Skip to main content

​
Cosa apporta questa integrazione

Microsoft Entra ID può fornire attività normalizzate relative a identità, accessi, rischi, dispositivi e simulazioni di attacco. Tra gli esempi verificati:
  • account.compromised — account segnalato come compromesso
  • auth.login.unusual — accessi da contesti insoliti
  • phishing.simulation.clicked — ha cliccato su una simulazione senza segnalarla
Si tratta di esempi rappresentativi e non di una garanzia che ogni evento sia disponibile in ogni tenant. Consultate come i dati delle integrazioni diventano segnali.

​
Cosa richiede Living Security

Ambiti (autorizzazioni dell’applicazione):

​
Siete voi a decidere cosa può fare questa connessione

Questa connessione legge i dati. Può anche eseguire azioni nella vostra directory, ma solo se decidete di consentirlo. Tutte le autorizzazioni sopra elencate, tranne l’ultima, sono di sola lettura. Se concedete solo queste, la connessione non potrà mai modificare nulla nel vostro tenant — la piattaforma lo rileva e non offre affatto le azioni sui gruppi. Aggiungete GroupMember.ReadWrite.All e le azioni sull’appartenenza ai gruppi diventeranno disponibili per l’uso nei Playbook. Nulla viene avviato automaticamente: dovete comunque scegliere quali gruppi la piattaforma può modificare (vedere di seguito) e creare un Playbook che li utilizzi. Potete cambiare idea in qualsiasi momento. È sufficiente aggiungere o rimuovere un’autorizzazione in Microsoft Entra ID e concedere nuovamente il consenso dell’amministratore: non è necessario reinserire le credenziali nella piattaforma e le sincronizzazioni dei dati continuano a funzionare senza interruzioni. La modifica diventa effettiva entro circa un’ora.
Le azioni sull’appartenenza ai gruppi sono inoltre limitate ai gruppi da voi designati. Dopo la connessione, un amministratore sceglie nella connessione un elenco esplicito di gruppi consentiti. Finché tale elenco non esiste, le azioni sui gruppi non sono disponibili, anche se l’autorizzazione è stata concessa, quindi GroupMember.ReadWrite.All non significa mai «qualsiasi gruppo del tenant».Scegliete con attenzione tali gruppi: evitate qualsiasi gruppo che conferisca ruoli amministrativi, accesso privilegiato o diritti di licenza.
Ruolo richiesto: Application Administrator o Global Administrator in Microsoft Entra ID
Due di queste autorizzazioni sono state introdotte di recente. Se avete connesso Microsoft Entra ID prima che comparissero in questo elenco, aggiungetele alla registrazione dell’app esistente e concedete nuovamente il consenso dell’amministratore — Microsoft richiede che il consenso venga concesso di nuovo ogni volta che le autorizzazioni cambiano. Tutti gli altri flussi di dati continuano a funzionare normalmente nel frattempo.Policy.Read.ConditionalAccess — senza questa autorizzazione, Microsoft rimuove i dettagli dell’accesso condizionale da ogni record di accesso. Il record continua a indicare che un criterio di accesso condizionale è stato soddisfatto, ma l’elenco dei criteri risulta vuoto. Nulla genera errori e nessun avviso: i dati di accesso continuano ad arrivare e la connessione resta integra. La piattaforma semplicemente non riesce a stabilire quali accessi siano stati soddisfatti tramite l’autenticazione a più fattori, quindi l’attività MFA proveniente da questa connessione resta vuota.IdentityRiskEvent.Read.All — la lettura dei rilevamenti di rischio richiede anche una licenza Microsoft Entra ID P1 o P2. Il rilevamento delle credenziali compromesse è disponibile a ogni livello, incluso P1; i rilevamenti premium sono segnalati come generic per i livelli inferiori a P2.

​
Prerequisiti

  • Per registrare le applicazioni e concedere il consenso dell’amministratore è necessario disporre dell’accesso Application Administrator o Global Administrator in Microsoft Entra ID.

​
Parte A — In Microsoft Entra ID

Questi passaggi vengono eseguiti dall’amministratore di Microsoft Entra ID.
1

Registrare una nuova applicazione

  1. Accedete all’interfaccia di amministrazione di Microsoft Entra.
  2. Nel menu di navigazione a sinistra, selezionate Entra ID → App registrations.
  3. Fate clic su New registration.
  4. Inserite un nome significativo per l’app, ad esempio Living Security Platform.
  5. In Supported account types, selezionate Accounts in this organizational directory only.
  6. Lasciate vuoto il campo Redirect URI — questa integrazione utilizza il flusso delle credenziali client.
  7. Fate clic su Register.
Dopo la registrazione, annotate i seguenti valori dalla pagina Panoramica:
  • Application (client) ID
  • Directory (tenant) ID
2

Aggiungere le autorizzazioni dell'applicazione di Microsoft Graph

  1. Nella pagina Panoramica dell’app, fate clic su API permissions nel menu a sinistra.
  2. Fate clic su Add a permission.
  3. Selezionate Microsoft Graph.
  4. Selezionate Application permissions.
  5. Cercate e selezionate ciascuna autorizzazione riportata di seguito, quindi fate clic su Add permissions:
    • User.Read.All
    • SecurityAlert.Read.All
    • AuditLog.Read.All
    • Policy.Read.ConditionalAccess
    • AttackSimulation.Read.All
    • Device.Read.All
    • DeviceManagementManagedDevices.Read.All
    • IdentityRiskEvent.Read.All
  6. Aggiungete GroupMember.ReadWrite.All solo se desiderate che i Playbook possano modificare l’appartenenza ai gruppi. Omettetela per mantenere questa connessione in sola lettura.
Queste sono le autorizzazioni minime per tutti i flussi di dati. Se intendete abilitare solo un sottoinsieme di flussi, potete omettere le autorizzazioni per i flussi che non utilizzerete.
3

Concedere il consenso dell'amministratore

Le autorizzazioni dell’applicazione richiedono il consenso esplicito dell’amministratore.
  1. Nella pagina API permissions, fate clic su Grant admin consent for <your tenant name>.
  2. Nella finestra di conferma, fate clic su Yes.
  3. Verificate che ogni autorizzazione riporti Granted nella colonna Status.
Se il pulsante Grant admin consent è disattivato, sono necessari i privilegi di Privileged Role Administrator o Global Administrator. Il consenso dell’amministratore deve essere concesso nuovamente ogni volta che aggiungete nuove autorizzazioni.
4

Creare un segreto client

  1. Nella pagina Panoramica dell’app, fate clic su Certificates & secrets nel menu a sinistra.
  2. Fate clic sulla scheda Client secrets, quindi su New client secret.
  3. Inserite una descrizione (ad es. Living Security Platform).
  4. Scegliete una scadenza in linea con i vostri criteri di rotazione.
  5. Fate clic su Add.
Copiate subito il valore del segreto. Microsoft Entra ID mostra il segreto client completo una sola volta. Se lasciate la pagina prima di averlo copiato, dovrete eliminare il segreto e crearne uno nuovo.
Conservate il segreto in modo sicuro. Impostate un promemoria nel calendario per ruotarlo prima della scadenza — un segreto scaduto causa il fallimento delle sincronizzazioni con l’errore 401 Unauthorized.
5

Determinare l'host dell'API Graph e l'host dell'autorità

Per la maggior parte delle organizzazioni che utilizzano il cloud commerciale, usate i valori predefiniti:Per i cloud governativi o sovrani, utilizzate gli endpoint appropriati per il vostro ambiente.
L’host dell’API Graph e l’host dell’autorità devono corrispondere: i token dell’autorità di un cloud non sono validi per l’endpoint Graph di un altro cloud.

​
Parte B — In Living Security Platform

Questo passaggio viene eseguito dal responsabile del programma oppure dall’amministratore di sistema, se è stato invitato nella piattaforma.
La connessione a Microsoft Entra ID (Client Credentials) è ora attiva.

​
Risoluzione dei problemi

Le credenziali non sono valide o sono scadute. Verificate che:
  1. Il segreto client non sia scaduto né sia stato sostituito
  2. L’ID tenant e l’ID cliente siano corretti
  3. L’host dell’autorità corrisponda al vostro ambiente cloud
Nella registrazione dell’app mancano autorizzazioni oppure il consenso dell’amministratore non è stato concesso. Verificate che:
  1. Tutte le autorizzazioni richieste siano elencate in API permissions
  2. Ogni autorizzazione riporti lo stato Granted (segno di spunta verde)
  3. Il consenso dell’amministratore sia stato concesso dopo l’aggiunta delle autorizzazioni
Se avete aggiunto nuove autorizzazioni dopo il consenso iniziale, dovete concedere nuovamente il consenso dell’amministratore.
Nell’app potrebbe mancare l’autorizzazione specifica per quel flusso:
  • Nessun utente → manca User.Read.All
  • Nessun avviso di sicurezza → manca SecurityAlert.Read.All
  • Nessun log di accesso → manca AuditLog.Read.All
  • Nessun risultato delle simulazioni di attacco → manca AttackSimulation.Read.All
  • Nessun dispositivo Entra ID → manca Device.Read.All
  • Nessun dispositivo gestito da Intune → manca DeviceManagementManagedDevices.Read.All
  • Nessun rilevamento di rischio → manca IdentityRiskEvent.Read.All, il consenso dell’amministratore non è stato concesso di nuovo dopo averla aggiunta, oppure il tenant ha una licenza inferiore al livello minimo Microsoft Entra ID P1
L’host dell’API Graph e l’host dell’autorità potrebbero non corrispondere. Entrambi devono fare riferimento allo stesso ambiente cloud (commerciale, governativo e così via).
Le azioni sull’appartenenza ai gruppi vengono offerte solo quando sono vere tutte e tre le condizioni seguenti:
  1. GroupMember.ReadWrite.All è presente nella registrazione dell’app, con il consenso dell’amministratore concesso. Se l’avete aggiunta di recente, attendete fino a un’ora.
  2. Un amministratore ha designato un elenco di gruppi consentiti nella connessione.
  3. La connessione è attiva e integra.
Se avete concesso l’autorizzazione e le azioni risultano ancora non disponibili, concedete nuovamente il consenso dell’amministratore — Microsoft lo richiede ogni volta che le autorizzazioni cambiano.
Se nel vostro tenant è presente un criterio di accesso condizionale basato sull’indirizzo IP, questo può bloccare le richieste che includono la credenziale di questa connessione. La maggior parte dei tenant non è interessata: per impostazione predefinita Microsoft Graph non applica restrizioni per indirizzo IP. Se applicate un criterio basato su IP per le entità servizio, questa integrazione richiede che vengano autorizzati due insiemi di indirizzi, perché la configurazione e la sincronizzazione dei dati partono da reti diverse.Living Security genera autonomamente il token di accesso di questa connessione e lo rinnova continuamente, quindi le richieste di token partono dagli indirizzi propri della piattaforma, non dagli indirizzi utilizzati dalle sincronizzazioni dei dati.Le azioni sui gruppi sono un caso a parte. Per impostazione predefinita seguono lo stesso percorso delle sincronizzazioni dei dati e partono dagli indirizzi di sincronizzazione. Passano agli indirizzi della piattaforma solo se un amministratore imposta la connessione sull’uscita diretta.Aggiungete entrambi gli insiemi alla named location che il vostro criterio di accesso condizionale considera attendibile o esclude. Le richieste di token raggiungono login.microsoftonline.com e le richieste di dati raggiungono graph.microsoft.com; entrambe devono essere autorizzate.Se solo gli indirizzi di sincronizzazione sono autorizzati, la configurazione non riesce durante l’ottenimento del token e non viene creata alcuna connessione. Se solo gli indirizzi della piattaforma sono autorizzati, la configurazione riesce e ogni sincronizzazione restituisce zero record.