Come creare la timeline di un incidente di cybersecurity con Defender e i log di controllo

In questa guida ti illustriamo nel dettaglio i diversi metodi per ricostruire una timeline di un incidente di cybersecurity utilizzando i dati di Microsoft Defender for Endpoint, i log di controllo di Microsoft 365 e la telemetria a livello di sistema. Includiamo query PowerShell, controlli del Registro di sistema e dei criteri di gruppo, oltre a tecniche di verifica basate su CMD, per supportarti nell’analisi e nel reporting degli incidenti.

Ti starai chiedendo perché tutto questo sia importante. In parole semplici: quando si verifica un incidente di sicurezza, la priorità non è solo la bonifica (per quanto sia importante), ma anche capire cosa è successo davvero, così da evitare che si ripeta. Una timeline chiara mostra:

• Causa principale e finestra di esposizione: dove è iniziato l’incidente di sicurezza e per quanto tempo gli autori delle minacce vi hanno avuto accesso
• Prove di conformità: molte normative (come il GDPR e l’HIPAA) richiedono di dimostrare quando e come si è verificata una violazione.
• Supporto assicurativo o legale: una documentazione adeguata rafforza i reclami o le indagini.
• Convalida operativa: ti aiuta a capire cosa ha funzionato (o meno) nelle tue difese

💡 Nota: puoi considerarlo come il sopralluogo su una scena del crimine, dove però le prove sono Defender for Endpoint, i log di controllo di Microsoft 365 e la telemetria di sistema.

📌 Strategie di implementazione consigliate:

💡Nota: questi metodi non sono modi alternativi per fare la stessa cosa. Ciascuno mette in evidenza una fonte di dati o una tecnica diversa, ma non costituiscono nemmeno una procedura passo passo. Alcuni MSP utilizzano solo determinate fonti, a seconda del proprio ambiente. Ti consigliamo di applicare solo i metodi necessari e adatti al tuo ambiente.

Come creare una timeline dettagliata di un incidente di sicurezza

Metodo 1: analisi dell’incidente nel Defender Security Center

Il Defender Security Center è il punto di partenza di qualsiasi indagine. Raggruppa gli avvisi in incidenti che mostrano come si sono sviluppate le minacce.

📌 Casi d’uso: è il tuo punto di rilevamento iniziale e ti aiuta a identificare rapidamente un incidente.

📌 Prerequisiti:

• Il dispositivo deve essere registrato in Microsoft Defender for Endpoint.
• Autorizzazioni di sicurezza per visualizzare gli incidenti nel portale.

Passaggi:

1. Vai al Microsoft 365 Security Center. Se utilizzi un software di gestione degli endpoint, puoi accedervi direttamente dalla piattaforma.
2. Seleziona l’incidente di tuo interesse.
3. Analizza:
   • Il timestamp del rilevamento
   • Il nome del dispositivo e il contesto utente
   • La classificazione e l’origine della minaccia
   • Il movimento laterale o i sistemi interessati
4. Apri la scheda Advanced Hunting per esplorare le attività correlate.
5. Esporta i risultati in CSV o PDF per il tuo report della timeline.

Metodo 2: log di controllo di Microsoft 365 (Compliance Center/PowerShell)

I log di controllo ti danno visibilità su ciò che gli utenti (o gli attaccanti) hanno fatto nelle risorse Microsoft 365.

📌 Casi d’uso: questo metodo ti permette di tracciare accessi sospetti, aperture di file o attività sulle caselle di posta. Puoi usarlo anche per ricostruire le escalation di privilegi (ad esempio modifiche di ruolo o attività amministrative).

📌 Prerequisiti:

• Il controllo unificato (Unified Audit Logging) è abilitato in Microsoft 365
• Autorizzazioni di ruolo per accedere a Microsoft Purview Audit.

Passaggi:

1. Vai al portale di ricerca dei log di controllo. In genere puoi accedervi dal tuo gestore di endpoint, se ne stai utilizzando uno.
2. Esegui la ricerca per:
   • Email utente o object ID
   • Intervallo temporale dell’incidente
   • Attività: FileAccessed, MailboxLogin, RoleAssignmentChange, ecc.
3. Equivalente in PowerShell:

Connect-IPPSSession

Search-UnifiedAuditLog -StartDate “2025-07-01T00:00” –
EndDate “2025-07-01T23:59” -UserIds “[email protected]”

4. Esporta i risultati e ordinali in sequenza cronologica.

Metodo 3: query PowerShell (API Defender + log locali)

PowerShell ti consente di combinare la telemetria cloud di Defender con i log locali degli endpoint, per una correlazione più approfondita.

📌 Casi d’uso: questo metodo ti aiuta a estrarre gli eventi di sicurezza dall’API di Defender per l’automazione.

📌 Prerequisiti:

• PowerShell 5.1+ e modulo Graph installato
• Autorizzazioni per interrogare l’API di Defender (SecurityEvents.Real.All)
• Diritti di amministratore locale sull’endpoint
• Hai bisogno di un ripasso? Iscriviti al corso intensivo gratuito PowerShell per IT Ninja.

Passaggi:

1. Apri PowerShell.
2. Esegui questi comandi, in base alle tue esigenze:

• Hunting in Defender tramite API Graph:

Connect-MgGraph -Scopes "SecurityEvents.Read.All"

Invoke-MgGraphRequest -Method GET -Uri “https://graph.microsoft.com/v1.0/security/alerts” |

ConvertFrom-Json | Select-Object id, createdDateTime, title, severity, status

• Log locali di Defender:

Get-WinEvent -LogName "Microsoft-Windows-Windows Defender/Operational" |

Where-Object { $_.TimeCreated -gt (Get-Date).AddHours(-24) } |

Select TimeCreated, Message

💡 Suggerimento: usalo per correlare la telemetria degli endpoint con le minacce rilevate nel cloud.

Metodo 4: registri degli eventi del dispositivo tramite CMD/Visualizzatore eventi

I registri degli eventi locali ti aiutano ad approfondire accessi, attività di sistema ed esecuzione di script che potrebbero non comparire in Defender o in M365.

📌 Casi d’uso: questo metodo ti permette di individuare arresti anomali, riavvii o spegnimenti del sistema durante la finestra dell’attacco. Puoi usarlo anche per esaminare l’esecuzione di script PowerShell come possibile vettore di attacco.

📌 Prerequisiti:

• Diritti di amministratore locale sulle macchine interessate
• Registrazione di sicurezza e di PowerShell abilitata

Passaggi:

1. Apri il Prompt dei comandi con privilegi elevati.
2. Esegui questi comandi nell’ordine indicato.

• Eventi di accesso agli account (ID evento 4624 (accesso eseguito correttamente), 4625 (accesso non riuscito), 4648 (tentativo di accesso con credenziali esplicite)):

wevtutil qe Security “/q:*[System[(EventID=4624 or EventID=4625 or EventID=4648)]]” /c:10 /f:text

• Eventi di sistema (avvio/spegnimento/errori):

wevtutil qe System /c:10 /f:text

• Attività di PowerShell:

wevtutil qe “Microsoft-Windows-PowerShell/Operational” /c:20 /f:text

Metodo 5: controlli del Registro di sistema per i tentativi di persistenza

Gli attaccanti modificano spesso le chiavi del Registro di sistema per far sì che i loro strumenti vengano eseguiti automaticamente dopo un riavvio.

📌 Casi d’uso: questo metodo rileva i programmi di avvio non autorizzati e individua eventuali manomissioni del Registro di sistema.

📌 Prerequisiti:

• Controllo del Registro di sistema abilitato (tramite criteri di gruppo o criteri di sicurezza)
• La registrazione degli eventi è configurata per le modifiche al Registro di sistema.

Passaggi:

1. Premi Win + R, digita regedit e premi Invio.
2. Controlla i percorsi di persistenza più comuni:

1. 1. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Riguarda tutti gli utenti del sistema. Un malware presente qui verrà avviato per ogni account che effettua l’accesso.

1. 2. HKCU\Software\Microsoft\Windows\CurrentVersion\Run

Riguarda solo l’utente corrente. La persistenza è legata a un unico profilo utente compromesso.

💡 Gli autori delle minacce a volte preferiscono HKCU perché è più difficile da individuare e non richiede diritti di amministratore. È quindi una best practice controllare entrambi i percorsi.

3. Cerca l’ID evento 4657 nei log di sicurezza (modifica di un valore del Registro di sistema).
4. Confronta le voci sospette con le attività rilevate da Defender o dai log di controllo di M365.

Metodo 6: criteri di gruppo per il controllo avanzato

📌 Casi d’uso: garantisce la disponibilità di log fondamentali per gli incidenti futuri. Puoi usare questo metodo anche per rafforzare la copertura su server e workstation di valore elevato (perfetto per il reporting di conformità!).

📌 Prerequisiti:

• Diritti di gestione dei criteri di gruppo
• Ambiente di dominio (consigliato, anche se funzionano anche i criteri locali)

Passaggi:

1. Premi Win + R, digita gpedit.msc e premi Invio.
2. Vai a: Configurazione del computer → Impostazioni di Windows → Impostazioni sicurezza → Configurazione avanzata criteri di controllo → Criteri di controllo
3. Abilita:
   • Controlla eventi di accesso
   • Controlla accesso agli oggetti
   • Controlla rilevamento processi
   • Controlla modifica criteri
4. Applica i criteri ai server e alle workstation principali.

⚠️ Aspetti a cui prestare attenzione

Altri aspetti da considerare nella creazione di un log di controllo di Office 365

• Conservazione dei log: assicurati che i log vengano conservati per almeno 90-180 giorni (in base alle esigenze di conformità).
• Integrazione con il SIEM: valuta la centralizzazione di tutti i log in un SIEM per la correlazione.
• Sincronizzazione oraria: assicurati che tutti i sistemi siano sincronizzati tramite NTP (w32tm /query /status) per evitare incongruenze nella timeline.
• Documentazione: mantieni un modello standard di timeline per gli incidenti.

Risoluzione dei problemi più comuni

1. Log mancanti: la registrazione non era abilitata oppure i log sono stati sovrascritti.
   • Come risolvere: verifica il controllo nei criteri di gruppo, aumenta le dimensioni dei log o centralizzali in un SIEM.
2. Nessun dato Defender: il dispositivo non è registrato o è escluso dalla protezione
   • Come risolvere: controlla la registrazione nel Security Center ed esamina i criteri di esclusione.
3. Errori nei log di controllo (M365): il controllo unificato non è abilitato oppure la licenza limita la conservazione
   • Come risolvere: abilita la registrazione di controllo in Purview e verifica la tua licenza (E5 = conservazione di 1 anno, non E5 = 180 giorni).
4. Discrepanze temporali: sistemi non sincronizzati, con conseguenti lacune nella timeline
   • Come risolvere: esegui w32tm /query /status e configura la sincronizzazione NTP su tutti i sistemi.
5. Problemi di esportazione/importazione: le esportazioni CSV non vengono ordinate correttamente.
   • Come risolvere: riesporta i dati con PowerShell e ordinali per TimeCreated o CreationDate.
6. Troppo rumore: l’elevato volume di eventi nasconde gli indicatori reali.
   • Come risolvere: usa i filtri (ID evento, filtri utente, query KQL) per restringere i risultati.

Servizi NinjaOne

NinjaOne, la piattaforma automatizzata di gestione degli endpoint, può aiutarti a costruire una timeline degli incidenti di cybersecurity più dettagliata. Ecco come:

• Raccolta centralizzata dei log: NinjaOne ti permette di raccogliere su larga scala e secondo una pianificazione i log degli eventi di Windows, quelli operativi di Defender e quelli di PowerShell, così le prove non vanno perse.
• Orchestrazione PowerShell one-to-many: puoi eseguire script parametrizzati su dispositivi/tenant selezionati e acquisire risultati in formato JSON/CSV/testo. Gli output possono essere allegati ai ticket, archiviati o inoltrati tramite webhook per un’analisi immediata.
• Pacchetti di prove automatizzati: avvia playbook che raccolgono in un’unica esecuzione ID evento chiave, rilevamenti di Defender, voci di avvio automatico nel Registro di sistema e stato della sincronizzazione oraria.
• Rilevamento e avvisi ad alto valore informativo: ricevi avvisi su eventi 4625 ripetuti, rilevamenti di Defender, corrispondenze ScriptBlock o modifiche al Registro di sistema raccolte dagli script.
• Automazione delle risposte in sicurezza: azioni tramite script possono rimuovere avvii automatici malevoli, terminare processi, isolare un host o ruotare le credenziali locali con controlli preliminari.
• Registrazione migliore tramite policy: distribuisci tramite script dimensioni dei log maggiorate, la registrazione ScriptBlock/Transcription e le categorie di controllo avanzate.
• Scalabilità multi-tenant per gli MSP: riutilizza le stesse raccolte, gli stessi avvisi e gli stessi playbook su tutti i clienti grazie a tag e gruppi di dispositivi definiti.
• Contesto su asset ed esposizione: passa da un avviso ai dettagli di inventario, come versione dell’OS, età delle patch e software presenti.
• Assegnazione di tag, reporting ed esportazioni per gli incidenti: assegna un ID incidente a dispositivi, ticket e artefatti ed esporta i pacchetti di prove (CSV/JSON/ZIP).
• Integrazioni e governance: usa webhook e API per inviare e recuperare dati con SIEM, ITSM e strumenti di chat; arricchisci le timeline con query Graph/Defender tramite script.

Proteggi il tuo ambiente con un log di controllo dettagliato di Microsoft 365

Ricostruire la timeline di un incidente di cybersecurity non si riduce a una singola operazione. Richiede di combinare le prove provenienti dagli incidenti di Defender, dalle attività registrate nei log di controllo di Microsoft 365 e dalla telemetria degli endpoint.

Ti abbiamo illustrato sei metodi da provare, ma è bene ribadire che queste strategie non sono del tutto indipendenti l’una dall’altra. Scegli il metodo più adatto alle tue esigenze specifiche e consulta la tabella delle strategie di implementazione consigliate per maggiori informazioni.

Argomenti correlati:

• Che cos’è l’incident response?
• Che cos’è la cybersecurity?
• Capire Windows Defender Application Control (WDAC)
• I 12 tipi di attacchi informatici più comuni: come riconoscerli e prevenirli