Log di Microsoft 365: le prove che lo studio perde

Quando un cliente contesta un bonifico deviato o un documento finito all’indirizzo sbagliato, la domanda è sempre la stessa: cosa è successo nella casella, e quando. In Microsoft 365 la risposta non sta nella posta ma nei log: il registro di controllo unificato (Unified Audit Log), consultabile da Microsoft Purview, e i log di accesso e di controllo di Entra ID. Sono le prove che lo studio perde più spesso, perché nessuno se ne occupa finché non servono.

Quali log di Microsoft 365 servono a ricostruire un incidente

• Log di accesso di Entra ID: data, IP, applicazione, esito del secondo fattore, identificativo di sessione. Mostrano da dove e con quale dispositivo è stata aperta la casella.
• Registro di controllo unificato: creazione di regole di posta (New-InboxRule, Set-InboxRule), modifica delle autorizzazioni, inoltri, cancellazioni, attività su OneDrive e SharePoint.
• Controllo delle cassette postali: l’operazione MailItemsAccessed indica quali messaggi sono stati letti, ma la sua disponibilità dipende dalla licenza.

Tre limiti da conoscere prima

La conservazione è limitata nel tempo e dipende dalla licenza; Microsoft ha cambiato più volte questi periodi, per cui vanno verificati sul proprio tenant e non presi da un articolo. I log di accesso di Entra ID restano disponibili meno a lungo del registro di controllo. E un account amministrativo compromesso può modificare le impostazioni di registrazione: chi controlla il tenant controlla anche le prove.

Cosa fare prima che serva

Primo controllo: in Exchange Online PowerShell, Get-AdminAuditLogConfig deve restituire UnifiedAuditLogIngestionEnabled impostato a True. Se non lo è, va attivato con Set-AdminAuditLogConfig: i log partono da quel momento, non retroattivamente.

Poi un’esportazione periodica in un archivio esterno al tenant, con accesso in sola lettura e credenziali diverse da quelle di amministrazione di Microsoft 365. Si può fare con Search-UnifiedAuditLog in uno script pianificato o, dove la licenza lo consente, con le impostazioni di diagnostica di Entra ID verso un account di archiviazione. Una scadenza mensile basta per quasi tutti gli studi.

Catena di custodia

Ogni esportazione va accompagnata da una nota: chi l’ha fatta, quando, con quale query e intervallo, su quale account. Il file si chiude con un hash SHA-256 registrato a parte, e gli orari si conservano in UTC, come li restituisce Microsoft. Così, se la ricostruzione arriva davanti a un perito o a un giudice, le evidenze hanno una provenienza documentata invece di un’esportazione improvvisata il giorno dopo.

Il caso più frequente che questi log devono chiarire è il furto di sessione sulle caselle dello studio. Su come acquisire e conservare le evidenze vale la nota sulle prove digitali di valore legale; quando la ricostruzione è destinata a una causa, entra in gioco la Digital Forensics.