{"id":915885,"date":"2026-10-29T16:30:11","date_gmt":"2026-10-29T16:30:11","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/timeline-incidente-cybersecurity\/"},"modified":"2026-10-29T16:30:13","modified_gmt":"2026-10-29T16:30:13","slug":"timeline-incidente-cybersecurity","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/it\/blog\/timeline-incidente-cybersecurity\/","title":{"rendered":"Come creare la timeline di un incidente di cybersecurity con Defender e i log di controllo"},"content":{"rendered":"<p>In questa guida ti illustriamo nel dettaglio i diversi metodi per ricostruire una <strong>timeline di un incidente di cybersecurity<\/strong> utilizzando i dati di Microsoft Defender for Endpoint, i log di controllo di Microsoft 365 e la telemetria a livello di sistema. Includiamo query PowerShell, controlli del Registro di sistema e dei criteri di gruppo, oltre a tecniche di verifica basate su CMD, per supportarti nell\u2019analisi e nel reporting degli incidenti.<\/p>\n<p>Ti starai chiedendo perch\u00e9 tutto questo sia importante. In parole semplici: quando si verifica un incidente di sicurezza, la priorit\u00e0 non \u00e8 solo la bonifica (<em>per quanto sia importante<\/em>), ma anche capire cosa \u00e8 successo davvero, cos\u00ec da evitare che si ripeta. Una timeline chiara mostra:<\/p>\n<ul>\n<li><strong>Causa principale e finestra di esposizione: <\/strong>dove \u00e8 iniziato l\u2019incidente di sicurezza e per quanto tempo gli <a href=\"https:\/\/www.ninjaone.com\/it\/it-hub\/sicurezza-degli-endpoint\/cos-e-un-threat-actor\/\">autori delle minacce<\/a> vi hanno avuto accesso<\/li>\n<li><strong>Prove di conformit\u00e0: <\/strong>molte normative (come il <a href=\"https:\/\/www.ninjaone.com\/it\/blog\/cos-e-la-conformita-al-gdpr\/\">GDPR<\/a> e l\u2019<a href=\"https:\/\/www.ninjaone.com\/it\/blog\/conformita-hipaa\/\">HIPAA<\/a>) richiedono di dimostrare quando e come si \u00e8 verificata una violazione.<\/li>\n<li><strong>Supporto assicurativo o legale:<\/strong> una documentazione adeguata rafforza i reclami o le indagini.<\/li>\n<li><strong>Convalida operativa: <\/strong>ti aiuta a capire cosa ha funzionato (o meno) nelle tue difese<\/li>\n<\/ul>\n<p>\ud83d\udca1 <strong>Nota<\/strong>: puoi considerarlo come il sopralluogo su una scena del crimine, dove per\u00f2 le prove sono Defender for Endpoint, i log di controllo di Microsoft 365 e la telemetria di sistema.<\/p>\n<p>\ud83d\udccc <strong>Strategie di implementazione consigliate:<\/strong><\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center; vertical-align: middle;\">\n<p style=\"text-align: center;\"><strong>Fai clic per scegliere un metodo<\/strong><\/p>\n<\/td>\n<td style=\"text-align: center;\"><strong>\ud83d\udcbb<\/strong><br \/>\n<strong>Ideale per singoli utenti<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>\ud83d\udcbb\ud83d\udcbb\ud83d\udcbb<\/strong><br \/>\n<strong>Ideale per aziende enterprise<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-1\"><strong>Metodo 1: analisi dell\u2019incidente nel Defender Security Center<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><strong>\u2713<\/strong><\/td>\n<td style=\"text-align: center;\"><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-2\"><strong>Metodo 2: log di controllo di Microsoft 365 (Compliance Center\/PowerShell)<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><\/td>\n<td style=\"text-align: center;\"><strong>\u2713<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-3\"><strong>Metodo 3: query PowerShell (API Defender + log locali)<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><strong>\u2713<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>\u2713<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-4\"><strong>Metodo 4: registri degli eventi del dispositivo tramite CMD\/Visualizzatore eventi<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><strong>\u2713<\/strong><\/td>\n<td style=\"text-align: center;\"><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-5\"><strong>Metodo 5: controlli del Registro di sistema per i tentativi di persistenza<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><strong>\u2713<\/strong><\/td>\n<td style=\"text-align: center;\"><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-6\"><strong>Metodo 6: criteri di gruppo per il controllo avanzato<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><\/td>\n<td style=\"text-align: center;\"><strong>\u2713<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>\ud83d\udca1<strong>Nota: <\/strong>questi metodi <em>non sono modi alternativi<\/em> per fare la stessa cosa. Ciascuno mette in evidenza una fonte di dati o una tecnica diversa, ma non costituiscono nemmeno una procedura passo passo. Alcuni MSP utilizzano solo determinate fonti, a seconda del proprio ambiente. Ti consigliamo di applicare solo i metodi necessari e adatti al tuo ambiente.<\/p>\n<h2>Come creare una timeline dettagliata di un incidente di sicurezza<\/h2>\n<h3 id=\"method-1\">Metodo 1: analisi dell\u2019incidente nel Defender Security Center<\/h3>\n<p>Il Defender Security Center \u00e8 il punto di partenza di qualsiasi indagine. Raggruppa gli avvisi in incidenti che mostrano come si sono sviluppate le minacce.<\/p>\n<p><strong>\ud83d\udccc Casi d\u2019uso: <\/strong>\u00e8 il tuo punto di rilevamento iniziale e ti aiuta a identificare rapidamente un incidente.<\/p>\n<p><strong>\ud83d\udccc Prerequisiti:<\/strong><\/p>\n<ul>\n<li>Il dispositivo deve essere registrato in Microsoft Defender for Endpoint.<\/li>\n<li>Autorizzazioni di sicurezza per visualizzare gli incidenti nel portale.<\/li>\n<\/ul>\n<p>Passaggi:<\/p>\n<ol>\n<li>Vai al Microsoft 365 Security Center. Se utilizzi un software di gestione degli endpoint, puoi accedervi direttamente dalla piattaforma.<\/li>\n<li>Seleziona l\u2019incidente di tuo interesse.<\/li>\n<li>Analizza:\n<ul style=\"list-style-type: disc;\">\n<li>Il timestamp del rilevamento<\/li>\n<li>Il nome del dispositivo e il contesto utente<\/li>\n<li>La classificazione e l\u2019origine della minaccia<\/li>\n<li>Il movimento laterale o i sistemi interessati<\/li>\n<\/ul>\n<\/li>\n<li>Apri la scheda Advanced Hunting per esplorare le attivit\u00e0 correlate.<\/li>\n<li>Esporta i risultati in CSV o PDF per il tuo report della timeline.<\/li>\n<\/ol>\n<h3 id=\"method-2\">Metodo 2: log di controllo di Microsoft 365 (Compliance Center\/PowerShell)<\/h3>\n<p>I log di controllo ti danno visibilit\u00e0 su ci\u00f2 che gli utenti (o gli attaccanti) hanno fatto nelle risorse Microsoft 365.<\/p>\n<p><strong>\ud83d\udccc Casi d\u2019uso: <\/strong>questo metodo ti permette di tracciare accessi sospetti, aperture di file o attivit\u00e0 sulle caselle di posta. Puoi usarlo anche per ricostruire le escalation di privilegi (ad esempio modifiche di ruolo o attivit\u00e0 amministrative).<\/p>\n<p><strong>\ud83d\udccc Prerequisiti: <\/strong><\/p>\n<ul>\n<li>Il controllo unificato (Unified Audit Logging) \u00e8 abilitato in Microsoft 365<\/li>\n<li>Autorizzazioni di ruolo per accedere a <a href=\"https:\/\/learn.microsoft.com\/en-us\/purview\/audit-get-started\" target=\"_blank\" rel=\"noopener\">Microsoft Purview Audit<\/a>.<\/li>\n<\/ul>\n<p>Passaggi:<\/p>\n<ol>\n<li>Vai al portale di ricerca dei log di controllo. In genere puoi accedervi dal tuo gestore di endpoint, se ne stai utilizzando uno.<\/li>\n<li>Esegui la ricerca per:\n<ul style=\"list-style-type: disc;\">\n<li>Email utente o object ID<\/li>\n<li>Intervallo temporale dell\u2019incidente<\/li>\n<li>Attivit\u00e0: FileAccessed, MailboxLogin, RoleAssignmentChange, ecc.<\/li>\n<\/ul>\n<\/li>\n<li>Equivalente in PowerShell:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong>Connect-IPPSSession<\/strong><\/p>\n<p style=\"padding-left: 40px;\"><strong>Search-UnifiedAuditLog -StartDate &#8220;2025-07-01T00:00&#8221; &#8211;<br \/>\nEndDate &#8220;2025-07-01T23:59&#8221; -UserIds &#8220;user@domain.com&#8221;<\/strong><\/p>\n<ol start=\"4\">\n<li>Esporta i risultati e ordinali in sequenza cronologica.<\/li>\n<\/ol>\n<h3 id=\"method-3\">Metodo 3: query PowerShell (API Defender + log locali)<\/h3>\n<p>PowerShell ti consente di combinare la telemetria cloud di Defender con i log locali degli endpoint, per una correlazione pi\u00f9 approfondita.<\/p>\n<p><strong>\ud83d\udccc Casi d\u2019uso: <\/strong>questo metodo ti aiuta a estrarre gli eventi di sicurezza dall\u2019API di Defender per l\u2019automazione.<\/p>\n<p><strong>\ud83d\udccc Prerequisiti:<\/strong><\/p>\n<ul>\n<li>PowerShell 5.1+ e modulo Graph installato<\/li>\n<li>Autorizzazioni per interrogare l\u2019API di Defender (SecurityEvents.Real.All)<\/li>\n<li>Diritti di amministratore locale sull\u2019endpoint<\/li>\n<li>Hai bisogno di un ripasso? Iscriviti al corso intensivo gratuito <a href=\"https:\/\/go.ninjaone.com\/powershell-for-it-ninjas\" target=\"_blank\" rel=\"noopener\">PowerShell per IT Ninja<\/a>.<\/li>\n<\/ul>\n<p>Passaggi:<\/p>\n<ol>\n<li>Apri PowerShell.<\/li>\n<li>Esegui questi comandi, in base alle tue esigenze:<\/li>\n<\/ol>\n<ul>\n<li>Hunting in Defender tramite API Graph:<\/li>\n<\/ul>\n<p style=\"padding-left: 40px;\"><code><strong>Connect-MgGraph -Scopes \"SecurityEvents.Read.All\"<\/strong><\/code><\/p>\n<p style=\"padding-left: 40px;\"><strong>Invoke-MgGraphRequest -Method GET -Uri &#8220;<a href=\"https:\/\/graph.microsoft.com\/v1.0\/security\/alerts\" target=\"_blank\" rel=\"noopener\">https:\/\/graph.microsoft.com\/v1.0\/security\/alerts<\/a>&#8221; |<\/strong><\/p>\n<p style=\"padding-left: 40px;\"><strong>ConvertFrom-Json | Select-Object id, createdDateTime, title, severity, status<\/strong><\/p>\n<ul>\n<li>Log locali di Defender:<\/li>\n<\/ul>\n<p style=\"padding-left: 40px;\"><strong><code>Get-WinEvent -LogName \"Microsoft-Windows-Windows Defender\/Operational\"<\/code> |<\/strong><\/p>\n<p style=\"padding-left: 40px;\"><strong>Where-Object { $_.TimeCreated -gt (Get-Date).AddHours(-24) } |<\/strong><\/p>\n<p style=\"padding-left: 40px;\"><strong>Select TimeCreated, Message<\/strong><\/p>\n<p><strong>\ud83d\udca1 Suggerimento<\/strong>: usalo per correlare la telemetria degli endpoint con le minacce rilevate nel cloud.<\/p>\n<h3 id=\"method-4\">Metodo 4: registri degli eventi del dispositivo tramite CMD\/Visualizzatore eventi<\/h3>\n<p>I registri degli eventi locali ti aiutano ad approfondire accessi, attivit\u00e0 di sistema ed esecuzione di script che potrebbero non comparire in Defender o in M365.<\/p>\n<p><strong>\ud83d\udccc Casi d\u2019uso: <\/strong>questo metodo ti permette di individuare arresti anomali, riavvii o spegnimenti del sistema durante la finestra dell\u2019attacco. Puoi usarlo anche per esaminare l\u2019esecuzione di script PowerShell come possibile vettore di attacco.<\/p>\n<p><strong>\ud83d\udccc Prerequisiti: <\/strong><\/p>\n<ul>\n<li>Diritti di amministratore locale sulle macchine interessate<\/li>\n<li>Registrazione di sicurezza e di PowerShell abilitata<\/li>\n<\/ul>\n<p>Passaggi:<\/p>\n<ol>\n<li>Apri il Prompt dei comandi con privilegi elevati.<\/li>\n<li>Esegui questi comandi nell\u2019ordine indicato.<\/li>\n<\/ol>\n<ul>\n<li>Eventi di accesso agli account (ID evento <a href=\"https:\/\/learn.microsoft.com\/en-us\/previous-versions\/windows\/it-pro\/windows-10\/security\/threat-protection\/auditing\/event-4624\" target=\"_blank\" rel=\"noopener\">4624<\/a> (accesso eseguito correttamente), <a href=\"https:\/\/learn.microsoft.com\/en-us\/previous-versions\/windows\/it-pro\/windows-10\/security\/threat-protection\/auditing\/event-4625\" target=\"_blank\" rel=\"noopener\">4625<\/a> (accesso non riuscito), <a href=\"https:\/\/learn.microsoft.com\/en-us\/previous-versions\/windows\/it-pro\/windows-10\/security\/threat-protection\/auditing\/event-4648\" target=\"_blank\" rel=\"noopener\">4648<\/a> (tentativo di accesso con credenziali esplicite)):<\/li>\n<\/ul>\n<p style=\"padding-left: 40px;\"><strong>wevtutil qe Security &#8220;\/q:*[System[(EventID=4624 or EventID=4625 or EventID=4648)]]&#8221; \/c:10 \/f:text<\/strong><\/p>\n<ul>\n<li>Eventi di sistema (avvio\/spegnimento\/errori):<\/li>\n<\/ul>\n<p style=\"padding-left: 40px;\"><strong>wevtutil qe System \/c:10 \/f:text<\/strong><\/p>\n<ul>\n<li>Attivit\u00e0 di PowerShell:<\/li>\n<\/ul>\n<p style=\"padding-left: 40px;\"><strong>wevtutil qe &#8220;Microsoft-Windows-PowerShell\/Operational&#8221; \/c:20 \/f:text<\/strong><\/p>\n<h3 id=\"method-5\">Metodo 5: controlli del Registro di sistema per i tentativi di persistenza<\/h3>\n<p>Gli attaccanti modificano spesso le chiavi del Registro di sistema per far s\u00ec che i loro strumenti vengano eseguiti automaticamente dopo un riavvio.<\/p>\n<p><strong>\ud83d\udccc Casi d\u2019uso: <\/strong>questo metodo rileva i programmi di avvio non autorizzati e individua eventuali manomissioni del Registro di sistema.<\/p>\n<p><strong>\ud83d\udccc Prerequisiti:<\/strong><\/p>\n<ul>\n<li>Controllo del Registro di sistema abilitato (tramite criteri di gruppo o criteri di sicurezza)<\/li>\n<li>La registrazione degli eventi \u00e8 configurata per le modifiche al Registro di sistema.<\/li>\n<\/ul>\n<p>Passaggi:<\/p>\n<ol>\n<li>Premi <strong>Win + R<\/strong>, digita <strong>regedit<\/strong> e premi <strong>Invio<\/strong>.<\/li>\n<li>Controlla i percorsi di persistenza pi\u00f9 comuni:<\/li>\n<\/ol>\n<ol>\n<li style=\"list-style-type: none;\">\n<ol style=\"list-style-type: lower-alpha;\">\n<li><strong>HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run<\/strong><\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<p>Riguarda tutti gli utenti del sistema. Un malware presente qui verr\u00e0 avviato per ogni account che effettua l\u2019accesso.<\/p>\n<ol>\n<li style=\"list-style-type: none;\">\n<ol start=\"2\" style=\"list-style-type: lower-alpha;\">\n<li><strong>HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run<\/strong><\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<p>Riguarda solo l\u2019utente corrente. La persistenza \u00e8 legata a un unico profilo utente compromesso.<\/p>\n<p>\ud83d\udca1 <em>Gli autori delle minacce a volte preferiscono HKCU perch\u00e9 \u00e8 pi\u00f9 difficile da individuare e non richiede diritti di amministratore. \u00c8 quindi una best practice controllare entrambi i percorsi. <\/em><\/p>\n<ol start=\"3\">\n<li>Cerca l\u2019ID evento <a href=\"https:\/\/learn.microsoft.com\/en-us\/previous-versions\/windows\/it-pro\/windows-10\/security\/threat-protection\/auditing\/event-4657\" target=\"_blank\" rel=\"noopener\">4657<\/a> nei log di sicurezza (modifica di un valore del Registro di sistema).<\/li>\n<li>Confronta le voci sospette con le attivit\u00e0 rilevate da Defender o dai log di controllo di M365.<\/li>\n<\/ol>\n<h3 id=\"method-6\">Metodo 6: criteri di gruppo per il controllo avanzato<\/h3>\n<p><strong>\ud83d\udccc Casi d\u2019uso: <\/strong>garantisce la disponibilit\u00e0 di log fondamentali per gli incidenti futuri. Puoi usare questo metodo anche per rafforzare la copertura su server e workstation di valore elevato (perfetto per il reporting di conformit\u00e0!).<\/p>\n<p><strong>\ud83d\udccc Prerequisiti:<\/strong><\/p>\n<ul>\n<li>Diritti di gestione dei criteri di gruppo<\/li>\n<li>Ambiente di dominio (consigliato, anche se funzionano anche i criteri locali)<\/li>\n<\/ul>\n<p><strong>Passaggi: <\/strong><\/p>\n<ol>\n<li>Premi <strong>Win + R<\/strong>, digita <strong>gpedit.msc<\/strong> e premi <strong>Invio<\/strong>.<\/li>\n<li>Vai a: <strong>Configurazione del computer \u2192 Impostazioni di Windows \u2192 Impostazioni sicurezza \u2192 Configurazione avanzata criteri di controllo \u2192 Criteri di controllo<\/strong><\/li>\n<li>Abilita:\n<ul style=\"list-style-type: disc;\">\n<li><strong>Controlla eventi di accesso<\/strong><\/li>\n<li><strong>Controlla accesso agli oggetti<\/strong><\/li>\n<li><strong>Controlla rilevamento processi<\/strong><\/li>\n<li><strong>Controlla modifica criteri<\/strong><\/li>\n<\/ul>\n<\/li>\n<li>Applica i criteri ai server e alle workstation principali.<\/li>\n<\/ol>\n<h2><strong>\u26a0\ufe0f <\/strong>Aspetti a cui prestare attenzione<\/h2>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>Rischi<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Possibili conseguenze<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Come rimediare<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Lacune nella conservazione dei log (Defender, M365 o log locali)<\/td>\n<td>Attivit\u00e0 mancanti nella finestra dell\u2019attacco; timeline incompleta<\/td>\n<td>Estendi i criteri di conservazione (ad esempio, log di controllo Purview con E5 = 1 anno); centralizza i log in un SIEM.<\/td>\n<\/tr>\n<tr>\n<td>Sovrascrittura del registro degli eventi (log di sicurezza\/sistema)<\/td>\n<td>Prove pi\u00f9 datate sovrascritte da nuovi eventi<\/td>\n<td>Aumenta le dimensioni dei log tramite criteri di gruppo; trasferisci i log a un sistema di raccolta.<\/td>\n<\/tr>\n<tr>\n<td>Controllo disabilitato o configurato in modo errato<\/td>\n<td>Nessun evento acquisito relativo a registro, file o privilegi<\/td>\n<td>Verifica le impostazioni dei criteri di gruppo per il controllo; abilita la Configurazione avanzata criteri di controllo.<\/td>\n<\/tr>\n<tr>\n<td>Falsi positivi (app legittime nelle chiavi Run, accessi insoliti)<\/td>\n<td>Tempo di indagine sprecato o interruzioni accidentali<\/td>\n<td>Confronta le voci con l\u2019inventario software e i comportamenti noti degli utenti.<\/td>\n<\/tr>\n<tr>\n<td>Raccolta eccessiva di dati<\/td>\n<td>Difficolt\u00e0 nell\u2019individuare la vera attivit\u00e0 malevola<\/td>\n<td>Usa i filtri in PowerShell\/Advanced Hunting per restringere le query.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Altri aspetti da considerare nella creazione di un log di controllo di Office 365<\/h2>\n<ul>\n<li><strong>Conservazione dei log: <\/strong>assicurati che i log vengano conservati per almeno 90-180 giorni (in base alle esigenze di conformit\u00e0).<\/li>\n<li><strong>Integrazione con il SIEM:<\/strong> valuta la centralizzazione di tutti i log in un <a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-security\/what-is-security-information-and-event-management-siem\/\">SIEM<\/a> per la correlazione.<\/li>\n<li><strong>Sincronizzazione oraria:<\/strong> assicurati che tutti i sistemi siano sincronizzati tramite NTP (<strong>w32tm \/query \/status<\/strong>) per evitare incongruenze nella timeline.<\/li>\n<li><strong>Documentazione: <\/strong>mantieni un modello standard di timeline per gli incidenti.<\/li>\n<\/ul>\n<h2>Risoluzione dei problemi pi\u00f9 comuni<\/h2>\n<ol>\n<li><strong>Log mancanti: <\/strong>la registrazione non era abilitata oppure i log sono stati sovrascritti.\n<ul style=\"list-style-type: disc;\">\n<li>Come risolvere: verifica il controllo nei criteri di gruppo, aumenta le dimensioni dei log o centralizzali in un SIEM.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Nessun dato Defender: <\/strong>il dispositivo non \u00e8 registrato o \u00e8 escluso dalla protezione\n<ul style=\"list-style-type: disc;\">\n<li>Come risolvere: controlla la registrazione nel Security Center ed esamina i criteri di esclusione.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Errori nei log di controllo (M365): <\/strong>il controllo unificato non \u00e8 abilitato oppure la licenza limita la conservazione\n<ul style=\"list-style-type: disc;\">\n<li>Come risolvere: abilita la registrazione di controllo in Purview e verifica la tua licenza (E5 = conservazione di 1 anno, non E5 = 180 giorni).<\/li>\n<\/ul>\n<\/li>\n<li><strong>Discrepanze temporali: <\/strong>sistemi non sincronizzati, con conseguenti lacune nella timeline\n<ul style=\"list-style-type: disc;\">\n<li>Come risolvere: esegui <strong>w32tm \/query \/status<\/strong> e configura la sincronizzazione NTP su tutti i sistemi.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Problemi di esportazione\/importazione: <\/strong>le esportazioni CSV non vengono ordinate correttamente.\n<ul style=\"list-style-type: disc;\">\n<li>Come risolvere: riesporta i dati con PowerShell e ordinali per TimeCreated o CreationDate.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Troppo rumore: <\/strong>l\u2019elevato volume di eventi nasconde gli indicatori reali.\n<ul style=\"list-style-type: disc;\">\n<li>Come risolvere: usa i filtri (ID evento, filtri utente, query KQL) per restringere i risultati.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<h2>Servizi NinjaOne<\/h2>\n<p>NinjaOne, la piattaforma automatizzata di gestione degli endpoint, pu\u00f2 aiutarti a costruire una timeline degli incidenti di cybersecurity pi\u00f9 dettagliata. Ecco come:<\/p>\n<ul>\n<li><strong>Raccolta centralizzata dei log<\/strong>: NinjaOne ti permette di raccogliere su larga scala e secondo una pianificazione i log degli eventi di Windows, quelli operativi di Defender e quelli di PowerShell, cos\u00ec le prove non vanno perse.<\/li>\n<li><strong>Orchestrazione PowerShell one-to-many<\/strong>: puoi eseguire script parametrizzati su dispositivi\/tenant selezionati e acquisire risultati in formato JSON\/CSV\/testo. Gli output possono essere allegati ai ticket, archiviati o inoltrati tramite webhook per un\u2019analisi immediata.<\/li>\n<li><strong>Pacchetti di prove automatizzati<\/strong>: avvia playbook che raccolgono in un\u2019unica esecuzione ID evento chiave, rilevamenti di Defender, voci di avvio automatico nel Registro di sistema e stato della sincronizzazione oraria.<\/li>\n<li><strong>Rilevamento e avvisi ad alto valore informativo<\/strong>: ricevi avvisi su eventi 4625 ripetuti, rilevamenti di Defender, corrispondenze ScriptBlock o modifiche al Registro di sistema raccolte dagli script.<\/li>\n<li><strong>Automazione delle risposte in sicurezza<\/strong>: azioni tramite script possono rimuovere avvii automatici malevoli, terminare processi, isolare un host o ruotare le credenziali locali con controlli preliminari.<\/li>\n<li><strong>Registrazione migliore tramite policy<\/strong>: distribuisci tramite script dimensioni dei log maggiorate, la registrazione ScriptBlock\/Transcription e le categorie di controllo avanzate.<\/li>\n<li><strong>Scalabilit\u00e0 multi-tenant per gli MSP<\/strong>: riutilizza le stesse raccolte, gli stessi avvisi e gli stessi playbook su tutti i clienti grazie a tag e gruppi di dispositivi definiti.<\/li>\n<li><strong>Contesto su asset ed esposizione<\/strong>: passa da un avviso ai dettagli di inventario, come versione dell\u2019OS, et\u00e0 delle patch e software presenti.<\/li>\n<li><strong>Assegnazione di tag, reporting ed esportazioni per gli incidenti<\/strong>: assegna un ID incidente a dispositivi, ticket e artefatti ed esporta i pacchetti di prove (CSV\/JSON\/ZIP).<\/li>\n<li><strong>Integrazioni e governance<\/strong>: usa webhook e API per inviare e recuperare dati con SIEM, ITSM e strumenti di chat; arricchisci le timeline con query Graph\/Defender tramite script.<\/li>\n<\/ul>\n<h2>Proteggi il tuo ambiente con un log di controllo dettagliato di Microsoft 365<\/h2>\n<p>Ricostruire la timeline di un incidente di cybersecurity non si riduce a una singola operazione. Richiede di combinare le prove provenienti dagli incidenti di Defender, dalle attivit\u00e0 registrate nei log di controllo di Microsoft 365 e dalla telemetria degli endpoint.<\/p>\n<p>Ti abbiamo illustrato sei metodi da provare, ma \u00e8 bene ribadire che queste strategie non sono del tutto indipendenti l\u2019una dall\u2019altra. Scegli il metodo pi\u00f9 adatto alle tue esigenze specifiche e consulta la tabella delle strategie di implementazione consigliate per maggiori informazioni.<\/p>\n<p><strong>Argomenti correlati:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/it-hub\/sicurezza-degli-endpoint\/cose-la-risposta-agli-incidenti\/\">Che cos\u2019\u00e8 l\u2019incident response?<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/it-hub\/sicurezza-degli-endpoint\/cos-e-la-cybersecurity\/\">Che cos\u2019\u00e8 la cybersecurity?<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/wdac-windows-defender-application-control\/\">Capire Windows Defender Application Control (WDAC)<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/attacchi-informatici-comuni\/\">I 12 tipi di attacchi informatici pi\u00f9 comuni: come riconoscerli e prevenirli<\/a><\/li>\n<\/ul>\n<div class=\"quick-start-guide\"><h2><svg width=\"45\" height=\"45\" viewBox=\"0 0 45 45\" fill=\"none\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\">\n<path d=\"M41.4822 0H3.51778C1.57496 0 0 1.57496 0 3.51778V41.4822C0 43.425 1.57496 45 3.51778 45H41.4822C43.425 45 45 43.425 45 41.4822V3.51778C45 1.57496 43.425 0 41.4822 0Z\" fill=\"#053856\"\/>\n<path d=\"M30.4399 13.9904C28.9161 12.4475 26.9127 11.6737 24.4346 11.6737C23.0721 11.6737 21.8188 11.911 20.6794 12.3858C19.5401 12.8605 18.5859 13.5346 17.8168 14.4129V11.2654L12.2766 13.867V32.562H18.0779V22.4739C18.0779 20.6224 18.5099 19.2267 19.3787 18.2867C20.2474 17.3515 21.4105 16.8815 22.8727 16.8815C24.1877 16.8815 25.1894 17.285 25.8825 18.0968C26.5756 18.9086 26.9222 20.1334 26.9222 21.7808V32.562H32.7234V21.2728C32.7234 18.2393 31.9591 15.5285 30.4399 13.9856V13.9904Z\" fill=\"#04FF88\"\/>\n<\/svg>Guida rapida<\/h2><p>NinjaOne pu\u00f2 aiutarti a costruire una timeline di un incidente di cybersecurity utilizzando i log di Defender e i log di controllo. Ecco alcuni punti chiave:<\/p>\n<p><b data-stringify-type=\"bold\">Creazione della timeline dell\u2019incidente<\/b><br aria-hidden=\"true\"\/>NinjaOne offre solide funzionalit\u00e0 di raccolta dei log per creare la timeline di un incidente di sicurezza:<\/p>\n<ol>\n<li><b data-stringify-type=\"bold\">Log di sistema di Windows<\/b>\n<ul>\n<li>Raccogli i log degli eventi di Windows da:\n<ul>\n<li>Registro applicazioni<\/li>\n<li>Registro sicurezza<\/li>\n<li>Registro di sistema<\/li>\n<\/ul>\n<\/li>\n<li>Concentrati sull\u2019intervallo temporale specifico dell\u2019avviso\/incidente<\/li>\n<\/ul>\n<\/li>\n<li><b data-stringify-type=\"bold\">Raccolta dei log su diversi sistemi operativi<\/b>\n<ul>\n<li>Sistemi Windows: log degli eventi di Windows completi<\/li>\n<li>Sistemi macOS:\n<ul>\n<li>Log di sistema<\/li>\n<li>Log delle applicazioni<\/li>\n<li>Log di sicurezza e autenticazione<\/li>\n<\/ul>\n<\/li>\n<li>Sistemi Linux:\n<ul>\n<li>Log di sistema<\/li>\n<li>Log di autenticazione<\/li>\n<li>Log specifici delle applicazioni<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<li><b data-stringify-type=\"bold\">Raccolta di prove aggiuntive<\/b>\n<ul>\n<li>File PCAP (acquisizioni di rete)<\/li>\n<li>Definizioni degli avvisi antivirus<\/li>\n<li>Qualsiasi altra informazione rilevante fornita dal cliente<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p><b data-stringify-type=\"bold\">Integrazione con gli strumenti di sicurezza<\/b><br aria-hidden=\"true\"\/>NinjaOne si integra con strumenti di sicurezza come:<\/p>\n<ul>\n<li>Bitdefender GravityZone<\/li>\n<li>SentinelOne<\/li>\n<li>CrowdStrike<\/li>\n<\/ul>\n<p>Queste integrazioni consentono un rilevamento completo delle minacce, la registrazione dei dati e la ricostruzione della timeline.<\/p>\n<p><b data-stringify-type=\"bold\">Processo consigliato<\/b><\/p>\n<ol>\n<li>Raccogli i log dai dispositivi interessati<\/li>\n<li>Raccogli i log dagli strumenti di sicurezza pertinenti<\/li>\n<li>Individua l\u2019intervallo temporale dell\u2019incidente<\/li>\n<li>Correla log ed eventi<\/li>\n<li>Crea una timeline cronologica dell\u2019incidente di sicurezza<\/li>\n<\/ol>\n<p>Per ottenere una timeline completa dell\u2019incidente, dovrai raccogliere i log da pi\u00f9 fonti e analizzare con attenzione la sequenza degli eventi.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>In questa guida ti illustriamo nel dettaglio i diversi metodi per ricostruire una timeline di un incidente di cybersecurity utilizzando i dati di Microsoft Defender for Endpoint, i log di controllo di Microsoft 365 e la telemetria a livello di sistema. Includiamo query PowerShell, controlli del Registro di sistema e dei criteri di gruppo, oltre [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":536388,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4358],"tags":[],"class_list":["post-915885","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-ops-nl"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/915885","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/comments?post=915885"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/915885\/revisions"}],"predecessor-version":[{"id":915886,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/915885\/revisions\/915886"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/media\/536388"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/media?parent=915885"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/categories?post=915885"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/tags?post=915885"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}