Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Microsoft ha definito e operativizzato un set di controlli fondamentali che riducono in modo misurabile l'esposizione su larga scala, e la maggior parte delle intrusioni è ancora riconducibile al fatto che le organizzazioni semplicemente non le abilitano. Usa la modalità di sicurezza della baseline Microsoft (BSM) per applicare queste impostazioni predefinite nelle app di Microsoft 365 e Microsoft Entra, con simulazione dell'impatto prima dell'imposizione. Eseguire quindi l'Zero Trust Assessment per produrre un elenco supportato da evidenze, con punteggi delle lacune relative a identità, dispositivi, dati e rete, in modo da poter prioritizzare prima le correzioni di maggior valore e iniziare a ridurre il rischio ora. Gli attori delle minacce non attendono il ciclo di pianificazione successivo.
L'obiettivo è la copertura, non la perfezione: ottenere ogni tenant in una linea di base defensibile tra identità, dispositivo, dati, rete e server, anziché un'eccellenza personalizzata in un pilastro, mentre gli altri rimangono non gestiti. La protezione dei pochi account che contengono ruoli con privilegi dà risultati più rapidamente di qualsiasi altro controllo; la compromissione di un singolo amministratore globale può compromettere l'intero tenant. Attivare le impostazioni di diagnostica per Microsoft Entra, Microsoft Intune e Firewall di Azure e trasmetterle a un'area di lavoro a cui si esegue effettivamente una query: i log che non invii, non puoi analizzare.
Eseguire questi passaggi
Abilitare la modalità di sicurezza baseline. BSM è disponibile per tutti i clienti di Microsoft 365, quindi verificare se è già in esecuzione. In caso contrario, attivarlo oggi. Vedere Impostazioni della modalità di sicurezza di base.
Eseguire il Zero Trust Assessment ed elaborare l'elenco delle lacune. Ottenere una valutazione automatizzata del comportamento del tenant tra identità, dati, dispositivi e rete. Ogni controllo viene calcolato in base al livello di rischio, all'impatto dell'utente e al costo di implementazione, quindi iniziare dove la riduzione del rischio è elevata e i costi sono bassi, quindi lavorare verso l'esterno. Il controllo manuale di questi controlli è lento e soggetto a errori; si tratta dell'automazione. Per ulteriori informazioni, vedere:
I tre indici fondamentali su cui viene eseguita la valutazione sono:
- Configurare Microsoft Entra per una maggiore sicurezza: indice entra-side.
- Configurare Microsoft Intune per una maggiore sicurezza—indice da parte di Intune.
- Configurare Microsoft Purview per una maggiore sicurezza: indice lato Microsoft Purview.
Distribuire le baseline di sicurezza di Intune per gli endpoint. Applicare le configurazioni consigliate di Microsoft per Windows, Microsoft Edge, Defender per endpoint e Windows 365. Queste baseline riflettono le impostazioni convalidate dai team di sicurezza Microsoft e segnalano la conformità direttamente in Intune. La registrazione di Intune è anche il prerequisito per il controllo delle identità più efficace disponibile, ovvero l'accesso condizionale che richiede un dispositivo gestito conforme, quindi considerare i dispositivi come identità e pianificare la registrazione di conseguenza. Per altre informazioni, vedere Usare le baseline di sicurezza per proteggere i dispositivi Windows gestiti con Microsoft Intune.
Applicare le baseline di sicurezza di Azure per i servizi cloud. Usare il dashboard di conformità alle normative di Microsoft Defender for Cloud per misurare i carichi di lavoro di Azure, AWS e GCP rispetto a Microsoft Cloud Security Benchmark (MCSB). Per ulteriori informazioni, vedere:
Applicare le baseline di accesso condizionale o le impostazioni predefinite per la sicurezza, non entrambe. I tenant nuovi o di piccole dimensioni devono mantenerle attive le impostazioni predefinite per la sicurezza. I tenant in Microsoft Entra ID P1/P2 devono disabilitare le impostazioni predefinite di sicurezza e distribuire i modelli di accesso condizionale gestito da Microsoft per applicare l'autenticazione a più fattori (MFA), bloccare l'autenticazione legacy e richiedere dispositivi conformi, i controlli identità più interessati con una configurazione minima.
Rafforzare i server a livello di sistema operativo. Applicare le baseline di sicurezza OSConfig a Windows Server 2025 (
MemberServer,WorkgroupMember,DomainControllerscenari), oltre a SecuredCore e Microsoft Defender Antivirus, e applicare le baseline di configurazione guest dei criteri di Azure agli host Windows Server 2022/2019/2016/2012, Linux, CIS Linux e Docker. Entrambi vengono esaminati e corretti e i risultati delle vulnerabilità nella configurazione di sicurezza dei computer sono resi evidenti nella raccomandazione "Le vulnerabilità nella configurazione della sicurezza sui tuoi computer dovrebbero essere risolte" di Defender for Cloud. Per ulteriori informazioni, vedere:
Tenere traccia della postura con superfici di punteggio integrate
Una volta posizionati i controlli, tenere traccia del comportamento nel tempo usando le superfici di punteggio predefinite. Non ricompilarle:
- Microsoft Secure Score: comportamento a livello di tenant tra identità, dati, dispositivi, app e infrastruttura nel portale di Microsoft Defender.
- Identity Security Initiative: fornisce il comportamento e le raccomandazioni per applicazioni Microsoft Entra, Active Directory, software as a Service (SaaS) e provider di identità non Microsoft e vengono visualizzati in Microsoft Security Exposure Management, Microsoft Secure Score e nell'interfaccia di amministrazione di Microsoft Entra. Richiede Defender per l'identità e Defender per le app Cloud.
- Microsoft Cloud Security Benchmark in Defender for Cloud: comportamento per carichi di lavoro di Azure, AWS e GCP, misurati rispetto a MCSB. La versione più recente, attualmente in versione di anteprima, aggiunge un dominio di sicurezza IA che copre più di 420 controlli su oltre 65 servizi.
- Rapporto di Valutazione Zero Trust: prove a tempo puntualizzato in Microsoft Entra, Microsoft Intune e Microsoft Purview, con rischio per controllo, impatto sugli utenti e costi di implementazione.
Accelerare con gli agenti basati su intelligenza artificiale
- L'agente di ottimizzazione dell'accesso condizionale in Microsoft Entra è una funzionalità basata sull'intelligenza artificiale che monitora continuamente i criteri di accesso condizionale per identificare le lacune di copertura, i conflitti di criteri e le opportunità di ottimizzazione, consigliando perfezionamenti che rafforzano i controlli di accesso Zero Trust senza compromettere la produttività degli utenti. Per altre informazioni, vedere Microsoft Entra Conditional Access Optimization Agent.
- L'agente di configurazione dei criteri in Microsoft Intune è una funzionalità basata sull'intelligenza artificiale che interpreta i framework normativi, le linee di base di conformità e i documenti dei criteri caricati, ad esempio guide all'implementazione tecnica della sicurezza (STIG), Center for Internet Security (CIS) benchmark e linee guida NIST (National Institute of Standards and Technology) e li converte in criteri di catalogo delle impostazioni di Intune interattivi, riducendo il lavoro di configurazione manuale e la deriva dei criteri. Per altre informazioni, vedere Agente di configurazione dei criteri in Microsoft Intune.
- L'agente di revisione delle modifiche in Microsoft Intune è una funzionalità basata sull'intelligenza artificiale che valuta le richieste di approvazione multiamministratore per gli script di PowerShell eseguendo analisi basate sui rischi usando segnali di Microsoft Defender, Microsoft Entra ID e Intune, fornendo informazioni contestuali che consentono agli amministratori di prendere decisioni informate di approvazione o negazione. Per altre informazioni, vedere Panoramica dell'agente di revisione delle modifiche.