Scansioni exposure

Maintainer: Aether365 Team Destinatari: Amministratori IT e team di sicurezza Ambito: Esecuzione delle scansioni exposure e categorie di anomalie

Le scansioni exposure analizzano il tuo tenant Microsoft 365 per individuare impostazioni rischiose o configurazioni errate. A differenza delle scansioni compliance, che verificano rispetto a un checklist di benchmark fisso, le scansioni exposure valutano se specifiche configurazioni creano un rischio di sicurezza reale nel tuo ambiente.

I risultati sono mappati utilizzando il formato OCSF (Open Cybersecurity Schema Framework) e raggruppati per area di servizio M365.

Servizi analizzati

Entra ID (Azure Active Directory)

I controlli Entra ID si concentrano sul rischio legato all'identità e all'accesso:

• Lacune nell'applicazione della MFA - utenti o gruppi esclusi dalla MFA
• Copertura delle policy di accesso condizionale - rischio di accesso non coperto
• Assegnazioni di ruoli privilegiati - assegnazioni permanenti invece che tramite PIM
• Accesso ospiti e identità esterne
• Esposizione a protocolli di autenticazione legacy
• Configurazione del self-service password reset (SSPR)
• Impostazioni di protezione delle password

Exchange Online

I controlli Exchange identificano rischi nella sicurezza email:

• Regole di inoltro della posta che esfiltrano dati all'esterno
• Regole di accesso client che consentono protocolli legacy (IMAP, POP3, Basic Auth)
• Lacune nelle policy anti-phishing e anti-spoofing
• Configurazione DKIM, DMARC e SPF
• Impostazioni di inoltro automatico esterno
• Copertura delle policy Safe Attachments e Safe Links

SharePoint Online e OneDrive

I controlli SharePoint analizzano il rischio nella condivisione dei dati:

• Impostazioni di condivisione esterna (link per chiunque, accesso ospiti)
• Tipo di link di condivisione predefinito
• Override della condivisione a livello di sito
• Accesso con autenticazione legacy

Microsoft Teams

I controlli Teams coprono la collaborazione e l'accesso esterno:

• Impostazioni di federazione esterna (chi può avviare contatti)
• Policy di accesso ospiti
• Impostazioni di partecipazione alle riunioni (partecipazione anonima, partecipanti esterni)
• Archiviazione e conservazione delle registrazioni delle riunioni

Microsoft Defender

I controlli Defender verificano la copertura della protezione:

• Stato delle policy di Defender for Office 365
• Copertura Safe Attachments e Safe Links
• Impostazioni Zero-hour Auto Purge (ZAP)
• Abilitazione dell'addestramento alla simulazione degli attacchi

Microsoft Intune

I controlli Intune valutano la copertura della gestione dei dispositivi:

• Registrazione alla policy di conformità dei dispositivi
• Accesso condizionale che impone la conformità
• Requisiti di crittografia sui dispositivi gestiti
• Copertura delle policy di gestione delle app mobili (MAM)

Livelli di gravità

Ogni anomalia viene classificata con uno dei quattro livelli di gravità:

Gravità	Descrizione
Critica	Configurazione errata ad alto impatto, comunemente sfruttata, rischio immediato
Alta	Esposizione significativa, da affrontare rapidamente
Media	Rischio moderato, spesso mitigato da altri controlli in essere
Bassa	Lacuna nelle best practice, rischio diretto inferiore

Leggere i risultati exposure

I risultati delle scansioni exposure nella dashboard mostrano:

• Servizio - L'area di servizio M365 (es. Entra ID, Exchange)
• Anomalia - Una descrizione in linguaggio semplice della configurazione errata
• Gravità - Critical / High / Medium / Low
• Stato - Pass / Fail / Manual (i controlli manuali richiedono verifica umana)
• Correzione - Istruzioni passo per passo per la risoluzione

Le anomalie contrassegnate come Manual non possono essere valutate automaticamente e richiedono una revisione umana delle impostazioni di riferimento.

Ambito e limitazioni

Le scansioni exposure utilizzano accesso in sola lettura e non possono rilevare:

• Configurazioni che richiedono permessi elevati oltre quelli concessi durante il consent
• Impostazioni di applicazioni di terze parti all'interno di M365
• Configurazione di Active Directory on-premises (solo cloud)
• Modifiche storiche o analisi del registro di audit (usa le scansioni compliance per i controlli sui log di audit)