Azure procedure consigliate per la gestione delle identità e il controllo di accesso

Questo articolo illustra una raccolta di procedure consigliate per la gestione delle identità Azure e il controllo di accesso. Queste procedure consigliate derivano dall'esperienza di Microsoft con Microsoft Entra ID e le esperienze dei clienti.

Questo articolo è allineato al modello di sicurezza Zero Trust di Microsoft, che considera l'identità come perimetro di sicurezza primario e richiede la verifica esplicita per ogni richiesta di accesso. Per i controlli di sicurezza prescrittivi che utilizzano l'applicazione di Criteri di Azure, vedere Microsoft Cloud Security Benchmark v2 - Identity Management.

Questo articolo sulle procedure consigliate di sicurezza per la gestione delle identità e il controllo degli accessi in Azure si basa su un consenso generale, sulle funzionalità della piattaforma Azure e sui set di funzionalità disponibili al momento della stesura dell'articolo.

Questo articolo fornisce una tabella di marcia generale verso una postura di sicurezza più forte dopo il deployment, guidata dalla checklist "5 passi per proteggere la tua infrastruttura identita", che ti guida attraverso alcune funzionalità e servizi fondamentali.

Le opinioni e le tecnologie cambiano nel tempo. Questo articolo viene aggiornato regolarmente per riflettere tali modifiche.

Azure le procedure consigliate per la gestione delle identità e la sicurezza del controllo di accesso descritte in questo articolo includono:

• Considerare l'identità come perimetro di sicurezza primario.
• Centralizzare la gestione delle identità.
• Gestisci i tenant connessi.
• Abilitazione di Single Sign-On.
• Attivare l'accesso condizionale.
• Pianificare i miglioramenti della sicurezza di routine.
• Abilitare la gestione delle password.
• Applicare la verifica a più fattori per gli utenti.
• Usare il controllo degli accessi in base al ruolo.
• Minore esposizione degli account con privilegi.
• Controlla le posizioni in cui si trovano le risorse.
• Usare Microsoft Entra ID per l'autenticazione di archiviazione.

Considerare l'identità come perimetro di sicurezza primario

Molti considerano l'identità come il perimetro primario per la sicurezza. Questo cambiamento si sposta rispetto al tradizionale focus sulla sicurezza di rete. I perimetri di rete diventano sempre più porosi, e quella difesa perimetrale non può essere più efficace come prima dell'esplosione dei dispositivi BYOD e delle applicazioni cloud.

Microsoft Entra ID è la soluzione Azure per la gestione delle identità e degli accessi. Microsoft Entra ID è un servizio di gestione delle identità e delle directory multiutente basato sul cloud di Microsoft. Combina in un'unica soluzione servizi di directory importanti, gestione degli accessi alle applicazioni e protezione delle identità.

Le sezioni seguenti elencano le procedure consigliate per la sicurezza delle identità e dell'accesso usando Microsoft Entra ID.

• Centralizza i controlli di sicurezza e i rilevamenti relativi alle identità utente e di servizio: usa Microsoft Entra ID per riunire controlli e identità in un unico punto.

Centralizzare la gestione delle identità

In uno scenario di identità ibrida integrare le directory locali e cloud. L'integrazione consente al team IT di gestire gli account da una posizione, indipendentemente dalla posizione in cui viene creato un account. L'integrazione consente anche agli utenti di essere più produttivi fornendo un'identità comune per l'accesso alle risorse cloud e locali.

• Stabilire una singola istanza di Microsoft Entra. La coerenza e una singola fonte autorevole aumentano la chiarezza e riducono i rischi per la sicurezza derivanti da errori umani e complessità della configurazione: designare una singola directory di Microsoft Entra come origine autorevole per account aziendali e dell'organizzazione.

• Integra le directory locali con Microsoft Entra ID: usa Microsoft Entra Connect per sincronizzare le directory locali con la directory nel cloud.

• Non sincronizzare gli account con Microsoft Entra ID con privilegi elevati nell'istanza di Active Directory esistente: la configurazione predefinita Microsoft Entra Connect esclude solo l'account amministratore predefinito (RID 500). Per proteggere altri account con privilegi elevati, ad esempio Domain Admins ed Enterprise Admins, usare filtri basati su unità organizzative o filtri basati su attributi per escluderli dalla sincronizzazione. Questa configurazione mitiga il rischio che gli aggressori possano spostarsi dal cloud alle risorse locali, il che potrebbe causare un incidente grave.

• Attivare la sincronizzazione dell'hash delle password: la sincronizzazione dell'hash delle password password è una funzionalità usata per sincronizzare gli hash delle password utente da un'istanza di Active Directory locale a un'istanza di Microsoft Entra basata sul cloud. Questa sincronizzazione consente di evitare la riproduzione delle credenziali perse da attacchi precedenti.

  Anche se si decide di usare la federazione con Active Directory Federation Services (AD FS) o altri provider di identità, è possibile configurare facoltativamente la sincronizzazione dell'hash delle password come backup nel caso in cui i server locali non riescano o diventino temporaneamente non disponibili. Questa sincronizzazione consente agli utenti di accedere al servizio usando la stessa password usata per accedere all'istanza di Active Directory locale. Consente inoltre a Identity Protection di rilevare le credenziali compromesse confrontando gli hash delle password sincronizzati con password note per essere compromesse, se un utente usa lo stesso indirizzo di posta elettronica e la stessa password in altri servizi che non sono connessi a Microsoft Entra ID.

  Per ulteriori informazioni, vedere Implementare la sincronizzazione dell'hash delle password con Microsoft Entra Connect Sync.

• Per lo sviluppo di nuove applicazioni, usare Microsoft Entra ID per l'autenticazione: usare le funzionalità seguenti per supportare l'autenticazione.

  • Microsoft Entra ID per i dipendenti.
  • Microsoft Entra B2B per utenti guest e partner esterni.
  • Microsoft Entra per ID esterno di controllare il modo in cui i clienti eseguono l'iscrizione, l'accesso e la gestione dei profili quando usano le applicazioni.

Le organizzazioni che non integrano l'identità locale con l'identità cloud possono avere un sovraccarico maggiore nella gestione degli account. Questo sovraccarico aumenta le probabilità di incorrere in errori e violazioni della sicurezza.

Gestire i tenant connessi

L'organizzazione della sicurezza deve avere visibilità per valutare i rischi e determinare se l'organizzazione segue i criteri e i requisiti normativi. Assicurarsi che l'organizzazione della sicurezza abbia visibilità su tutte le sottoscrizioni connesse all'ambiente di produzione e alla rete (tramite Azure ExpressRoute o VPN da sito a sito). Un amministratore Amministratore globale in Microsoft Entra ID può elevare il proprio accesso al ruolo Amministratore accesso utente e visualizzare tutte le sottoscrizioni e i gruppi gestiti connessi all'ambiente.

Per assicurarsi che l'utente e il gruppo di sicurezza possano visualizzare tutte le sottoscrizioni o i gruppi di gestione connessi all'ambiente, vedere Elevare l'accesso per gestire tutte le sottoscrizioni e i gruppi di gestione Azure. Rimuovere questo accesso con privilegi elevati dopo aver valutato i rischi.

Abilita l'accesso singolo

In un mondo in cui il mobile e il cloud sono al primo posto, abilita l'accesso Single Sign-On (SSO) a dispositivi, app e servizi ovunque, in modo che gli utenti possano essere produttivi ovunque e in qualsiasi momento. Quando si hanno più soluzioni di identità da gestire, questa situazione diventa un problema amministrativo non solo per l'IT, ma anche per gli utenti che devono ricordare più password.

Usando la stessa soluzione di gestione delle identità per tutte le app e le risorse, è possibile ottenere l'accesso SSO. Gli utenti possono usare lo stesso set di credenziali per accedere e accedere alle risorse necessarie, indipendentemente dal fatto che le risorse si trovino in locale o nel cloud.

• Abilita SSO: Microsoft Entra ID estende Active Directory locale al cloud. Gli utenti possono usare l'account aziendale o dell'istituto di istruzione principale per i dispositivi aggiunti a un dominio, le risorse aziendali e tutte le applicazioni Web e SaaS necessarie per svolgere il proprio lavoro. Gli utenti non devono ricordare più set di nomi utente e password. L'accesso alle applicazioni può essere abilitato o revocato automaticamente in base alla loro appartenenza ai gruppi dell'organizzazione e al loro stato di dipendente. È possibile controllare l'accesso ad app della raccolta o app locali sviluppate e pubblicate tramite il proxy di applicazione di Microsoft Entra.

Usare SSO per consentire agli utenti di accedere alle applicazioni SaaS in base all'account aziendale o dell'istituto di istruzione in Microsoft Entra ID. Questa funzionalità si applica non solo alle app SaaS Microsoft, ma anche ad altre app, come Google Apps e Salesforce. È possibile configurare l'applicazione per l'uso di Microsoft Entra ID come provider di identità basato su SAML. Come controllo di sicurezza, Microsoft Entra ID non rilascia un token che consenta agli utenti di accedere all'applicazione a meno che Microsoft Entra ID non conceda loro l'accesso. È possibile concedere l'accesso direttamente o tramite un gruppo che include gli utenti.

Le organizzazioni che non creano un'identità comune per stabilire l'accesso SSO per gli utenti e le applicazioni sono più esposte agli scenari in cui gli utenti hanno più password. Questi scenari aumentano la probabilità che gli utenti riusino le password o usino password vulnerabili.

Attivare l'accesso condizionale

Gli utenti possono accedere alle risorse dell'organizzazione usando un'ampia gamma di dispositivi e app ovunque. Gli amministratori IT assicurano che questi dispositivi soddisfino gli standard per la sicurezza e la conformità. Concentrarsi solo su chi può accedere a una risorsa non è più sufficiente.

Per bilanciare la sicurezza e la produttività, valutare il modo in cui gli utenti accedono a una risorsa prima di prendere una decisione di controllo di accesso. Accesso condizionale di Microsoft Entra soddisfa questo requisito. L'accesso condizionale può prendere decisioni automatizzate di controllo degli accessi in base alle condizioni per l'accesso alle app cloud.

• Gestire e controllare l'accesso alle risorse aziendali: configurare criteri di accesso condizionale comuni Microsoft Entra in base a un gruppo, una posizione e una riservatezza delle applicazioni per le app SaaS e le app connesse Microsoft Entra ID.

• Blocca protocolli di autenticazione legacy: gli utenti malintenzionati sfruttano i punti deboli nei protocolli meno recenti ogni giorno, in particolare per gli attacchi password spray. Configurare l'accesso condizionale per bloccare i protocolli legacy.

Pianificare i miglioramenti della sicurezza di routine

La sicurezza è sempre in continua evoluzione. È importante creare un modo per mostrare regolarmente la crescita e scoprire nuovi modi per proteggere l'ambiente nel framework di gestione delle identità e del cloud.

Identity Secure Score è un set di controlli di sicurezza consigliati che Microsoft pubblica per fornire un punteggio numerico che misura il comportamento di sicurezza e consente di pianificare futuri miglioramenti della sicurezza. È anche possibile visualizzare il punteggio rispetto a quelli in altri settori, nonché alle tendenze nel corso del tempo.

• Pianificare revisioni e miglioramenti della sicurezza di routine in base alle procedure consigliate nel settore: usare la funzionalità Identity Secure Score per classificare i miglioramenti nel tempo.

Abilitare la gestione delle password

Se hai più tenant o vuoi permettere agli utenti di reimpostare le proprie password, usa politiche di sicurezza appropriate per prevenire abusi.

• Configurare la reimpostazione self-service della password per gli utenti: usare la funzionalità di reimpostazione self-service della password di Microsoft Entra ID.

• Monitorare l'utilizzo di SSPR: monitorare gli utenti che effettuano la registrazione tramite il report attività registrazione per la reimpostazione della password di Microsoft Entra ID. La funzionalità di creazione di report fornita da Microsoft Entra ID consente di rispondere alle domande usando report predefiniti. Se si dispone di una licenza appropriata, è anche possibile creare query personalizzate.

• Estendere i criteri password basati sul cloud all'infrastruttura locale: migliorare i criteri delle password nell'organizzazione eseguendo gli stessi controlli per le modifiche delle password locali apportate alle modifiche delle password basate sul cloud. Installare la protezione password di Microsoft Entra per Windows Server Active Directory in locale per estendere all'infrastruttura esistente gli elenchi di password escluse. Gli utenti e gli amministratori che modificano, impostano o reimpostano le password in locale devono rispettare la stessa politica di password degli utenti che operano esclusivamente nel cloud.

Imporre la verifica a più fattori per gli utenti

Richiedere l'autenticazione a più fattori (MFA) per tutti gli utenti. Sono inclusi gli amministratori e altri amministratori dell'organizzazione che possono avere un impatto significativo se il proprio account viene compromesso, ad esempio i responsabili finanziari.

Classificare in ordine di priorità i metodi MFA resistenti al phishing

I metodi di autenticazione resistenti al phishing, ad esempio chiavi di sicurezza FIDO2, passkey, Windows Hello for Business e autenticazione basata su certificati, forniscono la protezione più avanzata da attacchi sofisticati. Questi metodi utilizzano chiavi crittografiche supportate dall'hardware che gli attaccanti non possono intercettare o riprodurre. Microsoft raccomanda di implementare MFA resistente al phishing come base per la sicurezza dell'identità. Per indicazioni, vedere Pianificare una distribuzione di autenticazione senza password resistente al phishing.

Esistono più opzioni per richiedere l'autenticazione a più fattori. L'opzione migliore dipende dagli obiettivi, dall'edizione Microsoft Entra in esecuzione e dal programma di licenza. Per determinare l'opzione migliore, vedere Come richiedere la verifica in due passaggi per un utente. Per informazioni dettagliate sulle licenze e sui prezzi, vedere la pagina dei prezzi Microsoft Entra.

Le opzioni e i vantaggi seguenti consentono di abilitare l'autenticazione a più fattori.

Opzione 1: Abilitare l'autenticazione a più fattori usando le impostazioni predefinite di sicurezza Microsoft Entra

Abilita l'autenticazione a più fattori per tutti gli utenti e i metodi di accesso usando le impostazioni predefinite di sicurezza di Microsoft Entra.

Questa opzione ti aiuta a applicare rapidamente la MFA per tutti gli utenti nel tuo ambiente utilizzando una policy rigorosa per:

• Verificare gli account amministrativi e i metodi di accesso amministrativo.
• Richiedere una verifica MFA tramite Microsoft Authenticator per tutti gli utenti.
• Bloccare i protocolli di autenticazione legacy

Questo metodo è disponibile per tutti i livelli di licenza, ma non puoi combinarlo con le politiche di Accesso Condizionato esistenti. Per altre informazioni, vedere Microsoft Entra impostazioni predefinite per la sicurezza.

Opzione 2: Abilitare l'autenticazione a più fattori modificando lo stato utente

Abilitare l'autenticazione a più fattori modificando lo stato utente è il metodo tradizionale per richiedere la verifica in due passaggi. Questo metodo funziona sia con l'autenticazione multifattore Microsoft Entra nel cloud sia con il server di autenticazione multifattore Azure. Questo metodo richiede agli utenti di eseguire la verifica in due passaggi ogni volta che accedono ed eseguono l'override dei criteri di accesso condizionale.

Per determinare dove deve essere abilitata l'autenticazione a più fattori, vedere Quale versione di autenticazione a più fattori di Microsoft Entra è giusta per la mia organizzazione?

Opzione 3: Abilitare l'autenticazione a più fattori usando un criterio di accesso condizionale

Abilitare l'autenticazione a più fattori usando un criterio di accesso condizionale consente di richiedere la verifica in due passaggi in condizioni specifiche usando l'accesso condizionale. L'accesso di utenti da posizioni diverse, l'uso di dispositivi non attendibili o l'uso di applicazioni considerate rischiose possono essere considerate condizioni specifiche. La definizione di condizioni specifiche in cui si richiede la verifica in due passaggi consente di evitare di chiedere continuamente conferma agli utenti della loro identità, che può risultare spiacevole.

Questa opzione è il modo più flessibile per abilitare la verifica in due fasi per i tuoi utenti. I criteri di accesso condizionale funzionano solo per Microsoft Entra l'autenticazione a più fattori nel cloud ed è una funzionalità premium di Microsoft Entra ID. Per altre informazioni su questo metodo, vedere Distribuire l'autenticazione a più fattori basata sul cloud Microsoft Entra.

Opzione 4: Abilitare l'autenticazione a più fattori usando criteri di accesso condizionale basati sul rischio

Abilitare l'autenticazione a più fattori usando i criteri di accesso condizionale per valutare i criteri di accesso condizionale basati sul rischio.

Questa opzione consente di:

• Rilevare potenziali vulnerabilità che influiscono sulle identità dell'organizzazione.
• Configurare risposte automatiche alle azioni sospette rilevate correlate alle identità dell'organizzazione.
• Esaminare gli eventi imprevisti sospetti ed eseguire l'azione appropriata per risolverli.

Questo metodo utilizza la valutazione del rischio Microsoft Entra ID Protection per determinare se gli utenti debbano effettuare una verifica in due fasi basata sul rischio utente e di accesso per tutte le applicazioni cloud. Questo metodo richiede la licenza Microsoft Entra ID P2. Per altre informazioni su questo metodo, vedere Microsoft Entra ID Protection.

Eseguire la migrazione di account di servizio basati sull'utente alle identità di carico di lavoro

Alcune organizzazioni utilizzano account utente in Microsoft Entra ID come account di servizio per l'automazione. Con l'imposizione obbligatoria dell'autenticazione a più fattori, è fondamentale eseguire la migrazione di questi account del servizio basati sull'utente per proteggere gli account del servizio basati sul cloud con identità del carico di lavoro. Le identità dei carichi di lavoro, incluse le identità gestite e i service principal, sono progettate per scenari di automazione e non richiedono MFA. Queste identità offrono una soluzione più sicura e gestibile. Per indicazioni sulla migrazione, vedere Accedere a Azure con un'identità gestita usando l'interfaccia della riga di comando di Azure e Accedi a Azure PowerShell in modo non interattivo per gli scenari di automazione.

Le organizzazioni che non aggiungono livelli aggiuntivi di protezione delle identità, ad esempio l'autenticazione a più fattori, sono più vulnerabili agli attacchi di furto di credenziali. Un attacco con furto di credenziali comporta il rischio di compromissione dei dati.

Usare il controllo degli accessi in base al ruolo

La gestione degli accessi per le risorse cloud è fondamentale per qualsiasi organizzazione che usa il cloud. Controllo degli accessi in base al ruolo di Azure (Azure RBAC) consente di gestire chi ha accesso alle risorse di Azure, che cosa può fare con tali risorse e a quali aree può accedere.

La progettazione di gruppi o singoli ruoli responsabili di funzioni specifiche in Azure consente di evitare confusione che possono causare errori umani e di automazione che creano rischi per la sicurezza. La limitazione dell'accesso in base alla necessità di conoscere e privilegi minimi è fondamentale per le organizzazioni che vogliono applicare criteri di sicurezza per l'accesso ai dati.

Il team responsabile della sicurezza deve avere visibilità sulla Azure risorse per valutare e correggere i rischi. Se il team di sicurezza ha responsabilità operative, ha bisogno di più permessi per svolgere il proprio lavoro.

È possibile utilizzare Azure RBAC per assegnare autorizzazioni a utenti, gruppi e applicazioni a un determinato ambito. Un ambito di assegnazione di ruolo può essere una sottoscrizione, un gruppo di risorse o una singola risorsa.

• Separare i compiti all'interno del team e concedere agli utenti solo l'accesso necessario per svolgere il proprio lavoro. Anziché concedere a tutti le autorizzazioni senza restrizioni nella sottoscrizione o nelle risorse di Azure, consentire solo determinate azioni in un determinato ambito: usare Azure ruoli predefiniti in Azure per assegnare privilegi agli utenti.

• Concedere ai team di sicurezza con responsabilità in Azure l'accesso per visualizzare le risorse di Azure, in modo che possano valutare e mitigare i rischi: concedere ai team di sicurezza il ruolo Azure RBAC Security Reader. È possibile usare il gruppo di gestione radice o il gruppo di gestione dei segmenti, a seconda dell'ambito delle responsabilità.

  • Gruppo di gestione radice per i team responsabili di tutte le risorse aziendali.
  • Gruppo di gestione dei segmenti per i team con ambito limitato, ad esempio limiti normativi o di altro tipo.

• Concedere le autorizzazioni appropriate ai team di sicurezza che hanno responsabilità operative dirette: esaminare i ruoli predefiniti Azure per l'assegnazione di ruolo appropriata. Se i ruoli predefiniti non soddisfano le esigenze specifiche dell'organizzazione, è possibile creare Azure ruoli personalizzati. Analogamente ai ruoli predefiniti, è possibile assegnare ruoli personalizzati a utenti, gruppi ed entità servizio negli ambiti di sottoscrizione, gruppo di risorse e risorsa.

• Concedere Microsoft Defender per il cloud l'accesso ai ruoli di sicurezza necessari. Defender per il cloud aiuta i team di sicurezza a identificare e risolvere rapidamente i rischiaggiungere i team di sicurezza con queste esigenze al ruolo Security Admin di Azure RBAC, così potranno visualizzare e modificare i criteri di sicurezza, oltre a visualizzare e ignorare avvisi e raccomandazioni. Utilizzare il gruppo di gestione delle radici o il gruppo di gestione dei segmenti, a seconda dell'ambito delle responsabilità.

Le organizzazioni che non applicano il controllo di accesso ai dati tramite funzionalità come il controllo degli accessi in base al ruolo di Azure (Azure RBAC) potrebbero concedere agli utenti più privilegi del necessario. Questo accesso può portare a compromesse dei dati permettendo agli utenti di accedere a tipi di dati, come quelli ad alto impatto aziendale, che non dovrebbero avere.

Diminuire l'esposizione degli account con privilegi

La protezione dell'accesso con privilegi è il primo fondamentale passo per proteggere le risorse aziendali. Riducendo al minimo il numero di utenti che hanno accesso a informazioni o risorse protette riduce le probabilità che un utente malintenzionato acceda al sistema, o che un utente autorizzato comprometta inavvertitamente una risorsa sensibile.

Gli account con privilegi sono gli account che amministrano e gestiscono i sistemi IT. Gli utenti malintenzionati usano questi account per ottenere l'accesso ai dati e ai sistemi di un'organizzazione. Per proteggere l'accesso privilegiato, isola account e sistemi dal rischio di esposizione a un utente malintenzionato.

Sviluppare e seguire una roadmap per proteggere l'accesso con privilegi contro gli utenti malintenzionati. Per informazioni sulla creazione di una roadmap dettagliata per proteggere le identità e l'accesso gestiti o segnalati in Microsoft Entra ID, Microsoft Azure, Microsoft 365 e altri servizi cloud, vedere Protezione dell'accesso con privilegi per le distribuzioni ibride e cloud in Microsoft Entra ID.

Di seguito sono riepilogate le procedure consigliate disponibili in Securing privileged access for hybrid and cloud deployments in Microsoft Entra ID:

• Gestire, controllare e monitorare l'accesso agli account con privilegi: attiva Microsoft Entra Privileged Identity Management. Dopo aver attivato la Privileged Identity Management, ricevi messaggi email di notifica per i cambiamenti del ruolo di accesso privilegiato. Queste notifiche forniscono un allarme precoce quando più utenti vengono aggiunti a ruoli altamente privilegiati nella tua directory.

• Assicurarsi che tutti gli account amministratore critici siano gestiti Microsoft Entra account: rimuovere tutti gli account consumer, ad esempio account di Microsoft come hotmail.com, live.com e outlook.com, dai ruoli di amministratore critici.

• Assicurati che tutti i ruoli amministrativi critici abbiano un account separato per le attività amministrative, per evitare phishing e altri attacchi che compromettono i privilegi amministrativi: crea un account amministratore separato a cui vengano assegnati i privilegi necessari per svolgere le attività amministrative. Bloccare l'uso di questi account amministrativi per strumenti di produttività giornalieri, ad esempio Microsoft 365 posta elettronica o esplorazione Web arbitraria.

• Identificare e classificare gli account con privilegi elevati: dopo aver attivato Microsoft Entra Privileged Identity Management, visualizzare gli utenti che si trovano nell'amministratore globale, nell'amministratore con privilegi e in altri ruoli con privilegi elevati. Rimuovere tutti gli account che non sono più necessari in tali ruoli. Classificare gli account rimanenti assegnati ai ruoli di amministratore.

  • Assegnati individualmente agli utenti amministrativi e disponibili per scopi non amministrativi, come email personale.
  • Assegnato singolarmente agli utenti amministratori e designato solo per scopi amministrativi.
  • Condiviso tra più utenti.
  • Per scenari di accesso di emergenza.
  • Per gli script automatizzati.
  • Per gli utenti esterni.

• Implementa l'accesso "just in time" (JIT) per ridurre ulteriormente il tempo di esposizione dei privilegi e aumentare la tua visibilità sull'uso degli account privilegiati: Microsoft Entra Privileged Identity Management ti aiuta a eseguire le seguenti azioni.

  • Limitare gli utenti a accettare solo i propri privilegi JIT.
  • Assegnare i ruoli per un periodo di tempo ridotto sapendo che i privilegi vengono revocati automaticamente.

• Definire almeno due account di accesso di emergenza: gli account di accesso di emergenza consentono alle organizzazioni di limitare l'accesso con privilegi in un ambiente di Microsoft Entra esistente. Questi account hanno privilegi elevati e non sono assegnati a utenti specifici. Gli account di accesso di emergenza sono limitati agli scenari in cui non è possibile usare gli account amministrativi normali. Le organizzazioni devono limitare l'utilizzo dell'account di emergenza solo alla quantità di tempo necessaria.

Valutare gli account assegnati o idonei per il ruolo di amministratore globale. Se non sono presenti account solo cloud con il dominio *.onmicrosoft.com per l'accesso di emergenza, crearli. Per altre informazioni, vedere Gestione degli account amministrativi di accesso di emergenza in Microsoft Entra ID.

• Avere un processo di "break glass" in atto in caso di emergenza: seguire i passaggi descritti in Protezione dell'accesso con privilegi per le distribuzioni ibride e cloud in Microsoft Entra ID.

• Richiedere che tutti gli account amministratori critici siano senza password (preferibile), oppure richiedere autenticazione multifattore: Usa l'app Microsoft Authenticator per accedere a qualsiasi account Microsoft Entra senza usare una password. Come Windows Hello for Business, il Microsoft Authenticator usa l'autenticazione basata su chiave per abilitare le credenziali utente associate a un dispositivo e usa l'autenticazione biometrica o un PIN.

Richiedere l'autenticazione a più fattori di Microsoft Entra all'accesso per tutti i singoli utenti assegnati in modo permanente a uno o più ruoli di amministratore Microsoft Entra: amministratore globale, amministratore dei ruoli con privilegi, amministratore di Exchange Online e amministratore di SharePoint Online. Abilita l'autenticazione multifattore per i tuoi account amministratori e assicurati che gli utenti degli account amministratori si registrino.

• Per gli account amministrativi critici, usare una workstation amministrativa dedicata sulla quale non siano consentite attività operative, come la navigazione web e la posta elettronica. Questa configurazione protegge gli account amministratore da vettori di attacco che usano l'esplorazione e la posta elettronica e riduce significativamente il rischio di un evento imprevisto grave: usare una workstation di amministrazione. Scegliere un livello di sicurezza della workstation.

  • I dispositivi di produttività altamente sicuri offrono sicurezza avanzata per l'esplorazione e altre attività di produttività.
  • Le workstation con accesso privilegiato forniscono un sistema operativo dedicato protetto da attacchi Internet e vettori di minacce per le attività sensibili.

• Disattivate o rimuovete gli account amministratore quando i dipendenti lasciano l'organizzazione: predisponete una procedura per disabilitare o eliminare gli account amministratore quando i dipendenti lasciano l'organizzazione.

• Testare regolarmente gli account amministratore usando tecniche di attacco correnti: usare Microsoft 365 simulatore di attacco o un'offerta di terze parti per eseguire scenari di attacco realistici nell'organizzazione. Ciò consente di trovare utenti vulnerabili prima che si verifichi un attacco reale.

• Eseguire i passaggi per attenuare le tecniche di attacco usate più di frequente.

  • Identificare gli account Microsoft in ruoli amministrativi per cui è necessario passare ad account aziendali o dell'istituto di istruzione.
  • Assicurarsi di separare gli account utente e l'inoltro della posta per gli account di amministratore globale.
  • Assicurarsi che le password degli account amministrativi siano state modificate di recente.
  • Attivare la sincronizzazione dell'hash delle password.
  • Richiedere l'autenticazione a più fattori per gli utenti in tutti i ruoli con privilegi e gli utenti esposti.
  • Ottenere il punteggio di sicurezza Microsoft 365 (se si usa Microsoft 365).
  • Consultare le linee guida sulla sicurezza di Microsoft 365, se si utilizza Microsoft 365.
  • Configurare il monitoraggio delle attività di Microsoft 365 (se si utilizza Microsoft 365).
  • Definire i responsabili del piano di risposta agli incidenti/alle emergenze.
  • Proteggere gli account amministrativi con privilegi locali.

Se non si protegge l'accesso con privilegi, è possibile che siano presenti troppi utenti con ruoli con privilegi elevati e siano più vulnerabili agli attacchi. Gli attori malintenzionati, inclusi gli attaccanti informatici, spesso prendono di mira gli account amministratore e altri elementi di accesso privilegiato per ottenere l'accesso a dati e sistemi sensibili usando il furto di credenziali.

Controllare le posizioni in cui vengono create le risorse

È importante consentire agli operatori cloud di eseguire attività impedendo loro di interrompere le convenzioni necessarie per gestire le risorse dell'organizzazione. Le organizzazioni che vogliono controllare le località in cui vengono create le risorse devono definirle in modo statico.

È possibile usare Azure Resource Manager per creare criteri di sicurezza le cui definizioni descrivono le azioni o le risorse negate. Queste definizioni di criteri vengono assegnate all'ambito desiderato, ad esempio la sottoscrizione, il gruppo di risorse o una singola risorsa.

Le organizzazioni che non controllano la modalità di creazione delle risorse sono più vulnerabili agli utenti che potrebbero abusare del servizio creando più risorse di quelle necessarie. La protezione avanzata del processo di creazione delle risorse è un passaggio importante per proteggere uno scenario multi-tenant.

Monitorare attivamente le attività sospette

Un sistema di monitoraggio delle identità attivo può rilevare rapidamente comportamenti sospetti e attivare un avviso per ulteriori indagini. L'elenco seguente include Microsoft Entra funzionalità che consentono alle organizzazioni di monitorare le identità:

• Usare un metodo per identificare le attività di accesso sospette: monitorare i tentativi di accesso senza essere tracciati, attacchi di forza bruta contro un determinato account, tentativi di accesso da più posizioni, accessi da dispositivi infetti e indirizzi IP sospetti. Usare i report di anomalie di Microsoft Entra ID P1 o P2. Disporre di processi e procedure per consentire agli amministratori IT di eseguire questi report su base giornaliera o su richiesta (in genere in uno scenario di risposta agli eventi imprevisti).

• Avere un sistema di monitoraggio attivo che notifica i rischi e può modificare il livello di rischio (alto, medio o basso) ai requisiti aziendali: usare Microsoft Entra ID Protection, che contrassegna i rischi correnti nel proprio dashboard e invia notifiche di riepilogo giornaliere tramite posta elettronica. Per aiutare a proteggere l'identità della tua organizzazione, puoi configurare policy basate sul rischio che rispondano automaticamente ai rischi rilevati quando si raggiunge un livello di rischio specificato.

Le organizzazioni che non monitorano attivamente i propri sistemi di identità sono a rischio di compromissione delle credenziali utente. Senza sapere che le attività sospette vengono eseguite tramite queste credenziali, le organizzazioni non possono attenuare questo tipo di minaccia.

Usare Microsoft Entra ID per l'autenticazione di archiviazione dati

Archiviazione di Azure supporta l'autenticazione e l'autorizzazione con Microsoft Entra ID per l'archiviazione BLOB e l'archiviazione code. Usando l'autenticazione di Microsoft Entra è possibile usare il controllo degli accessi in base al ruolo di Azure per concedere autorizzazioni specifiche a utenti, gruppi e applicazioni fino all'ambito di un singolo contenitore BLOB o di una coda.

Usare Microsoft Entra ID con identità gestite per autorizzare le richieste a Archiviazione di Azure, quando possibile.

Passaggi successivi

• Per altre procedure consigliate per la sicurezza da usare durante la progettazione, la distribuzione e la gestione delle soluzioni cloud con Azure, vedere Procedure consigliate e modelli di sicurezza di Azure.
• Esaminare i controlli Microsoft Cloud Security Benchmark v2 (anteprima) - Gestione delle Identità per indicazioni complete sulla sicurezza delle identità con mappature di Criteri di Azure.
• Informazioni sull'iniziativa SFI (Secure Future Initiative) di Microsoft, sulle procedure consigliate per la sicurezza interna di Microsoft per proteggere identità e segreti che Microsoft consigliano anche ai clienti.