--- id: CP-199 slug: active-directory-entra-id-identita lang: it title: Active Directory ed Entra ID description: La directory aziendale decide chi è chi e chi accede a cosa. Cosa fa il dipendente, cosa fa il responsabile e quali sono le insidie. canonical_url: https://startbrain.io/cyberpedia/it/articles/active-directory-entra-id-identita/ markdown_url: https://startbrain.io/cyberpedia/it/articles/active-directory-entra-id-identita.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Active Directory ed Entra ID», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/active-directory-entra-id-identita/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-062 schema: G3 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/active-directory-entra-id-identita/ fr: https://startbrain.io/cyberpedia/fr/articles/active-directory-entra-id-identites/ en: https://startbrain.io/cyberpedia/en/articles/active-directory-entra-id-identity/ de: https://startbrain.io/cyberpedia/de/articles/active-directory-entra-id-identitaten/ es: https://startbrain.io/cyberpedia/es/articles/active-directory-entra-id-identidades/ nl: https://startbrain.io/cyberpedia/nl/articles/active-directory-entra-id-identiteiten/ sources: - "n": 1 title: Active Directory Domain Services overview publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/get-started/virtual-dc/active-directory-domain-services-overview accessed: "2026-11-03" - "n": 2 title: What is Microsoft Entra? publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/fundamentals/what-is-entra accessed: "2026-11-03" - "n": 3 title: "Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/004/ accessed: "2026-11-03" - "n": 4 title: Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1621/ accessed: "2026-11-03" - "n": 5 title: "How it works: Microsoft Entra multifactor authentication" publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mfa-howitworks accessed: "2026-11-03" - "n": 6 title: What is Conditional Access? publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview accessed: "2026-11-03" - "n": 7 title: "Valid Accounts: Domain Accounts, Sub-technique T1078.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/002/ accessed: "2026-11-03" - "n": 8 title: "Steal or Forge Kerberos Tickets: Kerberoasting, Sub-technique T1558.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1558/003/ accessed: "2026-11-03" - "n": 9 title: "OS Credential Dumping: DCSync, Sub-technique T1003.006 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1003/006/ accessed: "2026-11-03" - "n": 10 title: "SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management" publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/63/b/4/final published: "2025-07-31" accessed: "2026-11-03" --- # Active Directory ed Entra ID Una directory aziendale tiene l'elenco degli account e stabilisce che cosa ciascuno può fare. Nella sede aziendale è spesso Active Directory Domain Services (AD DS), che archivia informazioni sugli account utente: nomi, password, numeri di telefono [1]. Nel cloud è Microsoft Entra ID, un servizio di gestione delle identità e degli accessi che si occupa dell'autenticazione, dell'applicazione delle regole e della protezione di utenti, dispositivi, applicazioni e risorse [2]. Per un dipendente la directory resta invisibile. Si manifesta in due forme: la schermata di accesso e la richiesta di approvazione sul telefono. Questa scheda spiega che cosa fa il dipendente in questi due momenti, che cosa fa il responsabile della directory e dove si nascondono le insidie. ## In 30 secondi - Dove succede: a ogni accesso, compreso quello a Microsoft 365, perché chi è abbonato a Microsoft 365, Azure o Dynamics CRM Online usa già Entra ID [2]. - Cosa vuole l'attaccante: un account valido. MITRE ATT&CK descrive account presi di mira con la forza bruta, con il phishing o con altri mezzi [3]. - Il riflesso: approvare una richiesta di approvazione solo se vi siete appena collegati voi stessi, e segnalare ogni richiesta che non avete provocato [4]. ## Domande dirette ### A cosa serve una directory? Una directory è una struttura gerarchica che archivia informazioni sugli oggetti di una rete. Un servizio di directory come AD DS mette questi dati a disposizione di utenti e amministratori [1]. Tra questi oggetti ci sono risorse condivise (server, volumi, stampanti) e account di utenti e di computer [1]. La sicurezza è integrata tramite l'autenticazione all'accesso e il controllo degli accessi agli oggetti della directory [1]. ### Qual è la differenza tra Active Directory ed Entra ID? AD DS è il servizio di directory di Windows Server [1]. Entra ID è il suo equivalente online: ogni tenant Microsoft 365 è automaticamente un tenant Entra [2]. I due possono coesistere. Un account cloud può essere ibrido, cioè sincronizzato o federato con una directory locale come Active Directory [3]. La stessa password vale allora in entrambi i mondi, e questo amplia i danni di un furto [3]. ### Perché una password da sola non basta? Secondo Microsoft, una password da sola lascia un vettore di attacco non protetto: se è debole o è stata esposta altrove, un attaccante può usarla [5]. L'autenticazione a più fattori richiede almeno due elementi su tre: qualcosa che si sa (di solito una password), qualcosa che si possiede (un telefono, una chiave hardware), qualcosa che si è (un'impronta, un volto) [5]. Per un attaccante il secondo fattore non è facile da ottenere né da duplicare [5]. L'organizzazione può anche definire regole di contesto. Le policy di accesso condizionale di Microsoft Entra sono istruzioni del tipo «se… allora»: se un utente vuole accedere a un'applicazione come Microsoft 365, deve passare per l'autenticazione a più fattori [6]. Possono lasciare l'accesso normale sulla rete aziendale o da un dispositivo registrato, e richiedere un fattore aggiuntivo da remoto o da un dispositivo personale [5]. ### Che cosa faccio con una richiesta di approvazione che non ho avviato? La rifiuti e la segnali. MITRE ATT&CK descrive la tecnica di generazione di richieste MFA: un attaccante che ha una password ma non il secondo fattore fa partire notifiche push (Duo Push, Microsoft Authenticator, Okta o equivalenti) perché la vittima accetti [4]. Può ripetere i tentativi per sommergere l'utente di notifiche, SMS e chiamate, finché non accetta: la fonte lo chiama «MFA fatigue» [4]. Tra le misure indicate da MITRE: formare gli utenti ad accettare solo le richieste provenienti da accessi che hanno avviato loro, a verificare il luogo del tentativo e a segnalare le richieste sospette o non sollecitate [4]. ### Che cosa può fare un attaccante con un account rubato? Dipende dall'account. Gli account di dominio sono quelli gestiti da AD DS e comprendono utenti, amministratori e servizi [7]. Se compromessi, possono servire per l'accesso iniziale, la persistenza, l'escalation dei privilegi o l'elusione delle difese [7]. Sul lato cloud, un account molto privilegiato, federato, sincronizzato o solo cloud, può consentire di passare all'ambiente locale [3]. ### Che cos'è il Kerberoasting? In questo attacco, un avversario in possesso di un ticket Kerberos valido chiede a un controller di dominio ticket di servizio per nomi principali di servizio (SPN) [8]. Una parte di questi ticket può essere cifrata con l'algoritmo RC4. L'hash dell'account di servizio fa allora da chiave e diventa vulnerabile a un attacco a forza bruta offline, che può rivelare credenziali in chiaro [8]. Gli hash violati possono dare accesso ad account validi, con persistenza, escalation dei privilegi e movimento laterale [8]. Il dipendente non c'entra: la difesa spetta a chi gestisce gli account di servizio. ## Come funziona La directory AD DS comprende uno schema, che definisce le classi di oggetti e i loro attributi, un catalogo globale, un meccanismo di query e un servizio di replica [1]. Tutti i controller di dominio di un dominio partecipano alla replica e contengono una copia completa delle informazioni del proprio dominio: una modifica fatta su uno viene replicata su tutti [1]. Entra ID è il prodotto di base della famiglia Microsoft Entra [2]. Questa famiglia comprende anche Entra ID Governance, che automatizza richieste di accesso, assegnazioni e revisioni e può togliere i diritti a un dipendente che lascia l'azienda [2]. Entra ID Protection rileva e segnala i rischi legati alle identità [2]. Per le applicazioni datate che non sanno usare l'autenticazione moderna, Entra Domain Services offre servizi gestiti come i criteri di gruppo, LDAP e l'autenticazione Kerberos/NTLM [2]. L'accesso condizionale decide in base a segnali: utente o gruppo, posizione IP, dispositivo, applicazione, rischio rilevato [6]. Le sue decisioni vanno dal blocco all'accesso concesso a condizioni: autenticazione a più fattori, dispositivo conforme, cambio di password [6]. Queste policy si applicano dopo l'autenticazione con il primo fattore [6]. Le impostazioni di sicurezza predefinite (security defaults) attivano rapidamente Microsoft Authenticator per tutti gli utenti di un tenant [5]. ## Cosa fa Lei - Attivi l'autenticazione a più fattori quando Le viene proposta. Tra i metodi disponibili ci sono Microsoft Authenticator, Windows Hello for Business, le passkey (FIDO2), un token hardware, l'SMS e la chiamata vocale [5]. I metodi si gestiscono in My Profile [5]. - Approvi solo le richieste che ha avviato Lei. Se arriva una richiesta senza che Lei abbia tentato nulla, la rifiuti e la segnali al team informatico [4]. - Scelga una password unica e complessa per ogni servizio: MITRE raccomanda password complesse e uniche per gli account cloud [3]. - Non riutilizzi la password di lavoro altrove. La fonte di MITRE sugli account di dominio cita il riutilizzo delle password tra i modi per compromettere gli account [7]. Cosa fa il responsabile della directory: - Limitare gli account di servizio ai diritti minimi necessari, compresa l'appartenenza a gruppi privilegiati come Domain Administrators [8]. - Richiedere password lunghe per gli account di servizio (idealmente 25 caratteri o più), rinnovarle e valutare gli account di servizio gestiti di gruppo o un vault di password [8]. - Limitare l'uso degli account privilegiati secondo i livelli di amministrazione e non inserire account utente o amministratori di dominio nei gruppi di amministratori locali senza un controllo rigoroso [9]. - Rivedere regolarmente le autorizzazioni degli account cloud privilegiati, come Global Administrator e Privileged Role Administrator, verificare che non sia stato creato alcun account privilegiato non autorizzato e valutare un accesso privilegiato temporaneo (just-in-time) invece di un'assegnazione permanente [3]. - Esaminare gli account inattivi o inutili ed eliminarli [3]. - Disattivare l'autenticazione legacy, che non gestisce l'autenticazione a più fattori [3]. ## Le insidie Gli account amministratore troppo numerosi. Ogni account privilegiato è un bersaglio: DCSync, per esempio, permette di estrarre dati sulle password da Active Directory simulando la replica di un controller di dominio [9]. Possono eseguirlo i membri dei gruppi Administrators, Domain Admins ed Enterprise Admins, oppure gli account macchina del controller [9]. Gli hash ottenuti, compreso quello dell'account KRBTGT, servono poi a creare un Golden Ticket o a cambiare una password [9]. Il secondo fattore assente. MITRE riferisce che Storm-0501 ha usato un account Global Administrator della vittima senza alcun metodo MFA registrato per accedere ai suoi ambienti cloud [3]. Lo stesso gruppo ha sfruttato account compromessi per raggiungere Microsoft Entra Connect, che sincronizza le identità locali ed Entra, in modo che gli utenti accedano a entrambi con la stessa password [3]. La notifica che alla fine si accetta. La fatica da notifiche push è un modo documentato per aggirare l'autenticazione a più fattori [4]. MITRE consiglia di sostituire il semplice push con l'inserimento di un codice monouso mostrato sulla schermata di accesso e di limitare il numero di richieste inviate in un dato periodo [4]. Gli account di servizio dimenticati. Sono quelli che il Kerberoasting prende di mira, anche con strumenti come Rubeus o con il comando Invoke-Kerberoast di PowerSploit [8]. MITRE raccomanda di preferire la cifratura AES a RC4 quando possibile [8]. Il quadro di riferimento. Il NIST ha pubblicato la versione finale di SP 800-63B-4, dedicata all'autenticazione e alla gestione degli autenticatori, il 31 luglio 2025 [10]. Il testo riguarda l'autenticazione delle persone che interagiscono con i sistemi informativi del governo statunitense e definisce requisiti tecnici per ciascuno dei suoi tre livelli di garanzia [10]. Sostituisce la versione SP 800-63B di marzo 2020 [10]. ## Casi reali ### 2025: attacchi wiper in Polonia MITRE ATT&CK rileva, per gli attacchi «2025 Poland Wiper Attacks», due usi di credenziali nello stesso episodio. Gli attaccanti hanno usato account privilegiati per accedere alla soluzione VPN FortiGate e alle sottoreti successive [7]. Hanno inoltre sfruttato credenziali rubate in ambienti locali per accedere a servizi cloud [3]. ## Fonti 1. Microsoft, «Active Directory Domain Services overview». https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/get-started/virtual-dc/active-directory-domain-services-overview (consultato il 3 novembre 2026) 2. Microsoft, «What is Microsoft Entra?». https://learn.microsoft.com/en-us/entra/fundamentals/what-is-entra (consultato il 3 novembre 2026) 3. MITRE ATT&CK, «Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/004/ (consultato il 3 novembre 2026) 4. MITRE ATT&CK, «Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1621/ (consultato il 3 novembre 2026) 5. Microsoft, «How it works: Microsoft Entra multifactor authentication». https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mfa-howitworks (consultato il 3 novembre 2026) 6. Microsoft, «What is Conditional Access?». https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview (consultato il 3 novembre 2026) 7. MITRE ATT&CK, «Valid Accounts: Domain Accounts, Sub-technique T1078.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/002/ (consultato il 3 novembre 2026) 8. MITRE ATT&CK, «Steal or Forge Kerberos Tickets: Kerberoasting, Sub-technique T1558.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1558/003/ (consultato il 3 novembre 2026) 9. MITRE ATT&CK, «OS Credential Dumping: DCSync, Sub-technique T1003.006 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1003/006/ (consultato il 3 novembre 2026) 10. NIST, «SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management», 31 luglio 2025. https://csrc.nist.gov/pubs/sp/800/63/b/4/final (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/active-directory-entra-id-identita/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.