Condividi tramite

Configurare Microsoft Entra per una maggiore sicurezza (anteprima)

In Microsoft Entra le raccomandazioni sulla sicurezza vengono raggruppate in più temi basati su Secure Future Initiative (SFI). Questa struttura consente alle organizzazioni di suddividere logicamente i progetti in blocchi di consumo correlati.

Tip

Alcune organizzazioni potrebbero prendere queste raccomandazioni esattamente come scritte, mentre altre potrebbero scegliere di apportare modifiche in base alle proprie esigenze aziendali. Nella versione iniziale di queste linee guida ci concentriamo sui tenant tradizionali della forza lavoro. Questi tenant della forza lavoro sono destinati ai dipendenti, alle app aziendali interne e ad altre risorse aziendali.

È consigliabile implementare tutti i controlli seguenti in cui sono disponibili le licenze. Questi modelli e procedure consentono di fornire una base per altre risorse basate su questa soluzione. Più controlli verranno aggiunti a questo documento nel corso del tempo.

Valutazione automatizzata

Il controllo manuale di queste indicazioni sulla configurazione di un tenant può richiedere molto tempo e soggette a errori. La valutazione Zero Trust trasforma questo processo con l'automazione per testare questi elementi di configurazione della sicurezza e altro ancora. Per altre informazioni, vedere Che cos'è la valutazione Zero Trust?

Proteggere identità e segreti

Ridurre i rischi correlati alle credenziali implementando standard di identità moderni.

Controlla Licenza minima richiesta
Le applicazioni non hanno segreti client configurati Nessuno (incluso con Microsoft Entra ID)
Le entità servizio non dispongono di certificati o credenziali associate a tali entità servizio Nessuno (incluso con Microsoft Entra ID)
Le applicazioni non hanno certificati con scadenza superiore a 180 giorni Nessuno (incluso con Microsoft Entra ID)
I certificati dell'applicazione devono essere ruotati regolarmente Nessuno (incluso con Microsoft Entra ID)
Applicare gli standard per i segreti e i certificati delle app Nessuno (incluso con Microsoft Entra ID)
Le applicazioni di servizi Microsoft non dispongono di credenziali configurate Nessuno (incluso con Microsoft Entra ID)
Le impostazioni di consenso utente sono limitate Nessuno (incluso con Microsoft Entra ID)
Flusso di lavoro di consenso amministratore abilitato Nessuno (incluso con Microsoft Entra ID)
Elevata percentuale di utenti con privilegi da amministratore globale a utenti con privilegi Nessuno (incluso con Microsoft Entra ID)
Gli account con privilegi sono identità native del cloud Nessuno (incluso con Microsoft Entra ID)
Tutte le assegnazioni di ruolo con privilegi vengono attivate just-in-time e non sono attive in modo permanente Microsoft Entra ID P2
Metodo di autenticazione Passkey abilitato Nessuno (incluso con Microsoft Entra ID)
Viene applicata l'attestazione della chiave di sicurezza Nessuno (incluso con Microsoft Entra ID)
Gli account con privilegi hanno metodi resistenti al phishing registrati Microsoft Entra ID P1
I ruoli predefiniti di Microsoft Entra con privilegi sono destinati ai criteri di accesso condizionale per applicare metodi resistenti al phishing Microsoft Entra ID P1
Richiedi notifiche di reimpostazione della password per i ruoli di amministratore Microsoft Entra ID P1
Bloccare l'autenticazione legacy Microsoft Entra ID P1
Il pass di accesso temporaneo è abilitato Microsoft Entra ID P1
Limitare il passaggio di accesso temporaneo a uso singolo Microsoft Entra ID P1
Eseguire la migrazione da criteri legacy di autenticazione a più fattori e reimpostazione della password self-service Microsoft Entra ID P1
Impedire agli amministratori di usare la reimpostazione della password self-service Microsoft Entra ID P1
La reimpostazione della password self-service non usa domande di sicurezza Microsoft Entra ID P1
I metodi di autenticazione sms e chiamata vocale sono disabilitati Microsoft Entra ID P1
Proteggere la pagina Registrazione MFA (Informazioni di sicurezza personali) Microsoft Entra ID P1
Usare l'autenticazione cloud Microsoft Entra ID P1
Tutti gli utenti devono registrarsi per l'autenticazione a più fattori Microsoft Entra ID P2
Gli utenti hanno metodi di autenticazione avanzata configurati Microsoft Entra ID P1
L'attività di accesso utente usa la protezione dei token Microsoft Entra ID P1
L'app Microsoft Authenticator mostra il contesto di accesso Microsoft Entra ID P1
L'impostazione dell'attività sospetta del report dell'app Microsoft Authenticator è abilitata Microsoft Entra ID P1
La scadenza della password è disabilitata Microsoft Entra ID P1
Soglia di blocco intelligente impostata su 10 o meno Microsoft Entra ID P1
La durata del blocco intelligente è impostata su un minimo di 60 Microsoft Entra ID P1
Aggiungere le condizioni organizzative all'elenco delle password escluse Microsoft Entra ID P1
Richiedere l'autenticazione a più fattori per l'aggiunta al dispositivo e la registrazione del dispositivo tramite l'azione dell'utente Microsoft Entra ID P1
La soluzione password amministratore locale viene distribuita Microsoft Entra ID P1
Entra Connect Sync è configurato con le credenziali dell'entità servizio Nessuno (incluso con Microsoft Entra ID)
Nessun utilizzo di ADAL nel tenant Nessuno (incluso con Microsoft Entra ID)
Bloccare il modulo legacy di Azure AD PowerShell Nessuno (incluso con Microsoft Entra ID)
Abilitare le impostazioni predefinite per la sicurezza di Microsoft Entra ID Nessuno (incluso con Microsoft Entra ID)

Proteggere i tenant e i sistemi di produzione di isolamento

Controlla Licenza minima richiesta
Le autorizzazioni per creare nuovi tenant sono limitate al ruolo Autore tenant Nessuno (incluso con Microsoft Entra ID)
L'accesso guest è limitato ai tenant approvati Microsoft Entra ID versione gratuita
Ai guest non vengono assegnati ruoli di directory con privilegi elevati Microsoft Entra ID versione gratuita
Microsoft Entra ID P2 o Microsoft ID Governance per PIM
Gli utenti guest non possono invitare altri ospiti Microsoft Entra ID versione gratuita
Gli utenti guest hanno accesso limitato agli oggetti directory Microsoft Entra ID versione gratuita
Il blocco delle proprietà dell'istanza dell'app è configurato per tutte le applicazioni multi-tenant Microsoft Entra ID versione gratuita
Gli utenti guest non hanno sessioni di accesso di lunga durata Microsoft Entra ID P1
L'accesso guest è protetto da metodi di autenticazione avanzata Microsoft Entra ID versione gratuita
Microsoft Entra ID P1 consigliato per l'accesso condizionale
L'iscrizione self-service guest tramite il flusso utente è disabilitata Microsoft Entra ID versione gratuita
Le impostazioni di accesso tra tenant in uscita sono configurate Microsoft Entra ID versione gratuita
Microsoft Entra ID P1 consigliato per l'accesso condizionale
Gli utenti guest non possiedono app nel tenant Nessuno (incluso con Microsoft Entra ID)
Tutti gli ospiti hanno uno sponsor Microsoft Entra ID versione gratuita
Le identità guest inattive vengono disabilitate o rimosse dal tenant Microsoft Entra ID versione gratuita
Tutti i criteri di gestione entitlement hanno una data di scadenza Microsoft Entra ID P2 o Microsoft ID Governance per le verifiche di accesso gestite e di accesso
Tutti i criteri di assegnazione di gestione entitlement applicabili agli utenti esterni richiedono organizzazioni connesse Microsoft Entra ID P2 o Microsoft ID Governance per le verifiche di accesso gestite e di accesso
Tutti i pacchetti di gestione entitlement che si applicano ai guest hanno scadenze o verifiche di accesso configurate nei criteri di assegnazione Microsoft Entra ID P2 o Microsoft ID Governance per le verifiche di accesso gestite e di accesso
Gestire gli amministratori locali nei dispositivi aggiunti a Microsoft Entra Nessuno (incluso con Microsoft Entra ID)

Proteggere le reti

Proteggere il perimetro di rete.

Controlla Licenza minima richiesta
I percorsi denominati sono configurati Microsoft Entra ID P1
I criteri di restrizione del tenant v2 sono configurati Microsoft Entra ID P1

Proteggere i sistemi di progettazione

Proteggere gli asset software e migliorare la sicurezza del codice.

Controlla Licenza minima richiesta
Gli account di accesso di emergenza vengono configurati in modo appropriato Microsoft Entra ID P1
L'attivazione del ruolo amministratore globale attiva un flusso di lavoro di approvazione Microsoft Entra ID P2
Gli amministratori globali non hanno accesso permanente alle sottoscrizioni di Azure Nessuno (incluso con Microsoft Entra ID)
La creazione di nuove applicazioni e entità servizio è limitata agli utenti con privilegi Microsoft Entra ID P1
Le applicazioni inattive non dispongono di autorizzazioni api Microsoft Graph con privilegi elevati Microsoft Entra ID P1
Le applicazioni inattive non hanno ruoli predefiniti con privilegi elevati Microsoft Entra ID P1
Le registrazioni delle app usano URI di reindirizzamento sicuri Microsoft Entra ID P1
Le entità servizio usano URI di reindirizzamento sicuri Microsoft Entra ID P1
Le registrazioni delle app non devono avere URI di reindirizzamento del dominio incerti o abbandonati Microsoft Entra ID P1
Il consenso specifico della risorsa per l'applicazione è limitato Microsoft Entra ID P1
Alle identità del carico di lavoro non vengono assegnati ruoli con privilegi Microsoft Entra ID P1
Le applicazioni aziendali devono richiedere l'assegnazione esplicita o il provisioning con ambito Microsoft Entra ID P1
Limitare il numero massimo di dispositivi per utente a 10 Nessuno (incluso con Microsoft Entra ID)
I criteri di accesso condizionale per le workstation con accesso con privilegi sono configurati Microsoft Entra ID P1

Monitorare e rilevare minacce informatiche

Raccogliere e analizzare i log di sicurezza e gli avvisi di valutazione.

Controlla Licenza minima richiesta
Le impostazioni di diagnostica sono configurate per tutti i log di Microsoft Entra Microsoft Entra ID P1
Le attivazioni dei ruoli con privilegi hanno il monitoraggio e l'invio di avvisi configurati Microsoft Entra ID P2
Gli utenti con privilegi accedono con metodi resistenti al phishing Microsoft Entra ID P1
Tutti gli utenti ad alto rischio vengono valutati Microsoft Entra ID P2
Tutti gli accessi ad alto rischio vengono valutati Microsoft Entra ID P2
[Tutte le identità del carico di lavoro rischiose vengono valutate]
Tutte le attività di accesso utente usano metodi di autenticazione avanzata Microsoft Entra ID P1
Le raccomandazioni di Microsoft Entra con priorità alta sono affrontate Microsoft Entra ID P1
Notifiche di protezione ID abilitate Microsoft Entra ID P2
Nessuna attività di accesso all'autenticazione legacy Microsoft Entra ID P1
Tutte le raccomandazioni di Microsoft Entra sono affrontate Microsoft Entra ID P1

Accelerare la risposta e la correzione

Migliorare la risposta agli eventi imprevisti di sicurezza e le comunicazioni sugli eventi imprevisti.

Controlla Licenza minima richiesta
Le identità del carico di lavoro basate sui criteri di rischio sono configurate ID dei carichi di lavoro di Microsoft Entra
Limitare gli accessi ad alto rischio Microsoft Entra ID P2
Limitare l'accesso agli utenti ad alto rischio Microsoft Entra ID P2

Contenuti correlati

  • Last updated on