Data/Locales/checks/it/EntraAuthChecks.json
|
{ "_family": "EntraAuthChecks.json", "EIDAUTH-001": { "name": { "value": "Audit del criterio dei metodi di autenticazione", "status": "machine-draft" }, "description": { "value": "Il criterio dei metodi di autenticazione definisce quali metodi sono disponibili agli utenti per l'accesso e per l'MFA. Un criterio configurato in modo errato può consentire metodi deboli o deprecati, aumentando la superficie di attacco. Questo controllo verifica lo stato attuale del criterio rispetto alle baseline di sicurezza riconosciute di Entra ID.", "status": "machine-draft" }, "recommendedValue": { "value": "Criterio dei metodi di autenticazione esaminato e allineato alla baseline di sicurezza organizzativa", "status": "machine-draft" }, "remediationSteps": { "value": "Passa a Entra ID > Protection > Authentication methods > Policies. Esamina ciascun metodo abilitato e disabilita quelli non richiesti dalla tua organizzazione. Assicurati che i metodi resistenti al phishing come FIDO2 e Microsoft Authenticator abbiano la priorità rispetto a SMS e chiamata vocale.", "status": "machine-draft" } }, "EIDAUTH-002": { "name": { "value": "Stato di registrazione MFA per tutti gli utenti", "status": "machine-draft" }, "description": { "value": "Tutti gli utenti dovrebbero essere registrati per l'autenticazione a più fattori per prevenire la compromissione degli account tramite credenziali rubate o indovinate. Gli account senza registrazione MFA sono l'obiettivo primario degli attacchi basati sulle credenziali, tra cui il password spraying e il phishing. Gli utenti non registrati rappresentano lacune critiche nella postura di sicurezza delle identità.", "status": "machine-draft" }, "recommendedValue": { "value": "100% degli utenti attivi registrati per l'MFA", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina lo stato di registrazione MFA tramite Entra ID > Protection > Authentication methods > User registration details. Imponi la registrazione MFA tramite criteri di accesso condizionale che richiedano l'MFA per tutti gli utenti. Fissa una scadenza per la registrazione e comunica i requisiti agli utenti non registrati.", "status": "machine-draft" } }, "EIDAUTH-003": { "name": { "value": "Analisi della distribuzione dei metodi MFA", "status": "machine-draft" }, "description": { "value": "Comprendere la distribuzione dei metodi MFA tra gli utenti aiuta a valutare la robustezza complessiva dei controlli di autenticazione. Le organizzazioni dovrebbero monitorare l'adozione dei metodi resistenti al phishing come FIDO2 e la notifica push di Authenticator rispetto a metodi più deboli come l'SMS. Questa visibilità consente campagne mirate per migrare gli utenti verso metodi più robusti.", "status": "machine-draft" }, "recommendedValue": { "value": "La maggior parte degli utenti registrata con metodi MFA resistenti al phishing (FIDO2, Microsoft Authenticator, Windows Hello)", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina la distribuzione dei metodi tramite Entra ID > Protection > Authentication methods > User registration details. Individua gli utenti che si affidano esclusivamente a metodi più deboli e crea piani di migrazione. Usa i report sull'attività dei metodi di autenticazione per monitorare i progressi dell'adozione.", "status": "machine-draft" } }, "EIDAUTH-004": { "name": { "value": "Utenti con soli metodi MFA SMS/vocale", "status": "machine-draft" }, "description": { "value": "Gli utenti che si affidano esclusivamente all'MFA tramite SMS o chiamata vocale sono vulnerabili agli attacchi di SIM swap, in cui gli aggressori manipolano socialmente gli operatori mobili per trasferire il numero di telefono della vittima, e agli attacchi al protocollo di segnalazione SS7 che intercettano i messaggi SMS in transito. Questi metodi offrono una protezione significativamente più debole rispetto all'autenticazione basata su app o su token hardware. Le organizzazioni dovrebbero individuare e migrare questi utenti verso metodi resistenti al phishing.", "status": "machine-draft" }, "recommendedValue": { "value": "Nessun utente che si affida esclusivamente a SMS o chiamata vocale come unico metodo MFA", "status": "machine-draft" }, "remediationSteps": { "value": "Individua gli utenti con solo MFA SMS/vocale tramite Entra ID > Protection > Authentication methods > User registration details. Crea un piano di migrazione per spostare questi utenti su Microsoft Authenticator o su chiavi di sicurezza FIDO2. Valuta di disabilitare SMS/vocale come metodi consentiti nel criterio dei metodi di autenticazione al termine della migrazione.", "status": "machine-draft" } }, "EIDAUTH-005": { "name": { "value": "Utenti senza alcun metodo MFA registrato", "status": "machine-draft" }, "description": { "value": "Gli utenti privi di metodi MFA registrati non possono soddisfare le richieste MFA e rappresentano lacune di sicurezza critiche. Questi account sono completamente esposti agli attacchi basati sulle credenziali, tra cui password spraying, phishing e attacchi di forza bruta. È necessaria una correzione immediata per garantire che tutti gli account attivi abbiano almeno un metodo MFA registrato.", "status": "machine-draft" }, "recommendedValue": { "value": "Zero utenti attivi senza almeno un metodo MFA registrato", "status": "machine-draft" }, "remediationSteps": { "value": "Interroga i dettagli di registrazione degli utenti tramite Entra ID > Protection > Authentication methods > User registration details per individuare gli utenti senza metodi. Imponi la registrazione MFA tramite un criterio di accesso condizionale mirato agli utenti non registrati. Usa il Temporary Access Pass per assistere gli utenti che devono avviare la registrazione dell'MFA.", "status": "machine-draft" } }, "EIDAUTH-006": { "name": { "value": "Inventario e audit delle chiavi di sicurezza FIDO2", "status": "machine-draft" }, "description": { "value": "Le chiavi di sicurezza FIDO2 forniscono un'autenticazione resistente al phishing, ma devono essere inventariate e gestite lungo tutto il loro ciclo di vita. Le chiavi non tracciate possono restare associate a dipendenti che hanno lasciato l'azienda o andare perse senza che ci si accorga. Audit regolari garantiscono che solo le chiavi autorizzate siano attive e correttamente assegnate agli utenti in servizio.", "status": "machine-draft" }, "recommendedValue": { "value": "Tutte le chiavi FIDO2 registrate inventariate con assegnazioni di proprietario documentate e revisioni di attestazione regolari", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina le registrazioni delle chiavi FIDO2 tramite Entra ID > Protection > Authentication methods > FIDO2 security key. Confronta le chiavi registrate con l'inventario degli asset hardware e rimuovi le chiavi degli utenti che hanno lasciato l'azienda. Implementa criteri di registrazione delle chiavi che limitino i valori AAGUID consentiti ai modelli di fornitori approvati.", "status": "machine-draft" } }, "EIDAUTH-007": { "name": { "value": "Verifica della vulnerabilità ROCA delle chiavi FIDO2", "status": "machine-draft" }, "description": { "value": "La vulnerabilità ROCA (Return of Coppersmith's Attack) (CVE-2017-15361) interessa la generazione di chiavi RSA nel firmware TPM Infineon usato in alcune chiavi di sicurezza FIDO2, consentendo il recupero della chiave privata a partire dalla chiave pubblica. Le chiavi interessate producono coppie di chiavi RSA deboli che possono essere fattorizzate, compromettendo del tutto la sicurezza della credenziale di autenticazione. Le chiavi con firmware vulnerabile devono essere individuate e sostituite immediatamente.", "status": "machine-draft" }, "recommendedValue": { "value": "Nessuna chiave FIDO2 con firmware TPM Infineon vulnerabile a ROCA in uso", "status": "machine-draft" }, "remediationSteps": { "value": "Individua le chiavi FIDO2 che usano TPM Infineon confrontando i valori AAGUID con i modelli vulnerabili noti. Testa le chiavi registrate usando strumenti di rilevamento ROCA per confermarne lo stato di vulnerabilità. Sostituisci tutte le chiavi interessate con versioni di firmware corrette o con hardware alternativo e revoca in Entra ID le registrazioni delle vecchie chiavi.", "status": "machine-draft" } }, "EIDAUTH-008": { "name": { "value": "Preparazione all'autenticazione senza password", "status": "machine-draft" }, "description": { "value": "L'autenticazione senza password elimina le password come vettore di attacco, rimuovendo il rischio di furto delle credenziali, phishing e password spraying. Le organizzazioni dovrebbero valutare la propria prontezza a distribuire metodi senza password come FIDO2, Windows Hello for Business e l'accesso telefonico di Microsoft Authenticator. Questo controllo valuta l'attuale adozione dei metodi e individua le lacune che impediscono la distribuzione senza password.", "status": "machine-draft" }, "recommendedValue": { "value": "L'organizzazione dispone di un piano di distribuzione senza password con almeno il 50% degli utenti in grado di accedere senza password", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina le registrazioni dei metodi di autenticazione per determinare quanti utenti hanno registrato metodi in grado di funzionare senza password. Abilita l'accesso senza password FIDO2 e Microsoft Authenticator nel criterio dei metodi di autenticazione. Crea un piano di distribuzione a fasi che parta dagli utenti con privilegi e dal personale IT prima di estendersi al resto dell'organizzazione.", "status": "machine-draft" } }, "EIDAUTH-009": { "name": { "value": "Configurazione di Windows Hello for Business", "status": "machine-draft" }, "description": { "value": "Windows Hello for Business fornisce un'autenticazione resistente al phishing e supportata dall'hardware usando dati biometrici o un PIN legati al TPM del dispositivo. Distribuzioni WHfB configurate in modo errato possono ripiegare su un PIN di comodità più debole senza una corretta attestazione TPM, riducendo le garanzie di sicurezza. La configurazione dovrebbe imporre chiavi supportate dal TPM e criteri biometrici appropriati.", "status": "machine-draft" }, "recommendedValue": { "value": "Windows Hello for Business abilitato con requisito TPM imposto e sblocco a più fattori configurato per i ruoli sensibili", "status": "machine-draft" }, "remediationSteps": { "value": "Passa a Entra ID > Protection > Authentication methods > Windows Hello for Business. Abilita il metodo e configura le restrizioni delle chiavi per richiedere chiavi supportate dal TPM. Distribuisci i profili di configurazione WHfB tramite Intune per imporre l'attestazione TPM e i requisiti di complessità del PIN sui dispositivi gestiti.", "status": "machine-draft" } }, "EIDAUTH-010": { "name": { "value": "Audit del criterio Temporary Access Pass (TAP)", "status": "machine-draft" }, "description": { "value": "Il Temporary Access Pass consente passcode a tempo limitato per l'onboarding degli utenti verso le credenziali senza password, ma può fungere da backdoor se non è opportunamente limitato. I TAP configurati con durate lunghe o impostazioni riutilizzabili possono essere sfruttati dagli aggressori che compromettono il processo di emissione. Il criterio TAP dovrebbe imporre durate brevi, restrizioni a uso singolo e limitare l'emissione agli amministratori autorizzati.", "status": "machine-draft" }, "recommendedValue": { "value": "TAP abilitato con durata massima di 1 ora, a uso singolo, limitato agli amministratori di onboarding autorizzati", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina il criterio TAP in Entra ID > Protection > Authentication methods > Temporary Access Pass. Imposta la durata minima e massima al periodo più breve praticabile e abilita l'uso singolo. Limita le autorizzazioni di emissione dei TAP a un insieme ristretto di amministratori tramite controlli di accesso basati sui ruoli.", "status": "machine-draft" } }, "EIDAUTH-011": { "name": { "value": "Configurazione della reimpostazione self-service della password (SSPR)", "status": "machine-draft" }, "description": { "value": "La SSPR consente agli utenti di reimpostare le proprie password senza l'intervento dell'helpdesk, ma deve essere configurata correttamente per prevenire l'appropriazione degli account. Una SSPR configurata in modo errato con metodi di verifica deboli o con un numero insufficiente di metodi richiesti consente agli aggressori di reimpostare le password usando informazioni personali compromesse. La SSPR dovrebbe richiedere più metodi di verifica robusti ed essere abilitata per tutti gli utenti.", "status": "machine-draft" }, "recommendedValue": { "value": "SSPR abilitata per tutti gli utenti con un minimo di due metodi di autenticazione richiesti per la reimpostazione", "status": "machine-draft" }, "remediationSteps": { "value": "Passa a Entra ID > Protection > Password reset > Properties e abilita la SSPR per tutti gli utenti. Imposta su 2 il numero di metodi richiesti per la reimpostazione. In Authentication methods, assicurati che siano consentiti solo metodi robusti come la notifica dell'app mobile, il codice dell'app mobile e l'email, disabilitando le domande di sicurezza.", "status": "machine-draft" } }, "EIDAUTH-012": { "name": { "value": "Metodi e requisiti della SSPR", "status": "machine-draft" }, "description": { "value": "I metodi specifici consentiti per la SSPR e il numero richiesto incidono direttamente sulla sicurezza del processo di reimpostazione della password. Consentire metodi deboli come le domande di sicurezza o richiedere un solo metodo crea opportunità per gli aggressori di reimpostare le password tramite ingegneria sociale o OSINT. Le organizzazioni dovrebbero richiedere almeno due metodi robusti per tutte le reimpostazioni della password.", "status": "machine-draft" }, "recommendedValue": { "value": "Due o più metodi di autenticazione robusti richiesti per la reimpostazione della password, domande di sicurezza disabilitate", "status": "machine-draft" }, "remediationSteps": { "value": "Passa a Entra ID > Protection > Password reset > Authentication methods. Imposta su 2 il numero di metodi richiesti e rimuovi le domande di sicurezza dall'elenco dei metodi consentiti. Dai priorità alla notifica dell'app mobile e al codice dell'app mobile come metodi SSPR principali per garantire una verifica robusta.", "status": "machine-draft" } }, "EIDAUTH-013": { "name": { "value": "Configurazione della protezione password (password vietate)", "status": "machine-draft" }, "description": { "value": "La protezione password di Entra ID impedisce agli utenti di scegliere password comunemente compromesse verificandole rispetto a un elenco globale di password vietate mantenuto da Microsoft. Senza la protezione password abilitata, gli utenti possono selezionare password che compaiono in database di violazioni noti, rendendo gli account vulnerabili al password spraying e agli attacchi a dizionario. La funzionalità dovrebbe essere abilitata in modalità imposta sia per gli ambienti cloud sia per quelli locali.", "status": "machine-draft" }, "recommendedValue": { "value": "Protezione password abilitata in modalità Imposta con l'elenco globale delle password vietate attivo", "status": "machine-draft" }, "remediationSteps": { "value": "Passa a Entra ID > Protection > Authentication methods > Password protection. Imposta la modalità su Imposta e assicurati che l'elenco globale delle password vietate sia abilitato. Se usi l'identità ibrida con Active Directory locale, distribuisci il proxy di protezione password di Entra ID e gli agenti DC per estendere la protezione alle modifiche delle password locali.", "status": "machine-draft" } }, "EIDAUTH-014": { "name": { "value": "Stato dell'elenco personalizzato delle password vietate", "status": "machine-draft" }, "description": { "value": "Oltre all'elenco globale delle password vietate, le organizzazioni dovrebbero mantenere un elenco personalizzato di password vietate contenente termini specifici dell'azienda, nomi di prodotti, località e altre variazioni facilmente indovinabili. Senza un elenco personalizzato, gli utenti possono scegliere password basate sul contesto organizzativo che gli aggressori possono facilmente indovinare tramite attacchi mirati. L'elenco personalizzato supporta fino a 1000 voci e dovrebbe essere aggiornato regolarmente.", "status": "machine-draft" }, "recommendedValue": { "value": "Elenco personalizzato delle password vietate abilitato con termini specifici dell'organizzazione, tra cui nome dell'azienda, prodotti, località e variazioni comuni", "status": "machine-draft" }, "remediationSteps": { "value": "Passa a Entra ID > Protection > Authentication methods > Password protection. Abilita l'elenco personalizzato delle password vietate e aggiungi voci per il nome della tua organizzazione, i nomi dei prodotti, le sedi degli uffici e i termini interni di uso comune. Esamina e aggiorna l'elenco trimestralmente per includere nuovi termini e schemi individuati negli audit delle password.", "status": "machine-draft" } }, "EIDAUTH-015": { "name": { "value": "Utilizzo dei protocolli di autenticazione legacy", "status": "machine-draft" }, "description": { "value": "I protocolli di autenticazione legacy, tra cui POP3, IMAP4, SMTP AUTH ed Exchange ActiveSync Basic, non supportano l'autenticazione moderna né l'MFA, consentendo agli aggressori di aggirare completamente l'MFA usando credenziali rubate. Questi protocolli trasmettono le credenziali in modi suscettibili di intercettazione e costituiscono il vettore primario per gli attacchi di password spraying contro i tenant Microsoft 365. Tutta l'autenticazione legacy dovrebbe essere bloccata tramite criteri di accesso condizionale.", "status": "machine-draft" }, "recommendedValue": { "value": "Tutti i protocolli di autenticazione legacy bloccati tramite accesso condizionale, senza alcun utilizzo attivo rilevato nei log di accesso", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina l'utilizzo dell'autenticazione legacy in Entra ID > Monitoring > Sign-in logs > filtro per app client (protocolli legacy). Crea un criterio di accesso condizionale per bloccare l'autenticazione legacy per tutti gli utenti e tutte le app cloud. Monitora i tentativi di accesso bloccati e collabora con gli utenti interessati per migrarli a client di autenticazione moderni.", "status": "machine-draft" } }, "EIDAUTH-016": { "name": { "value": "Flusso ROPC (Resource Owner Password Credentials) abilitato", "status": "machine-draft" }, "description": { "value": "Il flusso di autenticazione Resource Owner Password Credentials (ROPC) invia nome utente e password direttamente all'endpoint del token, aggirando completamente l'autenticazione a più fattori e i criteri di accesso condizionale. Le applicazioni che usano il tipo di concessione ROPC espongono le credenziali in un modo che non può essere protetto dai controlli di sicurezza moderni e rappresentano una lacuna di sicurezza significativa. ROPC dovrebbe essere disabilitato per tutte le applicazioni, salvo che vi sia un requisito tecnico assoluto con controlli compensativi.", "status": "machine-draft" }, "recommendedValue": { "value": "Flusso ROPC disabilitato per tutte le registrazioni delle applicazioni, nessuna applicazione che usa il tipo di concessione password", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina le registrazioni delle applicazioni in Entra ID > Applications > App registrations per individuare le app configurate per consentire i flussi client pubblici. Disabilita l'impostazione 'Allow public client flows' per le applicazioni che non richiedono ROPC. Migra le applicazioni che usano ROPC a flussi interattivi supportati, come il flusso di codice di autorizzazione con PKCE o il flusso di codice del dispositivo.", "status": "machine-draft" } }, "EIDAUTH-017": { "name": { "value": "Rilevamento dei conflitti tra MFA per utente e MFA di accesso condizionale", "status": "machine-draft" }, "description": { "value": "Le impostazioni legacy dell'MFA per utente (abilitato/imposto a livello di singolo utente) possono entrare in conflitto con i criteri MFA basati sull'accesso condizionale, generando un comportamento di autenticazione imprevedibile. Quando entrambi sono attivi, gli utenti possono ricevere richieste MFA duplicate, subire errori di autenticazione o riscontrare un'applicazione incoerente dei criteri a seconda di quale meccanismo viene valutato per primo. Le organizzazioni dovrebbero migrare interamente all'MFA basato sull'accesso condizionale e disabilitare le impostazioni dell'MFA per utente per garantire un'applicazione coerente dei criteri.", "status": "machine-draft" }, "recommendedValue": { "value": "MFA per utente disabilitato per tutti gli utenti, con l'MFA imposto esclusivamente tramite criteri di accesso condizionale", "status": "machine-draft" }, "remediationSteps": { "value": "Verifica lo stato dell'MFA per utente tramite Entra ID > Users > Per-user MFA e individua gli utenti con l'MFA per utente abilitato o imposto. Crea criteri di accesso condizionale equivalenti che impongano l'MFA per tutti gli utenti prima di disabilitare l'MFA per utente. Disabilita l'MFA per utente impostando su Disabled lo stato di ciascun utente dopo aver confermato che la copertura dell'MFA tramite accesso condizionale è completa.", "status": "machine-draft" } }, "EIDAUTH-018": { "name": { "value": "Contesto di accesso di Microsoft Authenticator (nome dell'applicazione e posizione)", "status": "machine-draft" }, "description": { "value": "Quando il metodo di autenticazione Microsoft Authenticator è abilitato, la visualizzazione delle informazioni di contesto dell'accesso (nome dell'applicazione e posizione geografica) nelle notifiche push e senza password offre all'utente la consapevolezza situazionale necessaria per riconoscere e rifiutare le richieste MFA che non ha avviato. Senza questo contesto, gli utenti sono molto più propensi ad approvare le richieste push avviate da un avversario durante episodi di MFA fatigue o attacchi di phishing in tempo reale. Questa impostazione è controllata dalle impostazioni delle funzionalità displayAppInformationRequiredState e displayLocationInformationRequiredState nella configurazione del metodo MicrosoftAuthenticator.", "status": "machine-draft" }, "recommendedValue": { "value": "Se Microsoft Authenticator è abilitato, displayAppInformationRequiredState è abilitato (nome dell'applicazione mostrato); si consiglia anche displayLocationInformationRequiredState", "status": "machine-draft" }, "remediationSteps": { "value": "Passa a Entra ID > Protection > Authentication methods > Policies > Microsoft Authenticator. Nella scheda Configure, imposta 'Show application name in push and passwordless notifications' su Enabled per tutti gli utenti e abilita 'Show geographic location in push and passwordless notifications'. Questo soddisfa SCuBA MS.AAD.3.3, che richiede la configurazione di Microsoft Authenticator per mostrare il contesto di accesso quando è abilitato.", "status": "machine-draft" } } } |