Esaminare localmente un export degli accessi

Bozza da revisionare

Revisione delle fonti: 29 settembre 2026. Validazione nel tenant da eseguire.

Strumenti e dettagli della guida

Inizia qui

Verifica le evidenze prima di interpretare l’evento

Questo strumento locale riassume un export JSON degli accessi già raccolto. Aiuta a trovare timestamp mancanti, ID ripetuti e pagine Graph incomplete. Non accede al tenant e non decide se un account è sicuro.

Conserva l’originaleLavora su una copia nel percorso approvato per le evidenze. Registra chi l’ha raccolta e quando.
Registra l’ambito della raccoltaAnnota tenant, utente o workload, scheda di origine, filtri e intervallo temporale. Il file da solo non dimostra queste impostazioni.
Prova prima l’esempio sinteticoContiene tre righe inventate: codice 50076, codice 0 e risultato sconosciuto. Verifica che restino distinti.

Raccogli il file corretto

Un Reports Reader autorizzato può usare Entra ID → Monitoring & health → Sign-in logs → Download → JSON. Seleziona separatamente i tipi di log necessari. Per un’indagine utente conserva gli export completi interattivi e non interattivi; i file con soli dettagli di autenticazione hanno un altro scopo.

Il download dal portale è disponibile nelle varie edizioni Entra. Il download Graph richiede licenza premium e ruolo applicabili. Conservazione e filtri limitano i dati esportabili; lo strumento non recupera la cronologia mancante.

Usa un array JSON UTF-8 completo oppure un oggetto Graph con array value. Limiti: 10 MiB e 100.000 righe. Riduci un export troppo grande documentando il nuovo ambito. Conserva gli originali CSV già raccolti e ottieni un export JSON supportato per questo strumento.

Esamina un export locale

Lo strumento interattivo richiede JavaScript. Puoi comunque seguire i controlli manuali qui sotto.

Un JSON supportato e una verifica ripetibile

Questo array inventato di due righe usa i campi letti dallo strumento. Salvalo in UTF-8 come file .json e selezionalo sopra. È supportata anche una risposta Graph con l’array in {"value": [...]}. Non incollare token del browser o un HAR completo.

[
  {
    "id": "example-1",
    "createdDateTime": "2026-09-29T08:00:00Z",
    "appDisplayName": "Example app",
    "isInteractive": true,
    "status": {
      "errorCode": 50076
    }
  },
  {
    "id": "example-2",
    "createdDateTime": "2026-09-29T08:05:00Z",
    "appDisplayName": "Example app",
    "isInteractive": true,
    "status": {
      "errorCode": 0
    }
  }
]

Senza filtro temporale, il risultato atteso è due righe: una con codice zero e una con codice diverso da zero. Con inizio 2026-09-29T08:00:00Z e fine 2026-09-29T08:05:00Z, rimane solo la riga 50076. L’inizio è incluso, la fine esclusa. Una data assente o non valida non può essere collocata nell’intervallo selezionato.

Il campione integrato nello strumento è separato e contiene tre righe: un risultato zero, uno diverso da zero e uno sconosciuto. “Diverso da zero” non significa automaticamente malevolo e “zero” non dimostra che l’utente abbia avviato l’evento.

Risolvi una lacuna nelle evidenze

Pagina Graph incompleta: completa l’export autorizzato con il tuo processo di raccolta. Questo strumento non segue gli URL delle pagine successive.
Timestamp o risultati mancanti: verifica se il file contiene solo campi selezionati o dettagli di autenticazione. Ottieni l’export completo degli eventi, se disponibile.
ID ripetuti: confronta le righe originali. Possono sovrapporsi o contenere dettagli diversi; non eliminarle dalle evidenze senza documentarlo.
Nessuna riga corrispondente: ricontrolla filtro, offset UTC, scheda di origine e conservazione. Documenta la lacuna se l’intervallo richiesto non è disponibile.

Una riga con codice 0 registra un accesso riuscito, anche se eseguito da un attaccante. Un risultato diverso da zero può essere una legittima richiesta MFA. Usa la guida MFA per una richiesta 50076 prevista oppure Accessi sospetti per attività non riconosciuta.

Dal download a un passaggio di consegne utile

Registra tenant, utente, scheda dei log, filtri e ora della raccolta prima del download. Gli export del portale usano UTC e possono contenere fino a 100.000 righe di accesso. Raggiungere quel numero richiede una verifica della completezza, non la dimostra.
Raccogli separatamente accessi utente interattivi e non interattivi. Seleziona qui un file locale, controlla gli avvisi sulla copertura e applica, se serve, un intervallo UTC esplicito. L’anteprima mostra al massimo 50 righe, mentre i conteggi coprono l’intera selezione.
@odata.nextLink indica altre pagine. Lo strumento non le scarica. Completa la raccolta con uno strumento autorizzato e conserva i file originali. Il riepilogo PowerShell di Suspicious Sign-ins seleziona e appiattisce alcuni campi: non è un export JSON completo per questo strumento.
Controlla il rapporto prima di copiarlo o scaricarlo. L’analisi rimane nella memoria della pagina e il file non viene caricato. Il riepilogo omette campi identificativi ma mantiene intervalli e hash. Salvalo nell’archivio approvato e svuota la pagina al termine.

Microsoft: Download logs · Microsoft Graph: List signIns

Verifica il riepilogo rispetto alla fonte

Riconcilia i conteggiConfronta righe totali, righe non supportate e intervallo scelto con l’originale. Si contano righe, inclusi gli ID ripetuti.
Controlla eventi precisi a campioneConfronta un successo, un risultato diverso da zero e gli eventuali sconosciuti con i campi originali. L’anteprima mostra solo le prime 50 righe selezionate.
Conserva hash e note sulla coperturaSHA-256 identifica i byte esatti del file scelto. Non prova autenticità della fonte o completezza della raccolta. Cancella la pagina dopo aver salvato il riepilogo nel sistema approvato.

Lo strumento ha test con dati sintetici e nel browser locale. La compatibilità con un export reale del tenant è ancora da validare. In caso di conflitto con l’originale conserva entrambi e sospendi l’uso del riepilogo fino alla revisione.

Consegna la copertura, non un verdetto ipotizzato

Copia o scarica il riepilogo. Esclude i campi identificativi, mantenendo orari e hash. Controllalo prima di condividerlo all’esterno. Concorda un canale sicuro prima di inviare i log originali.

Domanda oggetto dell’indagine:
Origine export e ambito dei filtri (oscurati):
Ora di raccolta e offset UTC:
Hash del file originale:
Intervallo osservato e conteggi:
Copertura mancante o righe in conflitto:
Risultato del controllo manuale a campione:
Prossima evidenza da raccogliere e responsabile:

Discuti una lacuna nelle evidenze

Fonti e interpretazione

Download dei log Entra Campi degli accessi Microsoft Graph Conservazione dei dati Entra

L’intervallo osservato indica il primo e l’ultimo timestamp valido nella selezione. Non garantisce copertura continua. Lo strumento descrive il file e non esegue correzioni o classificazioni del rischio.