Punti chiave
- I client non gestiti che si collegano all’ambiente ActiveSync di un’organizzazione possono comportare rischi e creare punti ciechi nella sicurezza.
- Riduci i rischi creando una struttura che gestisca e mantenga i dati sui dispositivi per valutarne la conformità e stabilire quali vanno aggiornati, messi in quarantena o dismessi.
- Passaggi per ottenere i dettagli dei dispositivi ActiveSync e mantenere questa documentazione:
- Inventario di tutti i dispositivi ActiveSync
- Arricchimento con dati di utilizzo e sincronizzazione
- Individuazione dei dispositivi legacy o non conformi
- Normalizzazione, registrazione ed esportazione dei dati
- Automazione e gestione sicura dei dispositivi ActiveSync
- Avvio delle azioni di follow-up
- Come NinjaOne supporta la creazione dei dati sui dispositivi ActiveSync: distribuzione e pianificazione dei processi, gestione delle credenziali, esportazione e allegato dei log, automazione dei ticket e schede della dashboard
- Mantieni dati accurati sui dispositivi ActiveSync per garantire che i dispositivi collegati agli ambienti ActiveSync soddisfino i requisiti di accesso e di policy definiti nella tua struttura di sicurezza.
Microsoft ActiveSync è uno strumento essenziale per collegare Microsoft Exchange ai dispositivi mobili. Ma con minacce sempre più sofisticate in agguato, mantenere sicura la connessione tra Microsoft Exchange e i dispositivi mobili è fondamentale. Un modo per aumentare la protezione consiste nel verificare che tutti i client siano affidabili, creando una struttura che controlli costantemente le associazioni ActiveSync.
In questa guida ti mostriamo come usare il cmdlet Microsoft Get-ActiveSyncDevice e i cmdlet correlati per eseguire controlli periodici, ottenendo dati dettagliati e accurati sui dispositivi e combinandoli con pratiche di reporting moderne. Questo flusso di lavoro favorisce l’igiene degli accessi, l’applicazione delle policy e la dismissione dei client obsoleti.
In sintesi
| Attività | Scopo e vantaggi |
| Attività 1: elencare tutti i dispositivi ActiveSync | Questa attività produce un set di dati che costituisce la base per le azioni di enforcement, i controlli sui dispositivi inattivi e le valutazioni sulla dismissione dei client. |
| Attività 2: arricchire i dati con informazioni di utilizzo e sincronizzazione | Questa attività trasforma le voci grezze dei dispositivi in elementi concreti su cui agire per le decisioni di ciclo di vita e conformità. |
| Attività 3: individuare i dispositivi legacy o non conformi | Questo passaggio stabilisce le priorità delle azioni correttive, come la nuova registrazione dell’utente, la rimozione del dispositivo o l’aggiornamento dei client. |
| Attività 4: normalizzare, registrare ed esportare | Consente ad auditor, team di sicurezza e clienti MSP di confrontare le esecuzioni nel tempo e di verificare la riduzione dei dispositivi a rischio. |
| Attività 5: automatizzare e operare in sicurezza | Questa attività garantisce l’accesso costante a dati aggiornati sui dispositivi senza carichi operativi aggiuntivi. |
| Attività 6: avviare le azioni di follow-up | Questo chiude il cerchio tra reporting, conformità e riduzione del rischio. |
Prerequisiti:
Prima di procedere con le attività, devi considerare questi aspetti:
- Modulo Exchange Online PowerShell e ruoli necessari per interrogare i dispositivi mobili
- Credenziali sicure o autenticazione app-only per le esecuzioni non presidiate
- Percorso centralizzato per CSV, JSON e log di esecuzione
- Matrice di policy definita per gli stati consentito, in quarantena e bloccato dei dispositivi
Attività 1: elencare tutti i dispositivi ActiveSync
Per iniziare, devi inventariare tutti i dispositivi che usano ActiveSync eseguendo il cmdlet Get-ActiveSyncDevice. Get-ActiveSyncDevice mostra le relazioni dirette tra dispositivi e cassette postali. Ecco come ottenere un set di dati attendibile per tutte le analisi successive:
- Connettiti a Exchange Online tramite PowerShell.
- Recupera l’elenco completo dei dispositivi eseguendo il comando di inventario completo:
Get-ActiveSyncDevice -ResultSize Unlimited |
Select-Object Identity, UserDisplayName, DeviceType, DeviceModel, DeviceOS, DeviceAccessState, DeviceAccessStateReason, ClientVersion, WhenChanged
- Registra i totali e aggiungi TenantId, il timestamp AsOf e la versione dello script a tutti i record.
- Questo cmdlet fornisce un’associazione diretta tra dispositivi e cassette postali e funge da riferimento di base per le analisi successive.
Attività 2: arricchire i dati con informazioni di utilizzo e sincronizzazione
In questa attività userai il cmdlet Get-MobileDeviceStatistics per recuperare i dettagli su sincronizzazione e stato delle policy dei dispositivi mobili associati a una specifica cassetta postale, arricchendo ogni record con un contesto più approfondito e raccogliendo informazioni più dettagliate su attività, inattività o aggiornamento delle policy.
Ecco i passaggi:
- Connettiti a Exchange Online PowerShell.
- Scorri ogni cassetta postale o dispositivo eseguendo questo comando:
Get-MobileDeviceStatistics -Mailbox <user> |
Select-Object DeviceFriendlyName, LastSuccessSync, LastPolicyUpdateTime, ClientInformation
- Unisci i risultati all’inventario di base (Attività 1) usando DeviceId e UserPrincipalName.
- Calcola i seguenti dati:
- Età del dispositivo
- Intervallo dall’ultima sincronizzazione
- Categoria di inattività (30/60/90+ giorni)
Attività 3: individuare i dispositivi legacy o non conformi
In questo passaggio valuterai ogni dispositivo per stabilire se soddisfa ancora i requisiti di conformità. Ecco le azioni da compiere:
- Segnala i dispositivi se:
- Usano versioni OS non aggiornate
- Usano stringhe ClientVersion obsolete
- Contrassegna i dispositivi che usano ancora l’autenticazione di base o legacy (confrontandoli con il tuo riferimento di base “disattiva l’autenticazione legacy”).
- Individua i dispositivi inattivi o quelli in stato di quarantena permanente o bloccato.
- Dai priorità alla pulizia o alla nuova registrazione degli utenti in base alle policy.
Attività 4: normalizzare, registrare ed esportare
Le azioni successive puntano a mantenere un controllo coerente normalizzando ogni campo di output, applicando convenzioni di denominazione uniformi ed esportando i dati in più formati.
Ecco come fare:
- Standardizza tutti i campi:
- DeviceOSVersion
- LastSuccessSync
- State
- ActionRequired
- Esporta i risultati:
- CSV per le revisioni operative
- JSON per dashboard o strumenti di raccolta log
- Scrivi un log di esecuzione che riepiloghi quanto segue:
- Parametri
- Numero di record
- Durata
- Conserva almeno 12 mesi di risultati per l’analisi degli andamenti.
Attività 5: automatizzare e operare in sicurezza
Questa attività riguarda le operation MSP multi-tenant di livello enterprise, perché i controlli manuali sono sconsigliati negli ambienti su larga scala. Ecco come creare una struttura di automazione per la gestione dei dispositivi ActiveSync:
- Usa l’autenticazione app-only e la paginazione dei set di risultati estesi per evitare il throttling.
- Aggiungi una logica di ripetizione per gli errori temporanei e mantieni output idempotenti.
- Pianifica inventari settimanali e delta mensili per monitorare la crescita.
- Integra i flussi di lavoro di conformità o di avviso per i dispositivi legacy e inattivi.
Attività 6: avviare le azioni di follow-up
Per completare la struttura, devi applicare la governance rafforzando sia la sicurezza sia i flussi di lavoro operativi. Ecco le azioni da compiere:
- Comunicazione agli utenti: invia una notifica e le istruzioni di configurazione agli utenti i cui dispositivi richiedono un aggiornamento o una nuova registrazione.
- Remediation: rimuovi le associazioni inattive o applica una policy di quarantena automatizzata con approvazione.
- Convalida della sicurezza: allinea i risultati con l’accesso condizionale e le verifiche di backup di Exchange Online.
- Governance: collega le metriche alla prevenzione del password spray e alle restrizioni sulle cassette postali condivise.
Tabella riepilogativa delle best practice
| Pratica | Scopo | Vantaggio ottenuto |
| Combinare Get-ActiveSyncDevice e Get-MobileDeviceStatistics | Contesto completo | Copertura di dispositivo, OS e attività |
| Segnalare i client inattivi e legacy | Riduzione del rischio | Meno vie d’attacco e meno problemi di sincronizzazione |
| Normalizzare ed esportare | Verificabilità | Confronti semplici e reporting di conformità |
| Autenticazione basata su app | Sicurezza | Automazione sicura su larga scala |
| Analisi degli andamenti | Miglioramento continuo | Riduzione verificabile dei dispositivi a rischio |
Esempio di punto di contatto con l’automazione
Puoi usare l’automazione per semplificare la creazione, la gestione e la manutenzione dei dati sui dispositivi ActiveSync. Ecco alcuni esempi:
- Un processo pianificato scorre le cassette postali
- La raccolta dei dati sui dispositivi tramite Get-ActiveSyncDevice e Get-MobileDeviceStatistics
- Il consolidamento e la normalizzazione dei risultati
- Il calcolo delle categorie di rischio e la scrittura di CSV, JSON e di un file di log
- L’invio via e-mail di un riepilogo con client legacy, dispositivi inattivi e candidati alla quarantena
Integrazione con NinjaOne
NinjaOne mette a disposizione strumenti e funzionalità che semplificano la prevenzione del furto di dati da parte dei dipendenti.
| Servizio NinjaOne | Di cosa si tratta | Come aiuta a prevenire il furto di dati da parte dei dipendenti |
| Distribuzione e pianificazione dei processi | Pianifica ed esegue processi PowerShell | Automatizza la raccolta dei dati sui dispositivi tra le cassette postali |
| Gestione delle credenziali | Archivia le credenziali in modo sicuro | Garantisce un accesso sicuro alle cassette postali per il recupero dei dati sui dispositivi |
| Creazione dei ticket | Abilita flussi di lavoro di creazione dei ticket per i dispositivi segnalati | Supporta la creazione di ticket tramite script o report per i dispositivi inattivi, legacy o in quarantena |
| Schede della dashboard | Schede visive nella dashboard di NinjaOne | Mostra il numero di dispositivi, l’aggiornamento delle sincronizzazioni ricavato dai controlli ActiveSync eseguiti via script e la riduzione degli endpoint a rischio per ogni tenant |
Guida rapida
Per recuperare su larga scala i dettagli dei dispositivi ActiveSync con PowerShell in NinjaOne, in genere devi:
- Creare uno script PowerShell personalizzato nella libreria di automazione
- Usare i cmdlet di Exchange Management Shell per interrogare i dispositivi ActiveSync
- Pianificare l’esecuzione dello script su tutto l’ambiente Exchange
- Salvare i risultati in campi personalizzati o esportarli in CSV per l’analisi
Gestire e mantenere i dati sui dispositivi ActiveSync
Una documentazione ben curata dei dati sui dispositivi ActiveSync aiuta MSP e team IT a capire quali dispositivi vanno dismessi, così da avere un inventario accurato. Questo contribuisce anche a mantenere l’igiene di Exchange Online, per una postura di sicurezza più solida e affidabile.
Punti chiave
- Usa Get-ActiveSyncDevice e Get-MobileDeviceStatistics per una visione completa dei dispositivi.
- Individua i client legacy, le build OS non aggiornate e le associazioni inattive da correggere.
- Normalizza ed esporta i dati con timestamp e ID tenant per controlli ripetibili.
- Automatizza con l’autenticazione basata su app e la gestione degli errori.
- Collega i risultati ai miglioramenti della postura di sicurezza e alle dashboard di conformità.
Usa il cmdlet Microsoft Get-ActiveSyncDevice e segui le altre best practice per garantire un inventario dei dispositivi ActiveSync conforme.
Argomenti correlati:
