copie, nel cloud e on-premises, archivi SIEM). In questo modo, se una delle posizioni non è disponibile, le prove di audit restano al sicuro altrove.
Privilegio minimo e revisioni degli accessi
Applica solo l'accesso minimo necessario per le operazioni quotidiane di amministrazione e dei servizi. Tieni sotto controllo chi può modificare, spostare o disabilitare il logging di audit, per ridurre errori accidentali o azioni dolose.
Approccio di audit avanzato e a più livelli
Non affidarti solo ai log predefiniti. Abilita l'audit avanzato in Microsoft 365, usa l'automazione PowerShell per gli avvisi in tempo reale e tratta l'audit come un servizio che richiede una revisione costante, come descritto in questa guida alla prevenzione della condivisione esterna in Microsoft 365.

Cause comuni per cui le tracce di audit non funzionano

Errore umano o configurazione errata
Errori semplici, come disabilitare un criterio, reindirizzare i log verso la destinazione sbagliata o non aggiornare i criteri dopo una modifica dell'ambiente, sono fin troppo comuni.
Bug del software o disservizi dei servizi
I bug nei componenti di audit o le interruzioni accidentali dei servizi possono interrompere silenziosamente l'intera catena, anche quando tutto sembra «normale» dall'esterno.
Copertura incompleta della pipeline
Di solito il logging funziona dall'inizio alla fine, ma basta un connettore, un'integrazione o un agent di inoltro mancante per creare una falla enorme.
Complessità dell'architettura di sistema
Più componenti in gioco (cloud, on-premises, ponti di terze parti) significano più punti in cui qualcosa può andare storto e più difficoltà nell'individuare i guasti. Ad esempio, i controlli in tempo reale per i sistemi normativi come EU ViDA devono essere integrati nello stack ERP per ottenere risultati realmente verificabili, come illustrato in questa analisi sull'audit delle piattaforme ERP.

Migliorare l'integrità delle tracce di audit con HyreLog

L'auditing moderno richiede molto più di log sparsi e gestiti a mano. Strumenti come HyreLog si stanno affermando per centralizzare i dati di audit provenienti da ogni piattaforma: cloud, on-premises e tutto ciò che sta in mezzo. HyreLog può aiutare le organizzazioni a individuare in tempo reale eventi mancanti, rilevare manomissioni e conservare le prove da esibire quando arrivano gli auditor. Automatizzando la raccolta e segnalando lacune o incoerenze, soluzioni come questa garantiscono un livello di integrità e di affidabilità dell'audit difficile da raggiungere con processi manuali e isolati.

Per le organizzazioni alle prese con esigenze di conformità sempre più pressanti o con sistemi ibridi sempre più frammentati, HyreLog offre le protezioni necessarie per mantenere i registri di audit completi e verificabili, semplificando sia le operazioni sia la reportistica di conformità.

Risoluzione dei problemi di audit delle cartelle mancanti in Windows

Verifica che i criteri di audit delle cartelle siano assegnati
Inizia aprendo le proprietà della cartella, selezionando la scheda Sicurezza e facendo clic su Avanzate nella sezione dell'audit. Assicurati che esistano voci di audit per gli utenti o i gruppi di cui vuoi monitorare le attività.
Controlla l'ereditarietà e le sovrapposizioni delle autorizzazioni
Se le cartelle sono annidate, verifica che l'audit sia impostato a ogni livello oppure che le autorizzazioni vengano ereditate correttamente dal livello superiore. A volte le sottocartelle perdono le regole di audit della cartella padre, con la conseguenza che alcuni record non vengono registrati.
Convalida le impostazioni di Active Directory e Criteri di gruppo
Assicurati che i Criteri di gruppo del dominio o i Criteri di sicurezza locali siano configurati per controllare gli eventi «Accesso oggetti». Senza questa impostazione, anche le configurazioni migliori a livello di cartella non genereranno log.
Esamina Visualizzatore eventi alla ricerca di eventi mancanti o filtrati
Cerca nei log di Sicurezza gli ID evento previsti (ad esempio 4663 per l'accesso ai file). Verifica la conservazione dei log e le impostazioni di filtro per essere certo che gli eventi non vengano eliminati o nascosti silenziosamente.
Monitora le dimensioni dei log e le impostazioni di quota
Se le dimensioni del log di Visualizzatore eventi sono impostate troppo basse, gli eventi più vecchi vengono sovrascritti prima che tu li esamini, con il rischio di perdere dati per errore. Regola le quote o archivia i log nell'ambito della manutenzione ordinaria, così da garantire una visibilità a lungo termine.

Difficoltà di correlazione degli eventi di audit tra piattaforme negli ambienti ibridi

Gli ambienti IT ibridi aggiungono un ulteriore livello di complessità al tracciamento degli eventi di audit. Quando raccogli i log da sistemi on-premises, Azure AD, servizi cloud di Amazon e software di terze parti, ti accorgi presto che gli eventi di audit non sempre si integrano bene tra loro. Differenze nei formati dei log, negli standard di timestamp (UTC o ora locale) e persino nel modo in cui vengono referenziate le identità utente possono far apparire «mancanti» eventi che in realtà esistono altrove.

Questa mancanza di correlazione può far sì che tu veda un evento di accesso in Azure senza alcuna traccia nei log on-premises per lo stesso utente, o viceversa. Fusi orari, convenzioni di denominazione incoerenti o problemi di integrazione tecnica generano spesso falsi vuoti oppure eventi che sembrano duplicati anziché mancanti. Se gestisci dati critici in Azure, tieni presenti le strategie di governance di Azure, che sottolineano l'importanza di un'applicazione solida dei criteri e di protezioni automatizzate per mantenere la completezza dell'audit.

La soluzione richiede spesso strumenti unificati di aggregazione dei log, pipeline di normalizzazione e un'attenta associazione di orari e identità, così da garantire una traccia di audit continua e accurata su tutte le piattaforme.

Monitoraggio proattivo e controlli di integrità per la continuità degli eventi di audit

Registrazione delle transazioni sintetiche
Esegui regolarmente azioni «di test» tramite script (ad esempio accessi simulati o modifiche ai file) per verificare che compaiano nel flusso di audit. In questo modo individui i problemi prima che inizino a mancare i dati reali degli utenti.
Monitoraggio automatico tramite heartbeat
Configura eventi heartbeat, cioè log semplici scritti a intervalli frequenti, così da individuare facilmente le interruzioni nella copertura dell'audit. Se un heartbeat manca, sai che la pipeline richiede un intervento.
Avvisi in tempo reale per eventi mancanti o ritardati
Configura il tuo SIEM o gli strumenti di monitoraggio affinché ti avvisino quando gli eventi di audit previsti non compaiono o quando i log subiscono ritardi oltre una soglia prestabilita. Gli avvisi tempestivi permettono di risolvere i problemi più rapidamente.
Controlli continui di integrità della pipeline
Pianifica script di controllo dello stato del sistema che verifichino la disponibilità del servizio di log, le quote di archiviazione e la connettività degli agenti di inoltro. Integra questi controlli nella routine operativa IT quotidiana o settimanale per affrontare le verifiche di conformità senza sorprese.
Playbook di correzione automatica
Usa l'automazione per riavviare i servizi che hanno smesso di funzionare o per inviare i log a una destinazione di backup se i controlli di integrità rilevano un problema. In questo modo la traccia di controllo continua a essere registrata anche in presenza di errori temporanei.

Diagnosticare la perdita temporanea di eventi di controllo dovuta a colli di bottiglia dell'infrastruttura

Individuare latenza di rete e ritardi del disco
Un'elevata latenza di rete o dischi lenti possono ritardare la scrittura dei log, facendo sembrare "mancanti" gli eventi di controllo finché non vengono recuperati. Monitora sia il traffico di rete sia l'I/O del disco per individuare colli di bottiglia nei periodi di attività intensa.
Controllare il riempimento dei buffer di log e la saturazione delle code
Se i buffer dei log si riempiono più velocemente di quanto possano essere scritti, i nuovi eventi possono essere scartati o trattenuti, soprattutto durante picchi di attività. Verifica le dimensioni di code e buffer e valuta di modificarle in base al carico di lavoro.
Verificare le prestazioni dell'agente di inoltro dei log
Gli agenti di inoltro dei log (quei piccoli "trasportatori" che collegano i log al SIEM o al cloud) se configurati male, non aggiornati o sovraccarichi possono perdere eventi sotto pressione. Mantienili aggiornati con le patch e monitora le loro statistiche di prestazioni per individuare eventuali segnali di problema.
Distinguere tra perdita reale e ritardo temporaneo
Non farti prendere dal panico se gli eventi compaiono più avanti nella pipeline di quanto previsto. Cerca schemi: un ritardo di qualche minuto nei log di controllo durante un uso intenso del sistema può indicare colli di bottiglia dell'infrastruttura, non una perdita effettiva di dati. Ottimizza risorse ed elaborazione dei log per correggere i colli di bottiglia strutturali.

Riepilogo degli eventi di controllo mancanti e dei passaggi di risoluzione

Riconoscere i segnali di allarme precoci
Impara a individuare le lacune sospette: log silenziosi, azioni mancanti o dashboard di controllo incomplete.
Individuare rapidamente le cause principali
Esamina criteri, autorizzazioni, integrità dei servizi, limiti di archiviazione e governance per capire dove gli eventi di controllo si perdono.
Seguire un percorso di correzione graduale e pratico
Convalida e correggi le impostazioni, riavvia i servizi, applica le patch al software e riconsidera la proprietà frammentata per ripristinare la piena acquisizione degli eventi.
Integrare la prevenzione nelle operazioni
Usa automazione, controlli periodici, archiviazione ridondante e revisioni regolari degli accessi per proteggere l'affidabilità della traccia di controllo, prima che arrivino gli auditor o si verifichino incidenti.

Riferimenti e letture di approfondimento sulle best practice per il logging di controllo

How to Audit User Activity with Microsoft Purview Audit – Un approfondimento sull'uso di Purview Audit per il logging forense, di conformità e del rischio interno a livello di tenant.
Build Your Purview Shield: Document Management & Compliance Podcast – Illustra le best practice per mantenere sistemi di gestione documentale pronti per un audit in Microsoft 365.
Microsoft Docs: Documentazione ufficiale su audit logging e monitoraggio – La risorsa di riferimento per istruzioni aggiornate e specifiche della piattaforma su configurazione, monitoraggio e risoluzione dei problemi dei log di controllo.
NIST SP 800-92 Guide to Computer Security Log Management – Linee guida di settore del NIST su generazione, revisione e conservazione dei log di controllo in ambienti sicuri.

Feedback e conclusione

Mantenere tracce di controllo affidabili non significa solo configurare alcuni criteri e poi non occuparsene più. È un processo continuo di configurazione, verifica e adattamento ai nuovi rischi e ai cambiamenti del sistema. Abbiamo visto come individuare gli eventi di controllo mancanti, capire perché accadono e quali passaggi pratici seguire per correggerli e prevenirli, che tu stia lavorando con Microsoft 365, Azure o con una configurazione ibrida complessa.

Se hai affrontato sfide (o trovato soluzioni intelligenti) con il logging di controllo, la tua esperienza può aiutare altri che si trovano davanti agli stessi ostacoli. Condividi feedback, idee o criticità su strumenti e processi attuali, così possiamo continuare insieme ad alzare il livello di integrità delle tracce di controllo. Ricorda: quello che fai oggi per proteggere questi log sarà ciò che ti salverà domani, se arriveranno problemi.

Resta vigile, mantieni le tue pipeline di controllo in funzione e non esitare a usare nuovi strumenti o tecniche per consolidare, nel modo giusto, la responsabilità della tua organizzazione.

Ascolta anche

Se ti interessa la perdita di eventi di controllo in Microsoft 365, questi episodi offrono un contesto pratico su governance, sicurezza, audit e affidabilità delle operazioni in Microsoft 365.

Microsoft Purview – Simply Explained — Collega conservazione, conformità, audit e governance dei dati.
Microsoft Defender XDR – Simply Explained — Metti in relazione i segnali operativi con il rilevamento e la risposta.
Microsoft Teams Governance – Simply Explained — Scopri perché le regole di proprietà e ciclo di vita sono importanti per la collaborazione.

Questi episodi ti aiutano a trasformare il tema dell'articolo in decisioni di implementazione concrete.