Indagare accessi sospetti

Conosci quali evidenze sono disponibili

Microsoft 365 Business Standard permette di indagare gli accessi recenti nel portale, ma conservazione e funzioni di rischio avanzate dipendono dalla licenza Entra. Un segnale premium mancante non prova che l'attività sia sicura.

Mappa dei privilegi minimi

Definisci il segnale che stai verificando

Parti dal segnale originale. Un accesso sospetto è una domanda a cui rispondere, non una prova automatica di compromissione.

Cosa fare

• Conserva l'avviso o la segnalazione originaleSalva ID, segnalatore, ora, UPN e domanda da risolvere.
• Imposta un intervallo UTC strettoInizia da 30 minuti prima e dopo l'evento; allarga solo se necessario.
• Identifica la sensibilitàAnnota ruoli amministrativi, funzioni finanziarie o executive, applicazioni privilegiate e dati regolamentati.

Classifica l'evento prima di agire

Rispondi a chi, come e cosa. Poi decidi se l'evento è sicuro, un problema tecnico, sospetto o parte di un attacco esteso.

Cosa fare

• Identifica il tipo di accessoUtente interattivo, utente non interattivo, service principal o managed identity.
• Leggi Stato e codice erroreOperazione riuscita può indicare un token emesso. Errore riguarda quel tentativo. Interrotto spesso indica un altro controllo o passaggio utente.
• ChiConferma User ID, UPN, tenant, tipo identità, ruoli e modifiche recenti.
• ComeControlla requisito, metodi e sequenza di autenticazione, client, user agent, Accesso Condizionale e protezione token.
• CosaControlla applicazione, risorsa, IP, dispositivo, posizione, rischio, Request ID e Correlation ID.
• Conferma con l'utente in sicurezzaChiedi ora UTC, applicazione e azione tramite un canale separato noto, senza suggerire la risposta.

• Definisci il confine tra tenantPer guest o identità esterne registra tipo utente, tipo accesso cross-tenant, Home tenant ID e Resource tenant ID.

Contieni solo quando la decisione lo richiede

Questa SOP decide se serve contenimento. La SOP Account compromesso gestisce disabilitazione, revoca sessioni, password, MFA e persistenza.

Cosa conservare prima

• Identificatori eventoRequest ID, Correlation ID, ora UTC e ID dell'avviso.
• Export originaliFile interattivi e non interattivi con i filtri esatti.
• Stato correnteRischio, account, ruoli, metodi MFA e risultato di Accesso Condizionale.

Analizza l'accesso passo dopo passo

Inizia dal portale. Mostra l'evento in modo facile da confrontare ed esportare. Usa Graph soltanto con la licenza corretta e quando la query migliora davvero l'indagine.

1. Esporta accessi interattivi e non interattivi

• Accessi utente interattiviApri la scheda, mantieni filtri utente e UTC, scegli Scarica e salva CSV o JSON.
• Accessi utente non interattiviApri la scheda ed esporta separatamente. Espandi le righe raggruppate: una riga può contenere più tentativi.
• Registra il contesto dell'exportSalva intervallo UTC, filtri, ora export, operatore e tenant. Mantieni i file originali in sola lettura.

2. Leggi ogni evento nello stesso ordine

3. Confronta, non giudicare da un solo campo

• Confronta il comportamento abitualeControlla accessi riusciti precedenti per applicazioni, dispositivi, posizioni, intervalli IP e metodi.
• Cerca attività correlate nel tenantFiltra stesso IP, applicazione, browser, dispositivo o intervallo UTC sugli altri utenti.
• Apri i dettagli rischio se disponibiliControlla tipo rilevamento, ora, cronologia e rischio utente collegato.
• Usa Diagnostica per gli erroriEvento non riuscito → Informazioni di base → Avvia diagnostica di accesso. Usala per spiegare il problema, non come assoluzione di sicurezza.

# Read-only example. Requires Entra ID P1/P2 and an authorized reader role.
$ErrorActionPreference = 'Stop'
Import-Module Microsoft.Graph.Reports
$tenantId = [guid](Read-Host 'Tenant ID (GUID)')
if ($tenantId -eq [guid]::Empty) { throw 'A tenant ID is required.' }
$upn = (Read-Host 'Exact user principal name').Trim()
if (-not $upn -or $upn.Contains("'")) { throw 'Enter a valid user principal name.' }
$startInput = Read-Host 'Start, with UTC offset (e.g. 2026-09-15T08:00:00Z)'
$endInput = Read-Host 'End, with UTC offset (e.g. 2026-09-15T10:00:00Z)'
if ($startInput -notmatch 'T.*(Z|[+-][0-9]{2}:[0-9]{2})$' -or $endInput -notmatch 'T.*(Z|[+-][0-9]{2}:[0-9]{2})$') {
  throw 'Both timestamps must include Z or an explicit UTC offset.'
}
$startUtc = [datetimeoffset]::Parse($startInput, [cultureinfo]::InvariantCulture)
$endUtc = [datetimeoffset]::Parse($endInput, [cultureinfo]::InvariantCulture)
if ($endUtc -le $startUtc) { throw 'End must be after start.' }
$start = $startUtc.UtcDateTime.ToString("yyyy-MM-ddTHH:mm:ss.fffffffZ", [cultureinfo]::InvariantCulture)
$end = $endUtc.UtcDateTime.ToString("yyyy-MM-ddTHH:mm:ss.fffffffZ", [cultureinfo]::InvariantCulture)

$connected = $false
try {
  Connect-MgGraph -TenantId $tenantId -ContextScope Process -Scopes 'AuditLog.Read.All'
  $connected = $true
  if ([guid](Get-MgContext).TenantId -ne $tenantId) { throw 'Wrong tenant context.' }
  $filter = "userPrincipalName eq '$upn' and createdDateTime ge $start and createdDateTime lt $end"
  Get-MgAuditLogSignIn -Filter $filter -All |
    Select-Object Id,CreatedDateTime,UserPrincipalName,IsInteractive,
      AppDisplayName,ResourceDisplayName,IpAddress,ClientAppUsed,
      ConditionalAccessStatus,CorrelationId,
      @{Name='ErrorCode';Expression={$_.Status.ErrorCode}}
  # This selected-field view does not preserve the full event. Keep original exports.
} finally {
  if ($connected) { Disconnect-MgGraph }
}

Registra un risultato chiaro

Il risultato deve spiegare le evidenze e l'azione successiva. Non ignorare il rischio soltanto per eliminare un avviso.

Questi risultati riguardano l’evento e l’intervallo analizzati. Non certificano la sicurezza di ogni sessione o dell’intero account. Le lacune di copertura restano esplicite.

Cosa fare

• Scegli un solo risultatoSicuro, Problema tecnico, Irrisolto, Sospetto o Attacco esteso. Registra confidenza ed evidenze contrarie.
• Aggiorna con attenzione lo stato del rischioIgnora solo un risultato confermato falso o benigno. Conferma compromesso solo dopo l'indagine e avvia subito il contenimento.
• Collega il record successivoAggiungi ticket di supporto o ID incidente Account compromesso.
• Valida il risultatoPer troubleshooting riproduci un accesso protetto riuscito. Per compromissione usa il controllo di chiusura della SOP principale.

Rendi il prossimo evento più facile da prevenire e spiegare

Trasforma ogni lacuna emersa in un miglioramento piccolo e assegnato.

Cosa fare

• Scrivi la lacuna osservataEsempio: solo sette giorni di storico, client legacy, MFA debole o nessun responsabile per gli avvisi.
• Crea un'azione assegnataDefinisci responsabile, scadenza, test e rollback.
• Testa rilevamento e rispostaConferma che l'avviso arrivi, il ruolo possa indagare, l'export funzioni e l'escalation raggiunga il responsabile.

Conserva una decisione che un altro amministratore possa riprodurre

Uno screenshot aiuta, ma export originale, identificatori, filtri e ragionamento rendono la decisione ripetibile.

Cosa conservare

• Origine e ambitoTenant, UPN, segnale, intervallo UTC, filtri, ora export e operatore.
• File originaliExport interattivo e non interattivo separati, senza sovrascriverli.
• Evento esattoRisultato, errore, Request ID, Correlation ID, app, risorsa, IP, dispositivo, autenticazione, policy e rischio.
• Dichiarazione utenteChi lo ha contattato, canale usato, domanda, risposta e ora UTC.
• Confronto e limitiBase abituale, ricerca correlata, evidenze favorevoli e contrarie, limiti di conservazione e licenza.
• Decisione e record successivoRisultato, confidenza, approvatore, azione sul rischio e record collegato.

• Hash di integritàCalcola e registra l'hash SHA-256 di ogni export originale prima di lavorare su una copia.

ID CASO / AVVISO:
TENANT:
UPN:
SEGNALE E ORIGINE:
INTERVALLO UTC E FILTRI:
ORA EVENTO / RISULTATO / ERRORE:
REQUEST ID / CORRELATION ID:
APPLICAZIONE / RISORSA / CLIENT:
IP / POSIZIONE / DISPOSITIVO / USER AGENT:
DETTAGLI AUTENTICAZIONE:
ACCESSO CONDIZIONALE:
DETTAGLI RISCHIO:
CONFERMA UTENTE E CANALE:
ATTIVITÀ CORRELATA NEL TENANT:
NOMI FILE EXPORT ORIGINALI:
HASH SHA-256 DEGLI EXPORT ORIGINALI:
LIMITI DI DATI O LICENZA:
DECISIONE: SICURO | PROBLEMA TECNICO | IRRISOLTO | SOSPETTO | ATTACCO ESTESO
CONFIDENZA E MOTIVO:
RECORD SUCCESSIVO / RESPONSABILE / ORA UTC:

Per un export JSON, lo strumento locale di analisi delle evidenze calcola l’hash e riepiloga i record forniti senza caricare il file. I conteggi non sono un giudizio di sicurezza. Conserva questa nota dettagliata internamente e oscura le identità prima di una richiesta esterna.

Get-FileHash -LiteralPath "<export-originale.csv>" -Algorithm SHA256

Mantieni la decisione assegnata

Una persona è responsabile dell'indagine e della conclusione. Gli specialisti entrano solo quando servono i loro sistemi o autorizzazioni.

Esegui subito l'escalation quando

• Identità privilegiata o criticaAmministratore, accesso di emergenza, servizio, executive o finanza.
• Accesso riuscito negatoL'utente nega l'evento, esiste un token sospetto o l'accesso continua senza richiesta.
• Più utenti o schema condivisoPassword spray, stesso IP dannoso, applicazione o token.
• Applicazione o service principal sconosciutoConsenso inatteso, risorsa sconosciuta o autorizzazione tenant-wide.
• Rischio dati, frode o dispositivoDati regolamentati, download massivo, pagamenti, malware o furto token.
• Utente non raggiungibileTratta con prudenza attività riuscita irrisolta, soprattutto per identità sensibili.

Controllo di chiusura

• Risultato esplicitoSicuro, Problema tecnico, Irrisolto, Sospetto o Attacco esteso con confidenza e motivo.
• Evidenze riproducibiliExport, identificatori, dichiarazione utente, confronto e limiti.
• Stato rischio correttoIl rischio non è ignorato solo per chiudere l'avviso.
• Lavoro successivo collegato e assegnatoCorrezione, prevenzione o incidente Account compromesso ha un responsabile.