La telemetria del tenant è l'insieme dei dati di sicurezza e di audit prodotti da un tenant cloud, cioè l'ambiente ospitato di una singola organizzazione in servizi come Microsoft 365 o Azure. Include eventi di identità, accessi, chiamate API, registri di consenso delle app, modifiche a caselle di posta e calendari e azioni amministrative. Questi dati sono la materia prima che i difensori usano per capire cosa stanno facendo utenti, applicazioni e servizi all'interno del tenant.
È importante perché gli attacchi moderni spesso rimangono all'interno dell'attività cloud legittima. Un account compromesso, un service principal abusato o un'app malevola possono generare traffico che sembra normale, a meno che la telemetria non venga esaminata con attenzione. Gli analisti cercano modifiche insolite ai calendari, accessi imprevisti a Microsoft Graph, nuove concessioni di consenso, uso sospetto di token o cambiamenti che non corrispondono al comportamento abituale di un utente. Una buona telemetria del tenant supporta il rilevamento, l'indagine e il contenimento quando gli aggressori cercano di nascondersi nei flussi di lavoro cloud quotidiani.