Condividi tramite

Valutazione della sicurezza: server ADFS non monitorati

Questo articolo descrive il report di valutazione della postura di sicurezza dei server Active Directory Federation Services non monitorati (ADFS) del Microsoft Defender per identità.

Quali rischi comportano i server ADFS non monitorati per un'organizzazione?

I server Active Directory Federation Services non monitorati (ADFS) rappresentano un rischio significativo per la sicurezza delle organizzazioni. ADFS controlla l'accesso sia alle risorse cloud che locali come gateway per l'autenticazione federata e l'accesso Single Sign-On. Se gli utenti malintenzionati compromettono un server ADFS, possono emettere token contraffatti e rappresentare qualsiasi utente, inclusi gli account con privilegi. Tali attacchi potrebbero ignorare l'autenticazione a più fattori (MFA), l'accesso condizionale e altri controlli di sicurezza downstream, rendendoli particolarmente pericolosi. Senza un monitoraggio appropriato, le attività sospette nei server ADFS potrebbero non essere rilevate per periodi prolungati. La distribuzione di Microsoft Defender per identità sensori versione 2.0 nei server ADFS è essenziale. Questi sensori consentono il rilevamento in tempo reale di comportamenti sospetti e consentono di evitare falsificazione di token, abuso di relazioni di trust e movimento laterale furtivo all'interno dell'ambiente.

Nota

Questa valutazione della sicurezza è disponibile solo se Microsoft Defender per endpoint rileva un server ADFS idoneo nell'ambiente.

Ricerca per categorie usare questa valutazione della sicurezza?

  1. Esaminare l'azione consigliata all'indirizzo https://security.microsoft.com/securescore?viewid=actions per individuare quali server ADFS non sono monitorati.

    Screenshot che mostra le azioni consigliate per un server ADFS non monitorato.

  2. Passare al portale di Microsoft Defender Settings Identities Sensors (Sensori > di identità delle identità > del portale > di Microsoft Defender). È possibile visualizzare i sensori già installati nell'ambiente e scaricare il pacchetto di installazione per distribuirli nei server rimanenti.

  3. Eseguire le azioni appropriate su tali server configurando i sensori di monitoraggio.

Nota

I dettagli della valutazione vengono aggiornati quasi in tempo reale. Tuttavia, i punteggi e gli stati vengono aggiornati ogni 24 ore. L'elenco delle entità interessate viene aggiornato entro pochi minuti dall'implementazione delle raccomandazioni, ma lo stato complessivo potrebbe richiedere più tempo per essere visualizzato come Completato.

Passaggi successivi

Altre informazioni su Microsoft Secure Score.