| Data/ora | Server | Categoria | Utente | Descrizione | Esito | IP / postazione | Sessione |
|---|
Andamento nel tempo
Attività per account (primi 15)
Per server
Accessi falliti: origini (indirizzi IP)
Attività per giorno e ora
Lettori dei log (uno per server)
| Server | Eseguito su | Stato | Ultima lettura | Ultimo evento nel log | Eventi 24 h | Eventi totali | Tipo | Versione | Config. |
|---|
Ogni lettore scrive un battito nel database a ogni ciclo. «Verifica» ricontrolla la catena di hash degli ultimi 30 giorni: rileva eventi modificati o cancellati nel database.
Agenti sui server (invio in HTTPS)
Un agente installato su un server del cliente legge il suo log e lo invia al cloud con un token: il server non ha bisogno di SQL Server né di accessi remoti, solo di raggiungere questo indirizzo in uscita. Crea il token per il server, poi installa l'agente con Install-Agent.ps1 (pacchetto Agente, vedi la guida). Il token si vede una volta sola.
| Server | Token creato | Ultimo contatto | Da IP | Stato |
|---|
Integrità e sigilli giornalieri
| Data | Server | Ultimo Id | Eventi | Hash |
|---|
I sigilli (ultimo hash di ogni giorno) vanno copiati su un supporto che gli amministratori non possono modificare (NAS in sola lettura, altro server).
| Gravità | Tipo | Ultimo evento | Dettaglio |
|---|
Account con diritti amministrativi NON nell'elenco
Membri del gruppo Administrators dei server monitorati (e di Domain Admins, Enterprise Admins e Schema Admins se il dominio è raggiungibile) che non risultano nell'elenco sotto: chi ha questi diritti è, di fatto, un amministratore di sistema e va designato o privato dei diritti. Se un account di questo tipo si collega, l'accesso viene registrato comunque (con IP e tipo di accesso) e segnalato come «Privilegi a utente non censito». Controllo automatico ogni 6 ore.
Elenco degli amministratori di sistema
Persone designate come amministratori di sistema, con ambiti di operatività (Provvedimento Garante 27/11/2008). Gli eventi degli account elencati sono registrati come «admin censito». I cessati non si cancellano: si registra la data di cessazione.
| Account | Nominativo | Ruolo | Ambito | Designato | Cessato |
|---|
Verifica annuale dell'operato degli amministratori di sistema (titolare del trattamento): conformità alle misure organizzative, tecniche e di sicurezza.
Aspetto
La scelta vale per questo browser e si applica subito.
Le modifiche vengono lette dai lettori entro 30 secondi, senza riavvio. Ogni modifica è registrata (chi, quando, prima e dopo): escludere account o ridurre i tipi di accesso nasconde attività dai log.
Ultime modifiche
| Quando | Utente | Ambito | Modifica |
|---|
Sorgenti cloud: Microsoft 365
Importa le azioni amministrative del registro di controllo unificato (Entra ID, Exchange, SharePoint/OneDrive, Teams, Purview) e gli accessi: sono registrati con la stessa catena di hash e hanno gli stessi avvisi e report dei server. Non serve Entra ID P1. Serve un'app registrata nel tenant con il permesso Office 365 Management APIs → ActivityFeed.Read (consenso dell'amministratore): vedi INSTALLAZIONE.md, sezione 16.
Gli accessi riusciti si registrano solo per gli account dell'elenco amministratori (usare l'indirizzo completo, es. admin@azienda.it); gli accessi falliti e le azioni amministrative si registrano sempre.
Il primo import recupera gli ultimi 7 giorni (il massimo che Microsoft mette a disposizione), poi ogni 5 minuti. Lo stato di ogni tenant è nella scheda Lettori e integrità (sorgente «M365:NOME»).
Report settimanale
Il report copre gli ultimi 7 giorni: riepilogo con confronto sulla settimana precedente, attività di ogni amministratore censito, accessi falliti, modifiche sensibili, stato dei lettori, integrità e una sezione «Da controllare». Se l'invio fallisce viene ritentato ogni 15 minuti per qualche ora. Il pianificatore gira nel servizio AdminLog.
Avviso: il monitoraggio di un server non funziona
Si invia una sola e-mail per episodio (più server insieme nello stesso messaggio); se l'invio non riesce si riprova dopo 15 minuti. Segnala anche l'audit disattivato (log Security senza eventi) e la numerazione anomala del log.
Se il servizio AdminLog stesso è fermo, a segnalarlo è il controllo esterno (Install-Watchdog.ps1).
Avviso: accessi falliti ripetuti
Esempio: «più di 5 tentativi in 15 minuti». Si invia una sola e-mail per caso, poi si aspetta la pausa. L'e-mail elenca gli ultimi tentativi, le origini, gli account e segnala se dopo i tentativi risulta un accesso riuscito.
Avviso: eventi critici
Gli eventi vengono registrati una sola volta (nessun duplicato) e inviati in un'unica e-mail riepilogativa. La verifica di integrità, il sigillo giornaliero e il controllo NTP girano ogni notte anche se gli avvisi sono disattivati.
Utenti della dashboard
| Utente | Ruolo | Attivo | Ultimo accesso |
|---|
Amministratore: configura lettori, posta, report, avvisi, utenti ed elenco amministratori. Lettore: consulta eventi, statistiche, integrità ed esporta i dati.
Accessi del fornitore ai vostri dati
Quando un amministratore della piattaforma consulta i dati di questa organizzazione viene registrato qui.
| Quando | Utente | IP |
|---|
Nuovo utente
Clienti
| Cliente | Contatto | Lettori | Eventi 24 h | Utenti | Licenza | Stato |
|---|
Nuovo cliente
Un cliente disattivato non accede più e non riceve avvisi; i suoi log restano. Per i dati di un cliente: scegli il cliente nel selettore in alto (ogni consultazione è registrata e visibile al cliente).
Utenti di tutti i clienti
| Utente | Cliente | Ruolo | Attivo | Ultimo accesso |
|---|
Nuovo utente
Server di posta (SMTP) della piattaforma
Le e-mail di tutti i clienti partono da questo server; i destinatari si impostano per ciascun cliente.
La prova usa i valori del modulo senza salvarli. La password è cifrata con le credenziali di questo server (DPAPI) e non viene mai mostrata.
Accessi della piattaforma ai dati dei clienti
| Quando | Utente | Cliente | IP |
|---|