Password rubate e furto di account
Qualcuno accede con una password rubata o indovinata.
- Accessi da due luoghi troppo lontani per spostarsi, e raffiche di password sbagliate.
Microsoft 365
Disponibile
Ojava legge i registri di attività del suo Microsoft 365 e la avvisa di password rubate, inoltri di posta, app a rischio e nuovi amministratori.
Che cosa rileva
Attacchi al secondo passaggio di accesso
L’aggressore ha la password e cerca di superare la MFA o la verifica in due passaggi.
- Codici o richieste MFA che Microsoft segna come falliti, più volte, con ogni piano. Il normale passaggio «MFA richiesta» di un accesso non viene contato.
Inoltro di posta e frode sui pagamenti
Una casella violata invia di nascosto copie della sua posta all’esterno: il classico primo passo della frode sui pagamenti.
- Nuove regole della posta in arrivo che inoltrano o reindirizzano la posta.
Accessi di app a rischio
Qualcuno dà a un’app sconosciuta l’accesso a posta o file, spesso dopo un link di phishing.
- Consenso ad app che chiedono autorizzazioni sensibili.
Nuovi diritti di amministratore
Un account ottiene all’improvviso diritti di amministratore: così un aggressore può prendere il controllo dell’intero account aziendale.
- Ruoli di amministratore assegnati a un account.
Download massicci e furto di dati
Molti file escono in poco tempo.
- 50 o più download da OneDrive o SharePoint in un’ora.
Attacchi collegati
I segnali collegati diventano un solo incidente: vede tutta la storia invece di avvisi separati.
- Per esempio un accesso dall’estero seguito da una nuova regola di inoltro.
Che cosa serve
- Qualsiasi piano Microsoft 365 businessBusiness Basic, Standard o Premium, E3 o E5, con il controllo attivo (lo è per impostazione predefinita). Ogni tipo di avviso funziona con ogni piano.
- Avvisi di accesso più rapidi con Entra ID P1Incluso in Business Premium, E3 ed E5. Ojava legge allora direttamente il registro degli accessi Entra: gli accessi arrivano di solito in pochi minuti, con la posizione fornita da Microsoft. Senza P1 arrivano dal registro di controllo, 60-90 minuti dopo.
- Un amministratore di Microsoft 365Accede una volta per approvare l’accesso in sola lettura di Ojava.
Come collegarlo
- In Ojava: Impostazioni → Integrazioni → Collega Microsoft 365.
- Acceda come amministratore di Microsoft 365 e approvi l’accesso in sola lettura.
- Ojava inizia subito a leggere; i primi eventi appaiono in pochi minuti.
Che cosa legge Ojava
Gli accessi (ora, indirizzo IP, posizione, app usata, riuscita o fallimento), le modifiche alle regole della posta in arrivo e agli inoltri, i consensi alle app e le autorizzazioni concesse, le modifiche ai ruoli di amministratore e i download da OneDrive e SharePoint (nome del file, mai il contenuto). Autorizzazioni: registri di controllo e di directory in sola lettura (AuditLog.Read.All, Directory.Read.All, User.Read.All, ActivityFeed.Read).
Che cosa Ojava non legge mai
Il contenuto di e-mail, allegati, file OneDrive o SharePoint, chat di Teams o calendari. Ojava non ha alcuna autorizzazione a leggere la posta e non può modificare nulla nel suo Microsoft 365.
Che cosa vede e non vede mai Ojava, per autorizzazione
| Autorizzazione (sola lettura) | Che cosa vede Ojava | Che cosa Ojava non vede né fa mai |
|---|---|---|
AuditLog.Read.All | Il registro degli accessi: chi, quando, da quale indirizzo IP e luogo, con quale app, riuscita o fallimento (per questo registro serve Entra ID P1); e il registro di controllo Entra su ogni piano: modifiche ai metodi di accesso (senza numeri di telefono), ruoli di amministratore, consensi alle app, nuovi utenti e ospiti, reimpostazioni di password. | Password, e-mail, file; non può far accedere né disconnettere nessuno. |
ActivityFeed.Read (Office 365 Management Activity) | Gli eventi di controllo: regole di posta in arrivo e di inoltro (parole chiave solo nell’avviso), deleghe di posta, consensi alle app, modifiche ai ruoli di amministratore, download e condivisioni esterne da OneDrive/SharePoint (azione, numero, indirizzo esterno; nomi di file solo in un avviso di condivisione massiva, al massimo 20). | Il contenuto di e-mail, allegati, file, chat di Teams o calendari. |
Directory.Read.All | I dati della directory: utenti, gruppi, ruoli di amministratore e app registrate, per sapere chi è amministratore e quale app ha ricevuto quale autorizzazione. | Non può creare, modificare o eliminare utenti, gruppi, ruoli o app. |
User.Read.All | I profili (nome, indirizzo e-mail, account attivo o no) per indicare chi riguarda un avviso. | Il contenuto delle caselle di posta, né altro fuori dal profilo. |
openid, profile, email, offline_access | Chi ha approvato il collegamento, e il permesso di continuare a leggere in background. | Nient’altro. |
Quanto arrivano in fretta gli avvisi
Ojava legge Microsoft 365 ogni 5 minuti. È Microsoft a decidere quando i registri sono disponibili: la maggior parte degli eventi di controllo 60-90 minuti dopo, gli accessi Entra (con P1) di solito in pochi minuti.
Le altre fonti
PC Windows
Accesso anticipato: lo configuriamo con voiRansomware, malware, strumenti per il furto di password e protezioni disattivate, su ogni PC Windows. Con o senza Microsoft 365 o Google Workspace.
Come funzionaGoogle Workspace
DisponibilePassword rubate, verifica in due passaggi fallita, inoltri di posta, accessi di app a rischio, nuovi amministratori e download massicci da Drive. Ogni edizione aziendale da Business Starter (non gli account Gmail personali).
Come funziona