Cyberpediadi Brain
ITDEENESFR

Active Directory ed Entra ID

La directory aziendale decide chi è chi e chi accede a cosa. Cosa fa il dipendente, cosa fa il responsabile e quali sono le insidie.

In 30 secondi

Dove succede
A ogni accesso, compreso quello a Microsoft 365, perché chi è abbonato a Microsoft 365, Azure o Dynamics CRM Online usa già Entra ID2.
Cosa vuole l'attaccante
Un account valido. MITRE ATT&CK descrive account presi di mira con la forza bruta, con il phishing o con altri mezzi3.
Il riflesso
Approvare una richiesta di approvazione solo se vi siete appena collegati voi stessi, e segnalare ogni richiesta che non avete provocato4.

Di cosa si tratta

Una directory aziendale tiene l'elenco degli account e stabilisce che cosa ciascuno può fare. Nella sede aziendale è spesso Active Directory Domain Services (AD DS), che archivia informazioni sugli account utente: nomi, password, numeri di telefono1. Nel cloud è Microsoft Entra ID, un servizio di gestione delle identità e degli accessi che si occupa dell'autenticazione, dell'applicazione delle regole e della protezione di utenti, dispositivi, applicazioni e risorse2.

Per un dipendente la directory resta invisibile. Si manifesta in due forme: la schermata di accesso e la richiesta di approvazione sul telefono. Questa scheda spiega che cosa fa il dipendente in questi due momenti, che cosa fa il responsabile della directory e dove si nascondono le insidie.

Domande dirette

A cosa serve una directory?

Una directory è una struttura gerarchica che archivia informazioni sugli oggetti di una rete. Un servizio di directory come AD DS mette questi dati a disposizione di utenti e amministratori1. Tra questi oggetti ci sono risorse condivise (server, volumi, stampanti) e account di utenti e di computer1. La sicurezza è integrata tramite l'autenticazione all'accesso e il controllo degli accessi agli oggetti della directory1.

Qual è la differenza tra Active Directory ed Entra ID?

AD DS è il servizio di directory di Windows Server1. Entra ID è il suo equivalente online: ogni tenant Microsoft 365 è automaticamente un tenant Entra2. I due possono coesistere. Un account cloud può essere ibrido, cioè sincronizzato o federato con una directory locale come Active Directory3. La stessa password vale allora in entrambi i mondi, e questo amplia i danni di un furto3.

Perché una password da sola non basta?

Secondo Microsoft, una password da sola lascia un vettore di attacco non protetto: se è debole o è stata esposta altrove, un attaccante può usarla5. L'autenticazione a più fattori richiede almeno due elementi su tre: qualcosa che si sa (di solito una password), qualcosa che si possiede (un telefono, una chiave hardware), qualcosa che si è (un'impronta, un volto)5. Per un attaccante il secondo fattore non è facile da ottenere né da duplicare5.

L'organizzazione può anche definire regole di contesto. Le policy di accesso condizionale di Microsoft Entra sono istruzioni del tipo «se… allora»: se un utente vuole accedere a un'applicazione come Microsoft 365, deve passare per l'autenticazione a più fattori6. Possono lasciare l'accesso normale sulla rete aziendale o da un dispositivo registrato, e richiedere un fattore aggiuntivo da remoto o da un dispositivo personale5.

Che cosa faccio con una richiesta di approvazione che non ho avviato?

La rifiuti e la segnali. MITRE ATT&CK descrive la tecnica di generazione di richieste MFA: un attaccante che ha una password ma non il secondo fattore fa partire notifiche push (Duo Push, Microsoft Authenticator, Okta o equivalenti) perché la vittima accetti4. Può ripetere i tentativi per sommergere l'utente di notifiche, SMS e chiamate, finché non accetta: la fonte lo chiama «MFA fatigue»4. Tra le misure indicate da MITRE: formare gli utenti ad accettare solo le richieste provenienti da accessi che hanno avviato loro, a verificare il luogo del tentativo e a segnalare le richieste sospette o non sollecitate4.

Che cosa può fare un attaccante con un account rubato?

Dipende dall'account. Gli account di dominio sono quelli gestiti da AD DS e comprendono utenti, amministratori e servizi7. Se compromessi, possono servire per l'accesso iniziale, la persistenza, l'escalation dei privilegi o l'elusione delle difese7. Sul lato cloud, un account molto privilegiato, federato, sincronizzato o solo cloud, può consentire di passare all'ambiente locale3.

Che cos'è il Kerberoasting?

In questo attacco, un avversario in possesso di un ticket Kerberos valido chiede a un controller di dominio ticket di servizio per nomi principali di servizio (SPN)8. Una parte di questi ticket può essere cifrata con l'algoritmo RC4. L'hash dell'account di servizio fa allora da chiave e diventa vulnerabile a un attacco a forza bruta offline, che può rivelare credenziali in chiaro8. Gli hash violati possono dare accesso ad account validi, con persistenza, escalation dei privilegi e movimento laterale8. Il dipendente non c'entra: la difesa spetta a chi gestisce gli account di servizio.

1Come funziona1 min

La directory AD DS comprende uno schema, che definisce le classi di oggetti e i loro attributi, un catalogo globale, un meccanismo di query e un servizio di replica1. Tutti i controller di dominio di un dominio partecipano alla replica e contengono una copia completa delle informazioni del proprio dominio: una modifica fatta su uno viene replicata su tutti1.

Entra ID è il prodotto di base della famiglia Microsoft Entra2. Questa famiglia comprende anche Entra ID Governance, che automatizza richieste di accesso, assegnazioni e revisioni e può togliere i diritti a un dipendente che lascia l'azienda2. Entra ID Protection rileva e segnala i rischi legati alle identità2. Per le applicazioni datate che non sanno usare l'autenticazione moderna, Entra Domain Services offre servizi gestiti come i criteri di gruppo, LDAP e l'autenticazione Kerberos/NTLM2.

L'accesso condizionale decide in base a segnali: utente o gruppo, posizione IP, dispositivo, applicazione, rischio rilevato6. Le sue decisioni vanno dal blocco all'accesso concesso a condizioni: autenticazione a più fattori, dispositivo conforme, cambio di password6. Queste policy si applicano dopo l'autenticazione con il primo fattore6. Le impostazioni di sicurezza predefinite (security defaults) attivano rapidamente Microsoft Authenticator per tutti gli utenti di un tenant5.

2Cosa fa Lei2 min
  • Attivi l'autenticazione a più fattori quando Le viene proposta. Tra i metodi disponibili ci sono Microsoft Authenticator, Windows Hello for Business, le passkey (FIDO2), un token hardware, l'SMS e la chiamata vocale5. I metodi si gestiscono in My Profile5.
  • Approvi solo le richieste che ha avviato Lei. Se arriva una richiesta senza che Lei abbia tentato nulla, la rifiuti e la segnali al team informatico4.
  • Scelga una password unica e complessa per ogni servizio: MITRE raccomanda password complesse e uniche per gli account cloud3.
  • Non riutilizzi la password di lavoro altrove. La fonte di MITRE sugli account di dominio cita il riutilizzo delle password tra i modi per compromettere gli account7.

Cosa fa il responsabile della directory:

  • Limitare gli account di servizio ai diritti minimi necessari, compresa l'appartenenza a gruppi privilegiati come Domain Administrators8.
  • Richiedere password lunghe per gli account di servizio (idealmente 25 caratteri o più), rinnovarle e valutare gli account di servizio gestiti di gruppo o un vault di password8.
  • Limitare l'uso degli account privilegiati secondo i livelli di amministrazione e non inserire account utente o amministratori di dominio nei gruppi di amministratori locali senza un controllo rigoroso9.
  • Rivedere regolarmente le autorizzazioni degli account cloud privilegiati, come Global Administrator e Privileged Role Administrator, verificare che non sia stato creato alcun account privilegiato non autorizzato e valutare un accesso privilegiato temporaneo (just-in-time) invece di un'assegnazione permanente3.
  • Esaminare gli account inattivi o inutili ed eliminarli3.
  • Disattivare l'autenticazione legacy, che non gestisce l'autenticazione a più fattori3.
3Le insidie2 min

Gli account amministratore troppo numerosi. Ogni account privilegiato è un bersaglio: DCSync, per esempio, permette di estrarre dati sulle password da Active Directory simulando la replica di un controller di dominio9. Possono eseguirlo i membri dei gruppi Administrators, Domain Admins ed Enterprise Admins, oppure gli account macchina del controller9. Gli hash ottenuti, compreso quello dell'account KRBTGT, servono poi a creare un Golden Ticket o a cambiare una password9.

Il secondo fattore assente. MITRE riferisce che Storm-0501 ha usato un account Global Administrator della vittima senza alcun metodo MFA registrato per accedere ai suoi ambienti cloud3. Lo stesso gruppo ha sfruttato account compromessi per raggiungere Microsoft Entra Connect, che sincronizza le identità locali ed Entra, in modo che gli utenti accedano a entrambi con la stessa password3.

La notifica che alla fine si accetta. La fatica da notifiche push è un modo documentato per aggirare l'autenticazione a più fattori4. MITRE consiglia di sostituire il semplice push con l'inserimento di un codice monouso mostrato sulla schermata di accesso e di limitare il numero di richieste inviate in un dato periodo4.

Gli account di servizio dimenticati. Sono quelli che il Kerberoasting prende di mira, anche con strumenti come Rubeus o con il comando Invoke-Kerberoast di PowerSploit8. MITRE raccomanda di preferire la cifratura AES a RC4 quando possibile8.

Il quadro di riferimento. Il NIST ha pubblicato la versione finale di SP 800-63B-4, dedicata all'autenticazione e alla gestione degli autenticatori, il 31 luglio 202510. Il testo riguarda l'autenticazione delle persone che interagiscono con i sistemi informativi del governo statunitense e definisce requisiti tecnici per ciascuno dei suoi tre livelli di garanzia10. Sostituisce la versione SP 800-63B di marzo 202010.

4Casi reali1 min

2025: attacchi wiper in Polonia

MITRE ATT&CK rileva, per gli attacchi «2025 Poland Wiper Attacks», due usi di credenziali nello stesso episodio. Gli attaccanti hanno usato account privilegiati per accedere alla soluzione VPN FortiGate e alle sottoreti successive7. Hanno inoltre sfruttato credenziali rubate in ambienti locali per accedere a servizi cloud3.

Scheda

Identificativo
CP-199
Ala
3. Protocolli e difesa
Competenza Brain
Controllare gli accessi (control_access)
Riflesso Brain
cr-062
Schema
G3 · Sezione anatomica
Lingue
de, en, es, fr, it
Fonti
10 fonti verificate il 3 novembre 2026
Fonti10 fonti
  1. Microsoft, «Active Directory Domain Services overview». https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/get-started/virtual-dc/active-directory-domain-services-overview (consultato il 3 novembre 2026)
  2. Microsoft, «What is Microsoft Entra?». https://learn.microsoft.com/en-us/entra/fundamentals/what-is-entra (consultato il 3 novembre 2026)
  3. MITRE ATT&CK, «Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/004/ (consultato il 3 novembre 2026)
  4. MITRE ATT&CK, «Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1621/ (consultato il 3 novembre 2026)
  5. Microsoft, «How it works: Microsoft Entra multifactor authentication». https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mfa-howitworks (consultato il 3 novembre 2026)
  6. Microsoft, «What is Conditional Access?». https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview (consultato il 3 novembre 2026)
  7. MITRE ATT&CK, «Valid Accounts: Domain Accounts, Sub-technique T1078.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/002/ (consultato il 3 novembre 2026)
  8. MITRE ATT&CK, «Steal or Forge Kerberos Tickets: Kerberoasting, Sub-technique T1558.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1558/003/ (consultato il 3 novembre 2026)
  9. MITRE ATT&CK, «OS Credential Dumping: DCSync, Sub-technique T1003.006 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1003/006/ (consultato il 3 novembre 2026)
  10. NIST, «SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management», 31 luglio 2025. https://csrc.nist.gov/pubs/sp/800/63/b/4/final (consultato il 3 novembre 2026)

Cita questo articolo

Brain, «Active Directory ed Entra ID», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/active-directory-entra-id-identita/

BibTeX 
@misc{brain_cp199_it_2026,
  author = {Brain},
  title = {Active Directory ed Entra ID},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/it/articles/active-directory-entra-id-identita/},
  note = {CC BY 4.0}
}
Licenza CC BY 4.0