AI Pilot

Il cuore di Aether365 è la scansione di sicurezza di Microsoft 365 in sola lettura: analizza il tuo tenant, mostra le anomalie e ti fornisce i passaggi di correzione da eseguire autonomamente. AI Pilot estende tutto questo con una correzione assistita. Dopo una scansione, AI Pilot può proporre correzioni specifiche, lasciarti esaminare ciascuna di esse e applicare le modifiche che approvi direttamente nel tuo tenant Microsoft 365 tramite Microsoft Graph.

AI Pilot è opzionale e utilizza una connessione Microsoft con consenso in scrittura separata. La scansione in sola lettura resta l'impostazione predefinita per ogni tenant e nulla viene scritto nel tuo tenant senza la tua approvazione.

In cosa AI Pilot si distingue dalla scansione in sola lettura

	Scansione in sola lettura (predefinita)	AI Pilot (opzionale)
Cosa fa	Legge la configurazione del tenant, esegue le scansioni, mostra anomalie e correzioni	Tutto ciò che fa la scansione, più l'applicazione delle correzioni approvate
Chi applica	Tu, seguendo i passaggi di correzione	AI Pilot, dopo la tua approvazione elemento per elemento
Consenso	Consenso Microsoft in sola lettura (concesso quando colleghi un tenant)	Un consenso in scrittura separato, concesso solo quando attivi AI Pilot
Piani	Tutti i piani	Piani a pagamento

La scansione in sola lettura è sempre l'impostazione predefinita. AI Pilot non modifica mai questa postura di propria iniziativa: aggiunge una connessione in scrittura opzionale e separata che configuri in modo esplicito.

Disponibilità

AI Pilot è disponibile sui piani a pagamento. Se il tuo piano non lo include, la sezione AI Pilot ti invita ad aggiornare il piano. La scansione in sola lettura continua a funzionare su tutti i piani.

Il flusso di AI Pilot

L'uso di AI Pilot si articola in cinque passaggi:

1. Collega un tenant AI Pilot: concedi il consenso Microsoft in scrittura separato per il tenant che vuoi attivare.
2. Esegui una scansione AI Pilot: Aether365 analizza il tenant e individua i controlli non superati.
3. Esamina le anomalie: AI Pilot genera un piano di correzione che mostra ogni modifica proposta, con il valore attuale e il nuovo valore proposto affiancati.
4. Approva le correzioni elemento per elemento: approvi ogni correzione singolarmente. Nulla viene applicato finché non lo fai.
5. AI Pilot applica e verifica: le correzioni approvate vengono applicate tramite Microsoft Graph e il nuovo stato viene verificato.

Attivare AI Pilot per un tenant

AI Pilot richiede un consenso amministratore Microsoft separato, che concede autorizzazioni in scrittura mirate oltre alle autorizzazioni in lettura usate per la scansione. È un passaggio una tantum per ciascun tenant e non incide sulla connessione in sola lettura che già possiedi.

È richiesto un Global Administrator

Il consenso di AI Pilot deve essere approvato da un Global Administrator del tenant che vuoi attivare. Le autorizzazioni in scrittura consentono ad Aether365 di applicare in quel tenant le correzioni che approvi.

Passaggi:

1. Apri la pagina Connect Tenant.
2. Individua la sezione AI Pilot Connection.
3. Scegli il tenant collegato su cui vuoi attivare AI Pilot, quindi fai clic su Enable AI Pilot.
4. Vieni reindirizzato alla schermata di consenso di Microsoft. Accedi con un account Global Administrator di quel tenant.
5. Esamina le autorizzazioni in scrittura mirate mostrate nella schermata di consenso, quindi fai clic su Accept.
6. Microsoft ti reindirizza ad Aether365. Il tenant ora mostra un badge AI Pilot, a conferma che il consenso in scrittura è attivo.

La tua connessione in sola lettura esistente per lo stesso tenant non viene modificata. AI Pilot si collega come connessione separata e indipendente accanto a essa, non come un aggiornamento che la sostituisce. La scansione prosegue invariata.

La sola lettura resta l'impostazione predefinita

Attivare AI Pilot su un tenant non cambia nulla per gli altri tuoi tenant. Ogni tenant resta in sola lettura finché non attivi AI Pilot proprio su quello.

Eseguire una scansione AI Pilot ed esaminare il piano

Una volta che un tenant ha AI Pilot attivato, puoi trasformare i risultati di una scansione in un piano di correzione:

1. Esegui una scansione per il tenant (manualmente o secondo la sua pianificazione), oppure usa una scansione già completata.
2. Nell'area AI Pilot, genera un piano di correzione a partire dalla scansione. Il piano elenca i controlli non superati che dispongono di una correzione automatizzata.
3. Il piano mostra ogni modifica proposta come una riga:
   • Il controllo non superato
   • Il valore di impostazione attuale
   • Il nuovo valore proposto
   • La gravità dell'anomalia

Esamina ogni elemento prima di approvare alcunché. Ogni riga ti indica con esattezza cosa cambierà.

Livelli di rischio

Ogni correzione automatizzata porta con sé un livello di rischio che riflette quanto la modifica potrebbe risultare dirompente se non corrisponde alla tua intenzione:

• Basso: irrobustimento di routine con disturbo trascurabile, come bloccare le registrazioni e-mail self-service o abilitare un metodo di autenticazione più forte.
• Medio: restrizioni più rigide che possono incidere sull'uso quotidiano se mal calibrate, come limitare l'accesso degli ospiti o la condivisione esterna.
• Alto: modifiche che possono escludere gli utenti se configurate male, come le policy Conditional Access. Le modifiche ad alto rischio non vengono mai applicate automaticamente e richiedono sempre la tua approvazione esplicita.

Il piano di correzione contrassegna ogni elemento con il suo livello di rischio, così puoi dare priorità al tuo esame. La correzione automatica (più sotto) applica solo correzioni a rischio basso e medio; le modifiche ad alto rischio restano sempre in attesa di te.

Approvare le correzioni elemento per elemento

AI Pilot applica le correzioni elemento per elemento. Nulla viene applicato automaticamente e non esiste alcuna azione complessiva di tipo «applica tutto» che aggiri il tuo esame.

1. Nel piano di correzione, fai clic su Approve per ogni elemento che vuoi far applicare ad AI Pilot.
2. Gli elementi approvati vengono applicati uno alla volta tramite Microsoft Graph.
3. Dopo ogni modifica, Aether365 verifica il nuovo stato e contrassegna l'elemento come applicato.
4. Gli elementi che non approvi restano invariati. Puoi tornare al piano in un secondo momento per approvare altri elementi.

Conferma con una nuova scansione

Dopo aver applicato le correzioni, esegui una nuova scansione per confermare che i controlli ora vengano superati. La scansione legge lo stato effettivo del tenant in modo indipendente, perciò è la verifica di riferimento del fatto che una correzione abbia avuto effetto.

Annullare una correzione

Se una correzione applicata ha un effetto indesiderato, puoi annullarla. Ogni elemento applicato nella vista attività di AI Pilot dispone di un'azione Annulla che ripristina l'impostazione al valore precedente e ne verifica l'esito, allo stesso modo in cui la correzione è stata applicata.

L'annullamento è protetto: viene eseguito solo finché l'impostazione mantiene ancora il valore impostato da AI Pilot. Se qualcosa (o qualcuno) ha modificato quell'impostazione dopo l'applicazione della correzione, l'annullamento si rifiuta anziché sovrascrivere la modifica più recente, così le tue modifiche successive non vengono mai sovrascritte.

Correzioni automatizzate e manuali nel dettaglio di una scansione

Non tutti i controlli non superati dispongono di una correzione automatizzata. Quando apri il dettaglio di una scansione ed esamini un'anomalia non superata, AI Pilot ti indica di che tipo si tratta:

• Le anomalie con correzione automatizzata mostrano una casella di controllo AI Pilot. Spuntala per far applicare quella correzione ad AI Pilot al posto tuo.
• Le anomalie senza correzione automatizzata mostrano un indicatore Manual e i passaggi di correzione manuale da seguire autonomamente. Per un approccio passo per passo nell'affrontarle, vedi Correggere le anomalie.

Questa distinzione è la stessa sia che tu esamini una scansione per approvare le correzioni a mano, sia che lasci alla correzione automatica il compito di gestire quelle correggibili. Le anomalie manuali restano sempre a tuo carico.

Correzione automatica al completamento di una scansione

Oltre a esaminare le correzioni una alla volta, AI Pilot può applicare automaticamente le anomalie non superate correggibili non appena una scansione AI Pilot si completa, e quindi verificare ogni modifica. È comodo per i tenant che affidi ad AI Pilot affinché li mantenga in forma senza un passaggio di esame manuale dopo ogni scansione.

La correzione automatica si avvia solo quando entrambe queste condizioni sono soddisfatte:

• Il tenant ha una connessione AI Pilot con il consenso in scrittura concesso.
• La correzione automatica è attivata per il tuo account. È un interruttore separato dalla connessione di AI Pilot, perciò il semplice fatto di avere una connessione AI Pilot non avvia di per sé l'applicazione automatica delle correzioni.

Quando entrambe le condizioni sono soddisfatte, una scansione AI Pilot completata fa sì che le anomalie non superate correggibili vengano applicate e poi verificate, allo stesso modo in cui viene applicata e verificata una correzione che approvi a mano. Le anomalie prive di correzione automatizzata vengono lasciate alla tua gestione manuale, esattamente come nel dettaglio della scansione descritto sopra.

La correzione automatica applica solo correzioni a rischio basso e medio. Le modifiche ad alto rischio - come le policy Conditional Access - non vengono mai applicate automaticamente; restano sempre in attesa della tua approvazione esplicita, indipendentemente dal fatto che la correzione automatica sia attiva.

La correzione automatica viene eseguita esclusivamente su una scansione AI Pilot che avvii tu stesso. Le scansioni pianificate sono sempre in sola lettura: una pianificazione non esegue mai AI Pilot e non applica mai una correzione, nemmeno su un tenant in cui la correzione automatica è attivata. L'automazione non scrive mai nel tuo tenant di propria iniziativa.

Resti tu al comando

La correzione automatica è disattivata finché non la attivi. Con essa disattivata, AI Pilot fa comunque tutto il resto: approvi semplicemente le correzioni che vuoi, quando vuoi. Con essa attivata, le anomalie correggibili vengono gestite per te a ogni scansione, e le anomalie manuali restano a tuo carico.

Account break-glass

Gli account break-glass sono account di accesso di emergenza che mantieni per non restare mai escluso dal tuo stesso tenant. Puoi designarli per una connessione AI Pilot, e AI Pilot li esclude dalle modifiche ad alto impatto, in particolare da qualsiasi policy Conditional Access che crea.

Impostali sulla connessione AI Pilot tramite il nome dell'entità utente o l'ID oggetto. Se non viene designato alcun account break-glass, AI Pilot ti avverte prima che tu applichi una modifica ad alto impatto, perché applicarne una senza un account di emergenza escluso rischia di escludere tutti dal tenant, te compreso. Si consiglia vivamente di designarne almeno uno prima di applicare Conditional Access.

Conditional Access

Le policy Conditional Access sono tra i controlli a maggiore impatto in Microsoft 365: decidono chi può accedere e a quali condizioni. AI Pilot può creare per te un piccolo insieme di policy Conditional Access consigliate, con protezioni rigorose:

• Bloccare l'autenticazione legacy: blocca i protocolli legacy che non possono imporre l'MFA.
• Richiedere l'MFA per gli amministratori: richiede l'autenticazione a più fattori per i ruoli di directory con privilegi.
• Richiedere l'MFA per tutti gli utenti: richiede l'autenticazione a più fattori per tutti gli utenti e le applicazioni.

Poiché una policy Conditional Access mal configurata può escludere tutti, AI Pilot non ne attiva mai una direttamente. Usa un modello deliberato in due passaggi:

1. Creazione in report-only. AI Pilot crea la policy nella modalità report-only di Microsoft, con i tuoi account break-glass esclusi. La modalità report-only non blocca né concede nulla: registra soltanto ciò che sarebbe accaduto, e puoi esaminarlo nei tuoi log di accesso di Entra nella scheda Conditional Access.
2. Esame dell'impatto. Confronta i risultati di report-only con gli accessi reali per confermare che la policy si comporti come previsto e non intercetti nessuno che non dovrebbe.
3. Applicazione. Solo quando sei soddisfatto, applichi esplicitamente la policy, facendola passare da report-only ad attivata. AI Pilot ti avverte in questo momento se nessun account break-glass è escluso.

Conditional Access non viene mai applicato automaticamente né imposto senza una tua azione esplicita. AI Pilot tocca sempre e solo le policy che ha creato - portano un prefisso di nome Aether365 - - e non modifica mai le tue policy Conditional Access esistenti.

Designa prima un account break-glass

Prima di applicare qualsiasi policy Conditional Access, designa almeno un account break-glass per conservare l'accesso di emergenza. AI Pilot lo esclude automaticamente dalla policy.

Il modello di sicurezza

AI Pilot è progettato in modo che l'accesso in scrittura sia deliberato e verificabile:

• Opzionale. AI Pilot è disattivato per impostazione predefinita. La scansione in sola lettura è la postura predefinita per ogni tenant.
• Consenso separato. L'accesso in scrittura usa un proprio consenso Microsoft, distinto dal consenso di scansione in sola lettura. Concederlo richiede un Global Administrator.
• Approvazione elemento per elemento. Ogni correzione viene esaminata e approvata singolarmente prima che venga scritto alcunché nel tuo tenant. Nessuna correzione viene applicata automaticamente alla cieca.
• Verificata. Dopo l'applicazione di ogni correzione, il nuovo stato viene verificato e puoi confermare l'esito con una scansione indipendente. Questo vale anche per la correzione automatica: ogni correzione applicata automaticamente viene verificata prima di essere contrassegnata come completata.
• La correzione automatica è opzionale. L'applicazione automatica delle correzioni al completamento di una scansione avviene solo se la attivi, in aggiunta a una connessione AI Pilot. Non applica mai correzioni prive di una remediation automatizzata e le anomalie manuali restano a tuo carico.
• Per livelli di rischio. Ogni correzione è classificata a rischio basso, medio o alto. La correzione automatica applica solo correzioni a rischio basso e medio; le modifiche ad alto rischio richiedono sempre un'approvazione esplicita.
• Reversibile. Le correzioni applicate possono essere ripristinate al valore precedente, in modo protetto affinché un annullamento non sovrascriva mai una modifica più recente nel frattempo intervenuta.
• Consapevole del break-glass. Gli account di accesso di emergenza che designi sono esclusi dalle modifiche ad alto impatto e da qualsiasi policy Conditional Access creata da AI Pilot.
• Conditional Access in due passaggi. Le policy ad alto impatto vengono prima create in modalità report-only e applicate solo dopo il tuo esame e la tua azione espliciti, mai automaticamente.
• Mirata. Le autorizzazioni in scrittura coprono solo le aree di correzione supportate da Aether365.

Revocare il consenso di AI Pilot

Per rimuovere l'accesso in scrittura di AI Pilot per un tenant:

1. Nel tuo tenant Microsoft, apri l'interfaccia di amministrazione di Entra (portal.azure.com > Enterprise Applications > Aether365).
2. Rimuovi le autorizzazioni in scrittura, oppure rimuovi la voce dell'applicazione aziendale.

La tua connessione in sola lettura in Aether365 continua a funzionare per la scansione dopo aver revocato il consenso in scrittura. Se in seguito vuoi di nuovo AI Pilot, riattivalo dalla sezione AI Pilot Connection della pagina Connect Tenant.

Correlati

• Collegare un tenant: configurare la connessione in sola lettura e la AI Pilot Connection
• Correggere le anomalie: affrontare le anomalie manualmente
• Threat Alerts: rischio di identità in tempo reale e risposta alle compromissioni in un clic
• Policy Management: esaminare e rafforzare le policy chiave del tenant
• Leggere i risultati delle scansioni: comprendere l'output della scansione
• Modello di sicurezza: sola lettura predefinita e accesso in scrittura opzionale
• Autorizzazioni Microsoft: le autorizzazioni richieste da Aether365