Active Directory Auditor: come proteggere identità e accessi

Ogni accesso a un file, a una cartella condivisa o a un’applicazione aziendale passa, prima o poi, dall’Active Directory.

Per questo monitorarla non è più un compito riservato agli amministratori di sistema, ma è un pilastro della strategia di cyber sicurezza aziendale. In uno scenario ipotetico e plausibile, un account amministrativo viene compromesso e il SIEM rileva il login anomalo.

Ma la vera domanda da porsi è: a quali dati può accedere quell’account?

In questo articolo vediamo cos’è un Active Directory Auditor, quali vantaggi offre e perché l’analisi dei permessi sui file system Windows di SGBox rappresenta un’evoluzione nella gestione e monitoraggio degli accessi.

Active Directory Microsoft: il cuore dell’identità aziendale

Active Directory (AD) è il servizio di directory di Microsoft che gestisce identità e autorizzazioni negli ambienti Windows.

Possiamo considerarlo come il “registro centrale” che stabilisce l’identità di ogni utente, a quali gruppi appartiene e a quali risorse può accedere.

Dalle Active Directory dipendono:

• l’autenticazione di utenti e computer al dominio;
• l’assegnazione dei permessi tramite gruppi di sicurezza;
• l’applicazione delle policy attraverso le Group Policy (GPO);
• l’accesso alle risorse come file server, cartelle condivise, stampanti e applicazioni integrate.

Perché le Active Directory sono un bersaglio privilegiato?

Proprio perché centralizza le chiavi di accesso, l’Active Directory è uno tra i primi obiettivi di chi attacca.

Compromettere un account con privilegi elevati può significare avere accesso a gran parte dei file e delle cartelle presenti all’interno delle reti aziendali.

Il rischio, però, non arriva solo dall’esterno. Con il passare degli anni l’Active Directory accumula account inattivi, gruppi annidati, deleghe dimenticate e permessi assegnati “temporaneamente” che non vengono più considerati.

Che cos’è un MS Active Directory Auditor?

Un Active Directory Auditor è una soluzione che raccoglie, analizza e conserva le informazioni su oggetti, configurazioni e modifiche alle Active Directory.

L’obiettivo è individuare rischi, anomalie e violazioni delle policy di sicurezza prima che diventino incidenti.

Windows registra già molti eventi nei log di sicurezza, ma li distribuisce su più server, in formati poco leggibili e con tempi di conservazione limitati.

Un auditor li centralizza e li arricchisce di contesto: chi ha fatto cosa, quando, da dove e con quale impatto.

Cosa monitora un Active Directory Auditor?

• Utenti: creazioni, eliminazioni, riattivazioni, reset delle password, account inattivi o con password che non scade mai.
• Gruppi: aggiunte e rimozioni di membri, con particolare attenzione ai gruppi privilegiati come Domain Admins, Enterprise Admins e Administrators.
• Privilegi e deleghe: diritti amministrativi assegnati a utenti, gruppi o account di servizio.
• Policy e configurazioni: modifiche alle Group Policy (GPO) e agli attributi degli oggetti di directory.
• Autenticazioni: accessi riusciti e falliti, blocchi degli account, login in orari o da postazioni insolite.
• Accessi ai file: letture, modifiche, eliminazioni e cambi di permessi su file e cartelle condivise.

Come funziona un Active Directory Auditor: il processo

Il funzionamento di un Active Directory Auditor si può riassumere in sei fasi, che trasformano eventi tecnici sparsi in informazioni utili per la sicurezza.

1. Raccolta dei dati

L’auditor acquisisce gli eventi dai log di sicurezza di domain controller, server e workstation, insieme allo stato degli oggetti di directory e, nelle soluzioni più evolute, alle ACL dei file server.

Un consiglio pratico: perché la raccolta sia completa, occorre configurare correttamente le policy di audit avanzate di Windows e, per il file system, le SACL sulle cartelle da monitorare.

2. Normalizzazione e baseline

Gli eventi vengono uniformati in un formato comune e confrontati con una “fotografia” di riferimento dell’ambiente. È così che si capisce cosa è normale e cosa invece rappresenta un’anomalia.

3. Analisi del rischio e KPI

Configurazioni e modifiche vengono valutate rispetto a indicatori di rischio: numero di amministratori, account inattivi, permessi eccessivi, password che non scadono. Quando un KPI supera la soglia stabilita, il sistema lo segnala.

4. Correlazione e alert

Gli eventi di Active Directory vengono messi in relazione con altre fonti di sicurezza. Un singolo login fallito non preoccupa, ma decine di tentativi seguiti da un accesso riuscito e dall’aggiunta a un gruppo privilegiato raccontano una storia molto diversa.

5. Reporting e conservazione

Report pianificati e dashboard rendono i dati consultabili da IT, security e compliance. La conservazione storica consente di ricostruire gli eventi anche a distanza di mesi.

6. Risposta e remediation

Le informazioni raccolte guidano le azioni correttive: revocare un privilegio, disabilitare un account, ripristinare una configurazione, avviare un’indagine.

Quali sono i vantaggi di implementare un sistema di audit per Active Directory?

Implementare un sistema di audit per Active Directory permette di vedere in tempo reale chi accede a cosa, di individuare abusi di privilegio e configurazioni rischiose, e di dimostrare la conformità normativa con dati oggettivi.

In concreto:

• Rilevazione precoce delle minacce: movimenti anomali, escalation di privilegi e account compromessi emergono prima che l’attacco raggiunga i dati.

• Controllo dei privilegi: diventa possibile applicare e verificare nel tempo il principio del minimo privilegio.

• Riduzione della superficie d’attacco: account inattivi, orfani o sovra-privilegiati vengono individuati e bonificati.

• Indagini forensi più rapide: lo storico delle modifiche permette di ricostruire la sequenza degli eventi in pochi minuti, non in giorni.

• Compliance dimostrabile: report e tracciabilità supportano gli audit per NIS2 e GDPR.

• Efficienza operativa: analisi e report automatici sostituiscono verifiche manuali lunghe e soggette a errori.

Cosa dicono i dati dell’ENISA Threat Landscape 2026

L’ultimo report dell’Agenzia dell’Unione europea per la cybersicurezza ha analizzato 8.257 incidenti avvenuti nel 2025. Diversi dati confermano quanto identità, accessi e configurazioni siano centrali:

• Gli accessi non autorizzati sono il secondo tipo di incidente più frequente, con il 39,5% del totale;

• Il 63,9% degli accessi non autorizzati ha una motivazione economica;

• Tra gli accessi non autorizzati di cui è stato identificato il vettore di intrusione, il 20,7% è legato a configurazioni errate ed esposizioni accidentali, mentre il 60,4% sfrutta vulnerabilità;

Questi dati dimostrano come solo grazie all’analisi continua delle identità, degli accessi e dei privilegi, è possibile individuare un’anomalia o un comportamento anomalo legato ad un accesso.

L’importanza del controllo degli accessi e dell’integrità dei file

L’Active Directory dice chi sei, i permessi dei file system dicono cosa puoi modificare. Ed è lì che si trovano contratti, dati dei clienti, progetti e proprietà intellettuale.

Anche l’ENISA lo evidenzia: nelle tecniche dei principali operatori ransomware, l’esfiltrazione dei dati (73,3%) supera di gran lunga la cifratura (13,7%).

È un segnale del passaggio da attacchi basati sul blocco dei sistemi a operazioni di furto ed estorsione, un fattore che evidenzia come proteggere i file server significa proteggere l’obiettivo reale dell’attaccante.

La deriva dei privilegi: un rischio che si accumula nel tempo

Il problema raramente è l’accesso iniziale, è il modo in cui i privilegi si stratificano negli anni senza essere revocati:

• assunzione: l’utente riceve i permessi di base;
• cambio reparto: ai vecchi permessi si sommano quelli nuovi;
• progetto speciale: vengono aggiunti diritti amministrativi “temporanei”;
• vulnerabilità nascosta: nessuno se ne accorge, finché l’account non viene compromesso.

Le configurazioni a rischio da tenere d’occhio

• Permessi assegnati a gruppi molto ampi come Everyone, Domain Users o Authenticated Users;
• Full Control concesso a utenti che non ne hanno bisogno;
• Ereditarietà interrotta su cartelle che sfuggono così alle policy centrali;
• SID orfani (ghost account), ovvero permessi ancora associati ad account non più esistenti in AD;
• Cambi di proprietario (ownership) di file e cartelle non giustificati.

Integrità: sapere cosa è cambiato, non solo com’è oggi

Un’analisi statica mostra lo stato attuale dei permessi, ma in caso di incidente la domanda da porsi è un’altra: cosa è cambiato, quando e chi l’ha fatto?

ENISA ha identificato 33 organizzazioni europee colpite più volte nello stesso periodo e ritiene probabile che le vittimizzazioni ripetute siano state favorite dall’assenza di pratiche di ripristino dopo la risposta all’incidente.

Verificare l’integrità di permessi e configurazioni dopo un attacco è parte essenziale della remediation.

Il legame con la Direttiva NIS2

Secondo l’ENISA, i soggetti essenziali e importanti rappresentano circa il 73% degli eventi registrati nel 2025. La Direttiva NIS2, all’articolo 21, include tra le misure di gestione del rischio anche le politiche di controllo degli accessi e la gestione degli asset.

Un sistema di audit di Active Directory e dei file server aiuta a dare evidenza di questi controlli, in modo continuo e documentabile.

SGBox MS Active Directory Auditor: dalle identità alla File Security Intelligence

SGBox MS Active Directory Auditor (ADA) è il modulo della piattaforma SGBox progettato per monitorare costantemente lo stato di Active Directory, determinare il livello di rischio e avvisare quando vengono superate le soglie KPI impostate.

Le sue funzionalità si basano su tre pilastri:

• Controllo avanzato: supporta le organizzazioni nel rispettare i requisiti di protezione dei dati attraverso la supervisione di MS Active Directory.

• Visibilità completa: offre un quadro chiaro di tutte le modifiche alle risorse di AD, inclusi gli oggetti e i loro attributi.

• Risposta immediata: aiuta a rilevare minacce interne, abusi di privilegio e indicatori di compromissione.

ADA si integra con gli altri moduli di SGBox e genera liste utilizzabili per la correlazione degli eventi e per report dettagliati.

Immagina uno scenario concreto, nel quale il SIEM SGBox rileva un accesso anomalo per un account di un utente amministrativo, fuori orario e da una postazione insolita.

Grazie all’analisi approfondita degli accessi ai file system, il team di sicurezza vede subito quali cartelle quell’account può raggiungere (HR, Finance, R&D) e se i suoi permessi sono cambiati di recente. La minaccia può essere isolata con precisione, senza bloccare l’intera infrastruttura

Active Directory, auditing, file security, Compliance e SIEM nativo: un’unica tecnologia

L’Active Directory Auditor è integrato con il SIEM di SGBox, e trasforma i dati sulle autorizzazioni in informazioni contestualizzate che migliorano la governance, rafforzano il principio del minimo privilegio e facilitano la dimostrazione della conformità normativa.

• Active Directory definisce identità e gruppi;
• l’auditing traccia modifiche, accessi e privilegi;
• la file security rivela chi può davvero raggiungere i dati critici;
• la compliance si basa su evidenze continue, non su verifiche una tantum;
• il SIEM correla tutto in tempo reale e accelera la risposta.

In questo modo i dati sulle autorizzazioni smettono di essere semplici elenchi e diventano contesto immediato per rilevare e neutralizzare le minacce prima che causino danni.