Perché i log di audit predefiniti di M365 nascondono condivisioni esterne pericolose

By Mirko Peters · 2026-08-11

Bentornato sul blog! Se gestisci un tenant di Microsoft 365, probabilmente dormi tranquillo la notte perché pensi che i log di audit integrati ti proteggano. Del resto Microsoft offre funzionalità di sicurezza e conformità solide di serie, giusto? Purtroppo, quando si parla di condivisione esterna in SharePoint e OneDrive, affidarsi alle impostazioni predefinite è una ricetta per il disastro. Le o

Automatically translated with AI from the original post. Read the English original

Bentornato sul blog! Se gestisci un tenant di Microsoft 365, probabilmente dormi sonni tranquilli pensando che i log di audit integrati ti coprano le spalle. Microsoft offre funzionalità di sicurezza e conformità solide fin da subito, giusto? Purtroppo, quando si parla di condivisione esterna in SharePoint e OneDrive, affidarsi alle impostazioni predefinite è una ricetta per il disastro. Le organizzazioni spesso danno per scontato che, dato che l'audit è attivo, ogni spostamento di file, ogni accesso di un utente ospite e ogni creazione di link sia tracciato in modo sicuro e facilmente consultabile. In realtà, i tuoi log di audit predefiniti di M365 probabilmente nascondono attività di condivisione esterna pericolose in piena vista.

In questa guida completa sveleremo i punti ciechi dell'audit di Microsoft 365, spiegheremo perché la conservazione di 90 giorni non basta più per la conformità moderna e ti guideremo passo dopo passo nel progetto tecnico necessario per trasformare un flusso di dati grezzo e ingestibile in informazioni di sicurezza precise e utilizzabili. Approfondiamo subito come smettere di volare alla cieca e riprendere il pieno controllo del tuo ambiente di collaborazione.

Perché i log di audit predefiniti di M365 nascondono condivisioni esterne pericolose

La trappola più insidiosa nell'amministrazione di Microsoft 365 è dare per scontato che lo stato "Audit attivato" equivalga a una visibilità completa. Non è così. Per impostazione predefinita, le impostazioni standard del tenant escludono eventi granulari critici, in particolare quelli relativi alla creazione di link anonimi, all'uso di link da parte di utenti ospiti e a specifiche interazioni di accesso ai file. Se un utente genera un'autorizzazione anonima "Chiunque abbia il link" su un foglio di calcolo finanziario sensibile e un soggetto esterno lo scarica, la query di audit standard potrebbe non registrare affatto l'evento di utilizzo.

Inoltre, la conservazione predefinita dei log di audit è di appena 90 giorni. Per la maggior parte delle indagini interne, degli audit di conformità o degli attacchi informatici sofisticati in cui il dwell time supera i tre mesi, questi log semplicemente svaniscono nel nulla. Se un dato non viene registrato in partenza, né un SIEM, né uno script automatizzato, né un investigatore forense potranno recuperarlo. Devi sistemare la copertura di audit di base prima di tentare qualsiasi automazione o orchestrazione della sicurezza a valle.

Sistema le basi dell'audit (impostazioni obbligatorie)

Prima di scrivere una sola riga di PowerShell o configurare avvisi, devi rafforzare la configurazione di base del tuo tenant. Ecco i passaggi obbligatori da compiere subito:

• Attiva l'audit avanzato per SharePoint e OneDrive a livello di tenant, usando Exchange Online PowerShell o il portale di conformità di Microsoft Purview.
• Verifica esplicitamente che la registrazione sia attiva sia per la creazione sia per l'utilizzo dei link, prestando particolare attenzione ai link anonimi e a quelli per utenti ospiti.
• Estendi i criteri di conservazione dei log di audit ben oltre i 90 giorni predefiniti, per soddisfare i framework di conformità moderni e le esigenze delle indagini interne (si consigliano da 180 a 365 giorni).
• Standardizza i criteri di provisioning dei siti in modo che i nuovi siti SharePoint e i nuovi gruppi di Microsoft 365 ereditino automaticamente queste impostazioni di audit rafforzate, senza intervento manuale.

Dal rumore al segnale (PowerShell fatto bene)

Una volta che i log di audit registrano davvero i dati giusti, ti accorgerai rapidamente di un'altra cosa: il flusso grezzo dell'audit è assordante. Estrarre i log non elaborati restituisce migliaia di eventi di routine che generano un enorme affaticamento operativo. Per rendere utili questi dati, devi interrogarli con un obiettivo preciso e arricchire ogni singola riga.

Concentra le query sugli eventi ad alto rischio come SharingCreated, SharingSet, AnonymousLinkCreated, AnonymousLinkUsed e AccessRequestApproved. Poi arricchisci ogni riga con un contesto fondamentale:

• Classificazione del dominio di destinazione: classifica automaticamente i domini in partner aziendali, domini interni o domini personali/consumer (come gmail.com, yahoo.com o outlook.com).
• Contesto del file e del contenitore: associa al file interessato l'etichetta di riservatezza di Microsoft Purview e il sito padre o il contenitore OneDrive di appartenenza.
• Contesto di rischio dell'attore: incrocia l'utente che esegue l'azione con i sistemi HR o di identità per segnalare dipendenti in uscita, VIP o account compromessi.

Invece di affidarti a supposizioni soggettive, applica regole rigorose: un'etichetta di riservatezza su un file sensibile combinata con un dominio personale esterno equivale a un rischio ALTO immediato. Produci i risultati in due artefatti distinti: una "Action queue" di 10-50 righe che richiedono una verifica umana e un "Evidence log" completamente normalizzato per i tuoi strumenti SIEM o BI.

Avvisi in tempo reale che funzionano davvero

Dimentica la strategia "avvisa per ogni condivisione esterna", che abitua il tuo team di security operations a ignorare gli avvisi per via del loro volume. Costruisci invece una matrice di criteri di avviso a più livelli:

• Invia subito un avviso al team SecOps ogni volta che un file con etichetta di riservatezza viene condiviso con un destinatario esterno non presente nella tua allowlist di partner approvati.
• Se viene creato un link anonimo su un file sensibile, genera un avviso e contemporaneamente distribuisci uno script automatizzato che scada quel link.
• Tieni d'occhio la velocità anomala, come un volume elevato di condivisioni esterne eseguite da un singolo utente in un intervallo di tempo breve, e attiva una limitazione temporanea accompagnata da una notifica.

Inserisci sempre periodi di raffreddamento e meccanismi di deduplicazione per evitare la saturazione da avvisi. Indirizza gli avvisi direttamente in una coda di ticket mirata o in un canale SecOps dedicato, con responsabili chiari, playbook e link di ripristino con un solo clic.

Scalare a livello enterprise

Gli script manuali e le esportazioni CSV settimanali si rompono rapidamente quando l'organizzazione supera qualche centinaio di utenti. Per costruire un motore di monitoraggio enterprise resiliente, ti serve una solida dorsale di automazione basata su Azure Automation o Azure Logic Apps, che elabori delta mobili di 7 giorni insieme a backfill mensili.

Implementa una paginazione rigorosa e checkpoint per riprendere con regolarità dall'ultimo cursore e gestire in modo corretto la limitazione delle chiamate API (errori HTTP 429). Assicurati che l'automazione individui in modo continuo i nuovi siti appena creati e applichi automaticamente le regole di audit e di etichettatura di base. Infine, monitora lo stato della pipeline: configura avvisi automatici se il volume di eventi previsto cala improvvisamente, a indicare un'acquisizione dei log di audit interrotta.

Risultati rapidi di questa settimana

Se devi mostrare subito una riduzione del rischio alla direzione, affronta questi risultati rapidi nei prossimi giorni:

• Attiva la registrazione dell'utilizzo dei link anonimi e prolunga il periodo di conservazione nel portale Purview.
• Crea un elenco di blocco "domini personali" di base per segnalare i provider di posta gratuiti come Gmail, Yahoo e Hotmail.
• Applica etichette di riservatezza alle librerie di documenti di finanza e risorse umane e blocca la creazione di link anonimi tramite criterio.
• Invia alla direzione IT un riepilogo settimanale "Top 10 condivisioni rischiose", completo di proprietari dei file e link di revoca con un solo clic.
• Crea una regola di rilevamento dei picchi per gli utenti che eseguono cinque o più condivisioni esterne nell'arco di 10 minuti.

Piano di implementazione di 30 giorni (schema)

Per mantenere l'implementazione strutturata e gestibile, segui questa roadmap di implementazione di 30 giorni suddivisa in fasi:

• Settimana 1: rafforzamento dei criteri di audit, prolungamento della conservazione, definizione di esportazioni di base e definizione degli elenchi di consentiti e bloccati per i domini.
• Settimana 2: implementazione di script PowerShell di arricchimento per etichette di riservatezza e domini, creazione di matrici di valutazione del rischio e definizione della coda di triage delle azioni.
• Settimana 3: distribuzione delle regole di avviso in tempo reale complete di deduplicazione, periodi di raffreddamento e scadenza automatica dei link per le esposizioni ad alto rischio.
• Settimana 4: estensione dell'automazione tramite Azure Automation o Logic Apps, creazione di dashboard esecutive in Power BI e finalizzazione dei playbook operativi.

KPI esecutivi e operativi

Per misurare il successo continuo del programma di governance della condivisione esterna, monitora questi indicatori chiave di prestazione:

• Velocità di esposizione esterna: il numero di nuovi link esterni creati al giorno, suddiviso per sito, etichetta di riservatezza e dominio di destinazione.
• Tasso di fuga di contenuti sensibili: la frequenza con cui i file con etichetta di riservatezza vengono condivisi con domini non partner e non approvati.
• Tempo fino alla revoca: il tempo medio trascorso dal momento in cui si verifica una condivisione rischiosa a quello in cui l'accesso viene revocato con successo.
• Anomalie da picco: la frequenza con cui gli utenti superano le soglie di condivisione definite.
• Copertura della rimozione automatica: la percentuale di link rischiosi che vengono scaduti o bloccati automaticamente tramite criterio.

Errori comuni da evitare

Mentre costruisci la strategia di audit e di rimedio, evita consapevolmente questi errori frequenti:

• Affidarsi ciecamente alle configurazioni predefinite di controllo e alla finestra standard di conservazione di 90 giorni.
• Distribuire script di esportazione "di tutto" privi di un adeguato arricchimento del contesto o di code di smistamento.
• Creare regole "avvisa su tutto" troppo ampie, che abituano il personale di sicurezza a ignorare le notifiche.
• Inserire elenchi statici di siti invece di individuare dinamicamente i nuovi spazi di collaborazione.
• Trattare la governance come un progetto di pulizia una tantum anziché come un processo automatizzato e continuo.

Playbook da tenere a portata di mano

Dota i team di helpdesk e di sicurezza di playbook di risposta agli incidenti chiari e ripetibili:

• Revoca e notifica esterna: disattiva immediatamente il link di condivisione non autorizzato, informa il proprietario del file tramite notifica automatica e richiedi che la ricondivisione avvenga esclusivamente tramite domini di partner autorizzati.
• Verifica per i dipendenti in uscita: individua tutte le condivisioni di OneDrive collegate a un utente in fase di offboarding, revoca automaticamente l'accesso concesso a domini di consumo personali e trasferisci la proprietà al responsabile diretto.
• Monitoraggio VIP: applica soglie di anomalia più stringenti, scadenze dei link più brevi e notifiche immediate per qualsiasi attività che riguardi contenuti di livello dirigenziale.

Conclusioni

Vedi, valuta, blocca. Devi prima correggere le basi del controllo, arricchire gli eventi grezzi con un contesto aziendale significativo, generare avvisi in modo intelligente senza creare rumore e automatizzare tutto per ottenere una vera scalabilità aziendale. Così la collaborazione resta rapida, fluida e sicura, mantenendo i dati aziendali sensibili al sicuro all'interno del perimetro.

Per saperne di più su come proteggere il tuo tenant e individuare le esposizioni prima che diventino un disastro, non perderti l'episodio correlato del podcast: Detect Risky SharePoint and OneDrive External Sharing. Approfondiamo ulteriormente queste strategie per aiutarti a padroneggiare la sicurezza di M365!