Punti chiave
- Monitoraggio continuo delle autorizzazioni di Microsoft 365: tenere sotto controllo con regolarità le modifiche alle autorizzazioni in SharePoint, OneDrive e Teams aiuta gli amministratori IT e gli MSP a individuare rischi per la privacy o esposizioni dei dati prima che si trasformino in violazioni della sicurezza.
- Automatizza il tracciamento delle autorizzazioni con script PowerShell: integrare l’automazione PowerShell con i log di controllo di Microsoft 365 garantisce visibilità quotidiana sulle modifiche agli accessi, consentendo rilevamento e risposta più rapidi.
- Implementa flussi di lavoro di avviso e correzione: notifiche automatiche, report e ticket all’Helpdesk assicurano un intervento tempestivo quando si verificano modifiche sospette alle autorizzazioni. Le piattaforme di automazione per MSP possono revocare gli accessi o avviare verifiche di sicurezza.
- Grazie alle integrazioni con terze parti, i tecnici possono monitorare in sicurezza i tenant Microsoft 365, tenere traccia della conformità dei dispositivi Intune e consolidare i dati degli utenti M365 direttamente nella console NinjaOne.
Monitorare le modifiche alle autorizzazioni nelle risorse condivise di Microsoft 365, tra cui SharePoint, OneDrive e Teams, è parte integrante di un approccio proattivo alla sicurezza. Gli amministratori IT e i managed service provider (MSP) devono avere piena visibilità sull’infrastruttura Microsoft 365 di cui sono responsabili, in modo da poter individuare e correggere vulnerabilità di sicurezza e rischi di conformità prima che producano conseguenze.
Per monitorare le modifiche alle autorizzazioni nelle risorse condivise di Microsoft 365, attiva il controllo in Microsoft Purview, interroga ogni giorno il log di controllo unificato con PowerShell e usa PnP PowerShell per individuare siti, elenchi e raccolte di SharePoint con autorizzazioni univoche. Indirizza qualsiasi anomalia verso un avviso o un ticket, così la persona giusta può verificare o revocare l’accesso rapidamente.
Questa guida spiega come usare lo scripting PowerShell e l’automazione per mantenere visibilità e tenere traccia delle modifiche alle autorizzazioni in SharePoint. Il tutto può poi essere integrato con i tuoi strumenti MSP per generare report e inviare notifiche, assicurando che le parti interessate vengano informate e possano reagire non appena viene rilevato un potenziale problema.
Gestisci gli endpoint registrati in Intune direttamente da NinjaOne.
Scopri di più sull’integrazione di NinjaOne con Microsoft Intune
Componenti e passaggi necessari per monitorare le modifiche alle autorizzazioni in SharePoint
I processi descritti di seguito permettono di implementare il tracciamento delle autorizzazioni in SharePoint, sia per la tua organizzazione sia per i clienti del tuo MSP. Ti serviranno l’accesso a PowerShell per Microsoft 365 e a Microsoft Graph, oltre alle funzionalità di automazione, reporting e notifica della tua piattaforma MSP.
Tenendo conto delle informazioni di questa guida nel tuo piano di monitoraggio delle modifiche alle autorizzazioni in Microsoft 365, individuerai le best practice e i vantaggi seguenti:
| Componente del monitoraggio delle modifiche alle autorizzazioni | Scopo/valore |
| Tipi di autorizzazioni ad alto rischio definiti | Riduce il rumore e migliora la precisione del rilevamento |
| Integrazione con i log di controllo di Microsoft 365 | Sfrutta gli strumenti nativi per ottenere informazioni senza complicazioni |
| Scripting PnP per SharePoint | Automatizza l’individuazione dell’ereditarietà interrotta |
| Soglie di avviso per singolo cliente | Adatta i flussi di lavoro ai diversi livelli di sensibilità dei clienti |
| Cicli di notifica e correzione | Colma le lacune e aumenta la fiducia delle parti interessate |
Passaggio 1: definisci cosa monitorare
Devi individuare le informazioni sensibili da proteggere (un elemento centrale del processo di protezione dei dati è mantenere un catalogo aggiornato dei dati in tuo possesso e di dove sono archiviati) e concentrarti sugli scenari di modifica ad alto rischio quando decidi cosa monitorare.
In SharePoint conviene concentrarsi sui nuovi accessi concessi a dati sensibili, sulle modifiche e sulle eliminazioni dei gruppi di SharePoint e sull’ereditarietà delle autorizzazioni interrotta, oltre che sull’assegnazione di privilegi amministrativi o comunque elevati. Vanno monitorati anche l’accesso guest e la condivisione in OneDrive. In Microsoft Teams, tieni traccia delle modifiche di proprietà e di appartenenza nei canali che possono dare accesso a comunicazioni riservate o file condivisi.
Usa NinjaOne RMM per automatizzare e verificare i controlli di accesso ai file di Microsoft 365.
Passaggio 2: usa i log di controllo (con integrazione facoltativa delle Graph API) per tracciare le modifiche alle autorizzazioni in SharePoint
Il controllo può essere attivato in Microsoft Purview per tenere traccia delle modifiche alle autorizzazioni in tutto Microsoft 365. Questi dati possono poi essere interrogati con gli strumenti per i log di controllo di Microsoft Purview, tra cui il cmdlet PowerShell Search-UnifiedAuditLog o il portale Purview. Le Microsoft Graph API possono integrare il quadro fornendo dati aggiuntivi su directory e attività, ma non espongono ancora l’intera gamma di eventi dei log di controllo.
Ad esempio, lo script seguente restituisce uno snapshot quotidiano delle modifiche alle autorizzazioni a livello di utente o gruppo cercando nel log di controllo:
$startDate = (Get-Date).AddDays(-1)
$endDate = Get-Date
Search-UnifiedAuditLog -StartDate $startDate -EndDate $endDate `-Operations "AddMemberToGroup","PermissionModified" -ResultSize 5000
Negli ambienti di produzione, gli script dovrebbero anche gestire la paginazione, analizzare il campo AuditData e filtrare per carico di lavoro (ad esempio SharePoint, Azure AD) per garantire un reporting completo e accurato.
Passaggio 3: rileva l’ereditarietà interrotta e gli accessi elevati con script PowerShell
Il modulo PnP PowerShell include cmdlet per interagire con Microsoft 365. Può essere usato per monitorare l’ereditarietà interrotta (cioè le autorizzazioni univoche), come mostra l’esempio seguente:
$lists = Get-PnPList
$lists | Where-Object { $_.HasUniqueRoleAssignments } | Select-Object Title, RootFolder
Get-PnPList può essere usato anche per leggere e monitorare le autorizzazioni elevate, come il controllo completo o le assegnazioni di amministratore della raccolta siti.
Passaggio 4: automatizza i flussi di lavoro di notifica per i clienti principali
La tempestività è fondamentale quando si risponde a potenziali violazioni dei dati segnalate da una modifica delle autorizzazioni. La persona giusta deve essere avvisata per poter intervenire di conseguenza. Il canale può variare in base al ruolo o alle preferenze: apertura di un ticket di supporto, invio di un’email o notifica push sul dispositivo.
Se viene rilevata una modifica inattesa o sospetta delle autorizzazioni, puoi usare anche le funzionalità di automazione della tua piattaforma MSP per limitare immediatamente l’accesso fino al termine delle verifiche.
Aspetti a cui prestare attenzione
- Limiti di conservazione dei log di controllo: la conservazione dipende dalle licenze Microsoft 365, quindi esporta o archivia i risultati quotidiani al di fuori del tenant se ti serve uno storico più lungo.
- Risultati incompleti: Search-UnifiedAuditLog restituisce i risultati suddivisi in pagine, quindi gli script che ignorano la paginazione perderanno eventi nei tenant con molta attività.
- Copertura delle Graph API: Microsoft Graph non espone tutti gli eventi di controllo, quindi va considerato un complemento al log di controllo unificato.
- Rumore degli avvisi: generare un avviso per ogni modifica alle autorizzazioni nasconde quelle rischiose, quindi limita gli avvisi agli scenari ad alto rischio definiti nel Passaggio 1.
Perché è necessario monitorare le modifiche alle autorizzazioni in SharePoint, Teams e OneDrive
Microsoft 365 è un ambiente IT enterprise dinamico, in cui i cambiamenti avvengono con frequenza e rapidità: si aggiungono nuovi utenti, i ruoli cambiano, si creano file e gli utenti si concedono reciprocamente accessi durante la collaborazione. Tutto questo richiede supervisione nell’ambito del tuo piano di protezione dei dati. Un’assegnazione errata delle autorizzazioni in SharePoint, intenzionale o accidentale, può portare a una violazione della privacy, alla divulgazione di informazioni di business riservate o all’inserimento di file dannosi. Lo stesso vale per i dati di Teams e OneDrive, che vengono archiviati in SharePoint.
Se conservi dati importanti in Microsoft 365, in SharePoint, in OneDrive o nelle caselle di posta di Exchange, è fondamentale anche eseguirne il backup. Il backup dei dati di Microsoft 365 e Google Workspace presenta difficoltà diverse rispetto ai dati ospitati in proprio: per questo esistono soluzioni di backup SaaS dedicate.
Guida rapida
NinjaOne SaaS Backup offre visibilità sull’attività degli account e sulle modifiche alla configurazione, un supporto utile alle attività di controllo. Va però usato insieme ai log di controllo di Microsoft 365 per un monitoraggio completo delle modifiche alle autorizzazionidiverse funzionalità legate al monitoraggio di autorizzazioni e modifiche:
1. Autenticazione sicura del backup:
NinjaOne Backup utilizza la Service Principal Authentication (SPA) per interfacciarsi in modo sicuro con Microsoft 365, limitando gli ambiti di accesso alle sole attività di protezione dei dati.
2. Controllo interno della piattaforma:
NinjaOne mette a disposizione un solido log di controllo interno per tenere traccia dell’attività dei tecnici all’interno della piattaforma e della console di backup, garantendo la tracciabilità delle modifiche alla configurazione.
3. Monitoraggio della gestione degli utenti:
– Offre diversi ruoli utente con livelli di autorizzazione differenti:
– Full Admin: può visualizzare, gestire e impostare le autorizzazioni degli utenti
– IT Admin: può visualizzare le informazioni, eliminare e gestire le impostazioni degli utenti
– Group Supervisor: può gestire gli utenti all’interno di reparti specifici
4. Altre funzionalità di monitoraggio:
– AD Sync: aggiorna automaticamente i dettagli degli utenti, come i cambi di nome
– Tracciamento dello stato di accesso degli utenti: consente di abilitare o disabilitare gli accessi
– Monitoraggio del Single Sign-On di Azure AD
5. Sistemi di notifica:
– È possibile configurare notifiche via email per diversi eventi, tra cui:
– Errori di backup
– Problemi di autenticazione
– Modifiche allo stato dell’account
Sebbene NinjaOne offra funzionalità di automazione e monitoraggio, per il tracciamento più completo delle modifiche alle autorizzazioni consigliamo di:
– Attivare il controllo dettagliato nei log
– Configurare le notifiche via email
– Rivedere regolarmente accessi e autorizzazioni degli utenti
– Sfruttare le funzionalità integrate di log di controllo e gestione degli utenti
