Data/Locales/checks/it/EntraFedChecks.json
|
{ "_family": "EntraFedChecks.json", "EIDFED-001": { "name": { "value": "Enumerazione dei domini federati", "status": "machine-draft" }, "description": { "value": "Un inventario completo di tutti i domini federati nel tenant fornisce visibilità su come è configurata l'autenticazione per ciascun dominio. I domini federati reindirizzano l'autenticazione a provider di identita esterni, che devono essere adeguatamente protetti e monitorati. Questo inventario di base consente di valutare la superficie di attacco della federazione e di identificare i domini che potrebbero essere stati configurati dagli aggressori nell'ambito di un attacco Golden SAML o di federazione backdoor.", "status": "machine-draft" }, "recommendedValue": { "value": "Tutti i domini federati inventariati con endpoint del provider di identita, certificati di firma e giustificazione aziendale documentati", "status": "machine-draft" }, "remediationSteps": { "value": "Enumera tutti i domini nel tenant usando Microsoft Graph e identifica quelli con l'autenticazione federata configurata. Documenta l'endpoint del provider di identita, i dettagli del certificato di firma e il protocollo di federazione per ciascun dominio federato. Verifica che ogni trust di federazione sia autorizzato e corrisponda a un provider di identita noto e legittimo sotto il controllo dell'organizzazione.", "status": "machine-draft" } }, "EIDFED-002": { "name": { "value": "Periodo di validità del certificato di firma della federazione", "status": "machine-draft" }, "description": { "value": "I certificati di firma della federazione con periodi di validità eccessivamente lunghi offrono una finestra estesa agli aggressori che ottengono la chiave privata per falsificare i token SAML e mantenere un accesso non autorizzato persistente. I certificati con periodi di validità superiori a 3 anni si discostano dalle best practice di sicurezza e possono indicare un certificato compromesso o creato da un aggressore. I certificati a breve durata limitano la durata del potenziale abuso in caso di compromissione della chiave privata.", "status": "machine-draft" }, "recommendedValue": { "value": "Certificati di firma della federazione con periodi di validità non superiori a 1 anno e con procedure di rotazione automatizzate in atto", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina i certificati di firma di tutti i domini federati e controlla le loro date NotBefore e NotAfter per determinare il periodo di validità. Sostituisci eventuali certificati con periodi di validità superiori a 3 anni con nuovi certificati dalla durata più breve, allineati al criterio di certificazione dell'organizzazione. Implementa procedure di rotazione automatizzata dei certificati e configura avvisi di monitoraggio per i certificati prossimi alla scadenza.", "status": "machine-draft" } }, "EIDFED-003": { "name": { "value": "Discrepanza tra emittente e soggetto del certificato di firma della federazione", "status": "machine-draft" }, "description": { "value": "Una discrepanza tra i campi emittente e soggetto di un certificato di firma della federazione è un forte indicatore di un potenziale attacco Golden SAML, in cui un aggressore ha sostituito il certificato di firma legittimo con uno da lui controllato. In un attacco Golden SAML l'aggressore genera un certificato autofirmato con valori arbitrari di emittente/soggetto e lo configura come certificato di firma del trust di federazione, consentendogli di falsificare i token SAML per qualsiasi utente. Qualsiasi discrepanza tra emittente e soggetto che non sia allineata alla catena di autorità di certificazione prevista richiede un'indagine immediata.", "status": "machine-draft" }, "recommendedValue": { "value": "I campi emittente e soggetto del certificato di firma della federazione corrispondono alla catena PKI organizzativa prevista, senza certificati autofirmati imprevisti", "status": "machine-draft" }, "remediationSteps": { "value": "Estrai il certificato di firma da ciascun trust di dominio federato e confronta i campi emittente e soggetto con la gerarchia PKI organizzativa prevista. Indaga su qualsiasi certificato in cui l'emittente non corrisponda alla tua autorità di certificazione nota o in cui il soggetto contenga valori imprevisti. Se viene rilevata una discrepanza, trattala come un potenziale incidente di sicurezza, ruota immediatamente il certificato di firma della federazione ed esamina i log di controllo per individuare modifiche non autorizzate alla configurazione della federazione.", "status": "machine-draft" } }, "EIDFED-004": { "name": { "value": "Analisi dei metadati del trust di federazione", "status": "machine-draft" }, "description": { "value": "I metadati del trust di federazione definiscono gli endpoint del provider di identita, i protocolli supportati e la configurazione di firma dei token usati per l'autenticazione federata. Metadati manipolati possono reindirizzare i flussi di autenticazione verso endpoint controllati da un aggressore o introdurre certificati di firma non autorizzati, consentendo attacchi di falsificazione di token e impersonificazione. L'URL dell'endpoint dei metadati, gli endpoint passivo e attivo e le configurazioni dell'algoritmo di firma dovrebbero essere convalidati rispetto a valori noti e attendibili.", "status": "machine-draft" }, "recommendedValue": { "value": "Tutti i metadati del trust di federazione convalidati rispetto a una baseline nota e attendibile, con gli URL di aggiornamento dei metadati che puntano a endpoint controllati dall'organizzazione", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina la configurazione della federazione per ciascun dominio federato, inclusi l'URI di scambio dei metadati, l'endpoint di accesso passivo, l'URI dell'emittente e i dettagli del certificato di firma. Confronta i valori attuali con una configurazione di base documentata per identificare eventuali modifiche non autorizzate. Assicurati che gli endpoint di aggiornamento dei metadati usino HTTPS e puntino a infrastrutture controllate dall'organizzazione, e verifica che gli algoritmi di firma usino SHA-256 o più robusti.", "status": "machine-draft" } }, "EIDFED-005": { "name": { "value": "Revisione della configurazione di Azure AD Connect", "status": "machine-draft" }, "description": { "value": "Azure AD Connect sincronizza gli oggetti di Active Directory locale con Entra ID ed è un componente critico dell'architettura di identita ibrida. Impostazioni di Azure AD Connect configurate in modo errato possono esporre attributi sensibili al cloud, creare percorsi di elevazione dei privilegi non intenzionali o consentire agli aggressori con accesso locale di manipolare le identita cloud. Le autorizzazioni dell'account connettore, le regole di sincronizzazione e la configurazione delle funzionalità dovrebbero essere esaminate rispetto alle best practice di sicurezza.", "status": "machine-draft" }, "recommendedValue": { "value": "Azure AD Connect configurato con account connettore a privilegi minimi, regole di sincronizzazione rafforzate e tutte le funzionalità di sicurezza abilitate", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina la configurazione di Azure AD Connect, incluse le autorizzazioni dell'account connettore, le regole di sincronizzazione e le funzionalità abilitate. Assicurati che l'account connettore di AD DS usi le autorizzazioni minime necessarie e che l'account connettore di Entra ID sia un account del servizio dedicato solo cloud. Verifica che il server di Azure AD Connect sia trattato come un asset Tier 0 con accesso amministrativo limitato e monitoraggio completo.", "status": "machine-draft" } }, "EIDFED-006": { "name": { "value": "Audit dell'ambito di sincronizzazione di Azure AD Connect", "status": "machine-draft" }, "description": { "value": "L'ambito di sincronizzazione in Azure AD Connect determina quali unità organizzative, gruppi e attributi locali vengono replicati in Entra ID. Un ambito di sincronizzazione eccessivamente ampio può replicare account del servizio, account amministrativi o gruppi di sicurezza sensibili che dovrebbero rimanere esclusivamente locali. Al contrario, un ambito limitato in modo improprio può non sincronizzare account che richiedono accesso cloud, causando errori di autenticazione.", "status": "machine-draft" }, "recommendedValue": { "value": "Ambito di sincronizzazione limitato solo alle unità organizzative e agli oggetti necessari, con esclusione di account del servizio e oggetti amministrativi sensibili", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina l'ambito di sincronizzazione di Azure AD Connect, incluse le regole di filtro per unità organizzativa, per gruppo e a livello di attributo. Verifica che nell'ambito di sincronizzazione siano incluse solo le unità organizzative contenenti account utente che richiedono accesso cloud. Escludi account del servizio locali sensibili, account amministrativi e gruppi di sicurezza che non necessitano di rappresentazione cloud, e documenta la motivazione di ciascuna unità organizzativa inclusa.", "status": "machine-draft" } }, "EIDFED-007": { "name": { "value": "Stato di abilitazione della sincronizzazione hash delle password", "status": "machine-draft" }, "description": { "value": "La sincronizzazione hash delle password (PHS) replica un hash degli hash delle password locali in Entra ID, consentendo l'autenticazione cloud come backup quando la federazione o l'autenticazione pass-through non è disponibile. Sebbene la PHS offra resilienza e consenta il rilevamento delle credenziali trapelate tramite Entra ID Identity Protection, le organizzazioni devono comprendere le implicazioni di sicurezza dell'archiviazione di derivati delle password nel cloud. La PHS dovrebbe essere valutata rispetto ai requisiti di sicurezza dell'organizzazione e alla propensione al rischio.", "status": "machine-draft" }, "recommendedValue": { "value": "PHS abilitata come metodo di autenticazione di backup con il rilevamento delle credenziali trapelate attivo tramite Entra ID Identity Protection", "status": "machine-draft" }, "remediationSteps": { "value": "Controlla la configurazione di Azure AD Connect per determinare se la sincronizzazione hash delle password è abilitata. Se la PHS è disabilitata, valuta di abilitarla come metodo di autenticazione di backup e per supportare il rilevamento delle credenziali trapelate di Entra ID Identity Protection. Se la PHS è già abilitata, verifica che Entra ID Identity Protection sia configurato per sfruttare gli hash delle password ai fini del rilevamento basato sul rischio delle credenziali compromesse.", "status": "machine-draft" } }, "EIDFED-008": { "name": { "value": "Stato degli agenti di autenticazione pass-through", "status": "machine-draft" }, "description": { "value": "L'autenticazione pass-through (PTA) convalida le password degli utenti rispetto ad Active Directory locale in tempo reale senza archiviare gli hash delle password nel cloud. Gli agenti PTA in esecuzione sui server locali devono essere adeguatamente protetti, monitorati e mantenuti aggiornati, poiché un agente PTA compromesso potrebbe essere manipolato per accettare qualsiasi password o per intercettare le credenziali durante l'autenticazione. L'integrità dell'agente, l'aggiornamento della versione e la postura di sicurezza del server sono fondamentali per mantenere l'integrità dell'autenticazione.", "status": "machine-draft" }, "recommendedValue": { "value": "Almeno 2 agenti PTA distribuiti su server rafforzati, con versioni degli agenti aggiornate e monitoraggio dell'integrità abilitato", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina lo stato degli agenti PTA in Entra ID > Gestione ibrida > Azure AD Connect > Autenticazione pass-through. Verifica che siano distribuiti almeno due agenti per la ridondanza e che tutti gli agenti mostrino uno stato integro con versioni software aggiornate. Assicurati che i server degli agenti PTA siano trattati come asset Tier 0 con accesso amministrativo limitato, patch di sicurezza aggiornate e monitoraggio completo del registro eventi.", "status": "machine-draft" } }, "EIDFED-009": { "name": { "value": "Valutazione della configurazione dei server AD FS", "status": "machine-draft" }, "description": { "value": "I server di Active Directory Federation Services (AD FS) gestiscono l'autenticazione per i domini federati ed elaborano token SAML sensibili dal punto di vista della sicurezza. Impostazioni di AD FS configurate in modo errato, quali algoritmi di firma dei token deboli, registrazione di controllo disabilitata, accesso extranet eccessivamente permissivo o regole di attestazione obsolete, possono essere sfruttate per la falsificazione di token, la raccolta di credenziali o l'accesso non autorizzato. La configurazione di AD FS dovrebbe essere valutata regolarmente rispetto alle baseline di sicurezza e alle guide di rafforzamento di Microsoft.", "status": "machine-draft" }, "recommendedValue": { "value": "Server AD FS configurati secondo la baseline di sicurezza Microsoft con firma SHA-256, registrazione di controllo completa e patch di Windows Server aggiornate", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina la configurazione dei server AD FS, inclusi l'algoritmo di firma dei token (dovrebbe essere SHA-256), le impostazioni del registro di controllo (dovrebbero acquisire gli eventi di esito positivo e negativo), i criteri di accesso extranet e la complessità delle regole di attestazione. Assicurati che i server AD FS eseguano le patch più recenti di Windows Server e che la farm AD FS sia configurata con server ridondanti. Verifica che l'account del servizio AD FS segua i principi del privilegio minimo e che la chiave privata del certificato di firma dei token sia adeguatamente protetta.", "status": "machine-draft" } }, "EIDFED-010": { "name": { "value": "Impostazioni di blocco extranet di AD FS", "status": "machine-draft" }, "description": { "value": "Il blocco extranet di AD FS protegge dagli attacchi di brute-force e password spray rivolti all'endpoint AD FS esposto a Internet. Senza una configurazione adeguata del blocco extranet, gli aggressori possono tentare un numero illimitato di ipotesi di password contro qualsiasi account federato tramite il proxy AD FS, compromettendo potenzialmente gli account con password deboli o comunemente usate. La funzionalità di blocco intelligente in AD FS offre protezione riducendo al minimo l'impatto del blocco sugli utenti legittimi.", "status": "machine-draft" }, "recommendedValue": { "value": "Blocco intelligente extranet abilitato con soglia e finestra di osservazione appropriate configurate per prevenire gli attacchi brute-force", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina la configurazione del blocco extranet di AD FS usando Get-AdfsProperties in PowerShell sul server AD FS. Abilita il blocco intelligente extranet se non è già attivo e configura una soglia di blocco e una finestra di osservazione appropriate in base agli schemi di autenticazione della tua organizzazione. Monitora i log di sicurezza di AD FS per individuare eventi di blocco extranet e regola le soglie se gli utenti legittimi vengono bloccati o se i tentativi brute-force hanno successo.", "status": "machine-draft" } }, "EIDFED-011": { "name": { "value": "Configurazione dell'aggiunta ibrida", "status": "machine-draft" }, "description": { "value": "L'aggiunta ad Azure AD ibrida registra i dispositivi locali aggiunti al dominio con Entra ID, abilitando i criteri di accesso condizionale che richiedono la conformita del dispositivo o lo stato di aggiunta al dominio. Impostazioni di aggiunta ibrida configurate in modo errato possono impedire la registrazione dei dispositivi, il che impedisce agli utenti di soddisfare i requisiti di accesso condizionale basati sul dispositivo, oppure possono consentire la registrazione di dispositivi non autorizzati se il punto di connessione del servizio non è adeguatamente protetto. La configurazione dovrebbe essere convalidata da estremo a estremo.", "status": "machine-draft" }, "recommendedValue": { "value": "Aggiunta ad Azure AD ibrida configurata e funzionante con il punto di connessione del servizio adeguatamente protetto e la registrazione dei dispositivi verificata per tutte le unità organizzative di destinazione", "status": "machine-draft" }, "remediationSteps": { "value": "Verifica la configurazione del punto di connessione del servizio (SCP) in Active Directory e assicurati che punti al tenant Entra ID corretto. Controlla che la configurazione dell'aggiunta ibrida in Azure AD Connect includa i domini corretti e che gli endpoint di registrazione aziendale necessari siano accessibili dai dispositivi client. Verifica che i dispositivi si registrino correttamente esaminando l'elenco dei dispositivi in Entra ID e risolvendo i problemi dei dispositivi che mostrano uno stato in sospeso.", "status": "machine-draft" } }, "EIDFED-012": { "name": { "value": "Analisi degli account solo cloud rispetto agli account sincronizzati", "status": "machine-draft" }, "description": { "value": "Comprendere la distribuzione degli account solo cloud rispetto agli account sincronizzati dall'ambiente locale fornisce visibilità sul panorama dell'identita ibrida e aiuta a identificare potenziali lacune di sicurezza. Gli account solo cloud sono gestiti interamente in Entra ID, mentre gli account sincronizzati provengono da Active Directory locale e ne ereditano la postura di sicurezza. Questa analisi aiuta a identificare gli account che dovrebbero essere solo cloud ma vengono sincronizzati, o viceversa, e orienta le decisioni sulla scelta del metodo di autenticazione e sul posizionamento dei controlli di sicurezza.", "status": "machine-draft" }, "recommendedValue": { "value": "Tutti gli account categorizzati come solo cloud o sincronizzati, con documentazione dello stato previsto per ciascun tipo di account e ruolo", "status": "machine-draft" }, "remediationSteps": { "value": "Esporta tutti gli account utente da Entra ID e categorizzali in base alla proprietà onPremisesSyncEnabled per determinare quali account sono sincronizzati dall'ambiente locale rispetto a quelli solo cloud. Verifica che gli account amministrativi con privilegi siano solo cloud per evitare che una compromissione locale influisca sull'amministrazione cloud. Documenta l'origine dell'identita prevista per ciascun tipo di account e indaga su qualsiasi account la cui origine effettiva non corrisponda alla configurazione prevista.", "status": "machine-draft" } }, "EIDFED-013": { "name": { "value": "Aggiornamento della versione del client di sincronizzazione Entra Connect", "status": "machine-draft" }, "description": { "value": "Microsoft Entra Connect (in precedenza Azure AD Connect) è il client di sincronizzazione che replica le identita di Active Directory locale in Entra ID ed è un componente ibrido Tier-0: una compromissione del server Connect può portare a identita cloud falsificate o manipolate e a un impatto sull'intero tenant. Microsoft rilascia periodicamente build di Entra Connect che contengono correzioni di sicurezza non divulgate accompagnate da indicazioni urgenti di 'aggiornare immediatamente'. Un server Connect che esegue una build inferiore alla baseline minima sicura è un asset Tier-0 privo di patch, esposto a vulnerabilità note ma non divulgate. Poiché la versione è un attributo del server Connect locale anziché una proprietà della directory cloud, l'aggiornamento della versione deve essere confermato in modo autorevole sull'host Connect; quando non può essere letto deve essere segnalato per la verifica manuale anziché presunto conforme.", "status": "machine-draft" }, "recommendedValue": { "value": "Entra Connect aggiornato all'ultima build disponibile (pari o superiore alla baseline minima sicura), con l'aggiornamento automatico abilitato dove supportato e il server Connect gestito come asset Tier-0", "status": "machine-draft" }, "remediationSteps": { "value": "Identifica la build di Entra Connect installata sul server di sincronizzazione usando la chiave del Registro di sistema HKLM\\SOFTWARE\\Microsoft\\Azure AD Connect oppure Get-ADSyncGlobalSettings, e confrontala con l'ultima build pubblicata da Microsoft. Aggiorna Entra Connect all'ultima versione per applicare le correzioni di sicurezza e abilita l'aggiornamento automatico dove la distribuzione lo supporta. Tratta il server di Entra Connect come un asset Tier-0: limita l'accesso amministrativo, applica le patch del sistema operativo aggiornate e abilita un monitoraggio completo. Documenta un processo ricorrente per tracciare le note sulla versione di Microsoft Entra Connect e applicare tempestivamente le build di sicurezza.", "status": "machine-draft" } } } |