Acesso just-in-time e políticas de acesso condicional

Privilégio permanente significa que um usuário tem acesso elevado sempre ativo, 24 horas por dia, 7 dias por semana, precise dele ou não. Esse é o modelo tradicional das contas de administrador — o administrador pode acessar sistemas de produção a qualquer momento, até às 3h da madrugada de um domingo, quando não há nenhum trabalho legítimo sendo realizado. O privilégio permanente aumenta drasticamente a superfície de risco: credenciais de administrador comprometidas dão imediatamente aos invasores acesso elevado, sem exigir nenhuma etapa adicional.

O acesso no momento certo (JIT) substitui o privilégio permanente por uma elevação temporária sob demanda. Quando um administrador precisa de acesso privilegiado, ele o solicita apresentando uma justificativa comercial. A solicitação é aprovada (automaticamente ou por um gerente), o privilégio é concedido por uma janela de tempo definida (por exemplo, 1 hora) e então expira automaticamente. Durante essa janela, toda a atividade é monitorada. Após a expiração, o administrador não tem acesso privilegiado até fazer uma nova solicitação.

O Azure Privileged Identity Management (PIM) é a implementação em Cloud da Microsoft para acesso no momento certo. Os usuários tornam-se elegible para funções privilegiadas (por exemplo, Global Administrator), mas não mantêm a função continuamente. Quando necessário, eles ativam a função no portal do Azure, fornecem uma justificativa, podem precisar de MFA e aprovação e recebem a função por uma duração configurada (no máximo 8 horas para a maioria das funções). O PIM gera logs de auditoria de cada ativação para relatórios de conformidade.

O Conditional Access é um mecanismo de políticas condicionais que avalia sinais contextuais antes de conceder acesso. Em vez de permitir ou negar o acesso de forma binária com base apenas nas credenciais, o Conditional Access considera: Quem está entrando (identidade do usuário e associação a grupos), O que está sendo acessado (aplicativo ou dados), Onde a pessoa está (endereço IP, localização), Quando (horário do dia), Como (status de conformidade do dispositivo, navegador ou aplicativo nativo) e o Risco (pontuação de risco de entrada fornecida pelo provedor de identidade).

As políticas de Conditional Access avaliam vários sinais simultaneamente. Os principais incluem: Conformidade do dispositivo (o dispositivo é gerenciado por MDM e atende aos requisitos básicos de segurança?), Location (o IP está em uma localização nomeada confiável ou em um país estrangeiro?), Risco de entrada (a IA do provedor de identidade sinalizou este login como anômalo — localização incomum, credenciais vazadas, deslocamento impossível?) e Risco do usuário (há indicações de comprometimento dessa conta provenientes de inteligência da dark web?).

Quando uma política de Conditional Access corresponde às condições, o controle de concessão determina o que o usuário deve fazer. As opções incluem: Bloquear o acesso completamente, Exigir MFA, Exigir um dispositivo em conformidade, Exigir um aplicativo cliente aprovado (somente aplicativos gerenciados são permitidos), Exigir alteração de senha (se as credenciais estiverem em risco) ou combinações desses controles. Os controles de concessão permitem que as organizações aumentem os requisitos de segurança com base no nível de risco do acesso solicitado.

Além dos controles de concessão, o Conditional Access pode aplicar controles de sessão que restringem o que os usuários podem fazer após a autenticação. Os exemplos incluem: impor a frequência de entrada (exigir uma nova autenticação a cada hora), restringir o download de arquivos confidenciais em dispositivos não gerenciados, aplicar políticas do Microsoft Defender for Cloud Apps para monitoramento de sessões em tempo real e limitar operações de copiar e colar em aplicativos confidenciais acessados de locais não confiáveis.

As Named Locations no Conditional Access definem intervalos de IP ou regiões geográficas confiáveis. O acesso a partir de uma localização nomeada confiável (por exemplo, intervalos de IP do escritório corporativo) pode ser concedido com menos atrito (sem exigir MFA). O acesso de fora das Named Locations — especialmente de países de alto risco — aciona requisitos adicionais de autenticação. A combinação de Named Locations com a detecção de deslocamento impossível (quando um usuário parece estar em dois locais distantes em poucos minutos) bloqueia cenários de comprometimento de credenciais.

O Conditional Access baseado em risco usa sinais de aprendizado de máquina do provedor de identidade para avaliar o risco de entrada em tempo real. O Microsoft Entra ID (anteriormente Azure AD) atribui uma pontuação de risco de entrada (Baixo/Médio/Alto) com base em fatores como credenciais vazadas em bancos de dados da dark web, padrões anômalos de entrada e endereços IP associados a malware. Uma entrada de alto risco pode exigir automaticamente a redefinição da senha e MFA, protegendo as contas mesmo antes de uma equipe de TI analisar o alerta.

As políticas de Conditional Access e o acesso JIT criam um risco: se o próprio provedor de identidade ficar indisponível, os administradores poderão perder o acesso aos sistemas necessários para restaurá-lo. Contas de emergência (contas de acesso emergencial) são contas altamente privilegiadas excluídas das políticas de Conditional Access, mantidas com as credenciais em um cofre físico e usadas somente em emergências reais. O uso delas deve acionar imediatamente alertas e uma revisão pós-incidente, pois qualquer uso fora de uma emergência declarada é um sinal de alerta.

O acesso JIT e as políticas de Conditional Access funcionam juntos como controles complementares. O Conditional Access controla se um usuário pode se autenticar e quais controles deve cumprir. O acesso JIT controla qual função privilegiada ele recebe após a autenticação e por quanto tempo. Juntos, eles implementam o princípio de confiança zero de nunca confiar, sempre verificar: cada solicitação de acesso é avaliada no contexto, o privilégio é temporário e todas as ações são registradas.

Teste sua compreensão dos conceitos de CompTIA Security+ (SY0-701) abordados nesta lição.

Nesta lição, você aprendeu que: o acesso no momento certo substitui o privilégio permanente por uma elevação temporária sob demanda que expira automaticamente, as políticas de Conditional Access avaliam sinais contextuais (dispositivo, localização, risco) antes de conceder acesso e as contas de emergência fornecem acesso emergencial excluído das políticas normais, mas devem ser rigorosamente controladas e monitoradas. A seguir, exploraremos o modelo de responsabilidade compartilhada em IaaS, PaaS e SaaS.