Autenticação Multifator e Acesso Condicional

Credenciais roubadas são a principal causa de violações de segurança na nuvem. Uma senha sozinha pode ser obtida por phishing, descoberta por força bruta ou vazada em uma violação de terceiros. A Autenticação Multifator (MFA) exige um segundo fator de verificação que provavelmente não estará em posse de um invasor, mesmo depois que ele obtiver uma senha — reduzindo significativamente o risco de acesso não autorizado ao seu ambiente do Azure.

O Entra ID é compatível com vários fatores de verificação de MFA. A opção mais segura e recomendada é o aplicativo Microsoft Authenticator, que fornece correspondência de números e notificações por push. Outras opções incluem uma chave de segurança FIDO2 (token de hardware), um token OATH de software, uma mensagem de texto SMS ou uma chamada de voz. SMS e voz são considerados menos seguros e devem ser usados somente como alternativas de fallback.

O MFA no Entra ID pode ser imposto por meio de três mecanismos. Os padrões de segurança são a opção gratuita de um clique que impõe MFA a todos os usuários, mas sem possibilidade de personalização. O MFA por usuário (legado) habilita MFA em contas de usuário específicas. A abordagem moderna recomendada são as políticas de Conditional Access (Entra ID P1/P2), que impõem MFA somente quando determinadas condições de risco são atendidas, reduzindo o atrito para entradas de baixo risco.

O Conditional Access (Entra ID P1) é um mecanismo de políticas baseado em se-então: se um usuário (ou grupo) tentar acessar um recurso sob determinadas condições, então conceda o acesso, bloqueie o acesso ou exija controles adicionais, como MFA ou um dispositivo em conformidade. As condições podem incluir a identidade do usuário, a conformidade do dispositivo, a localização do IP, o aplicativo acessado e a pontuação de risco do Entra ID Identity Protection.

Uma política de Conditional Access tem duas partes: atribuições (a quem e a que a política se aplica) e controles de acesso (o que acontece quando a política é acionada). As atribuições definem os usuários/grupos, os aplicativos de nuvem acessados e as condições (localização, plataforma do dispositivo e risco da entrada). Os controles de acesso definem se o acesso será concedido (opcionalmente exigindo MFA, um dispositivo em conformidade ou um aplicativo aprovado) ou totalmente bloqueado.

Os locais nomeados do Conditional Access permitem definir intervalos de IP confiáveis (como a rede do escritório corporativo) ou países. Um padrão comum de política é exigir MFA quando um usuário entra fora de um local nomeado confiável, mas permitir a passagem direta quando a entrada ocorre a partir de um IP conhecido do escritório. Isso reduz o atrito para funcionários no local e, ao mesmo tempo, reforça a segurança para usuários remotos ou em viagem.

O Conditional Access pode exigir que o dispositivo que está acessando esteja em conformidade (atenda às políticas de conformidade de dispositivos do Intune) ou seja um dispositivo corporativo ingressado no Azure AD de forma híbrida. Isso garante que, mesmo quando as credenciais são válidas, as entradas de dispositivos pessoais ou não gerenciados sejam bloqueadas ou tenham de atender a controles adicionais. Os controles baseados em dispositivos são um pilar fundamental de um modelo de segurança de Zero Trust.

O Entra ID Identity Protection (P2) usa aprendizado de máquina para avaliar cada entrada e atribuir uma pontuação de risco: baixa, média ou alta. Os fatores de risco incluem viagem impossível (entrada a partir de dois países em poucos minutos), IP anônimo, credenciais vazadas e detecção de tentativa de senhas em massa. As políticas de Conditional Access podem ser acionadas pelo nível de risco — por exemplo, exigindo MFA para risco médio e bloqueando automaticamente o acesso para risco alto.

Antes de impor uma política de Conditional Access, você pode configurá-la no modo Somente relatório. Nesse modo, a política avalia todas as entradas e registra o que teria acontecido (acesso concedido, bloqueado ou MFA exigido), mas não impõe os controles de fato. Isso permite validar o impacto da política sobre os usuários antes de habilitá-la, evitando bloqueios inesperados causados por condições com escopo inadequado.

A ferramenta E se na área do Conditional Access permite simular um cenário de entrada — especificando um usuário, aplicativo, endereço IP, plataforma do dispositivo e nível de risco — e ver quais políticas se aplicariam e qual seria o resultado combinado. Ela é extremamente útil para solucionar problemas de acesso e validar se o conjunto de políticas produz o resultado esperado para determinados usuários e condições.

Toda organização deve manter pelo menos duas contas de acesso de emergência para situações críticas excluídas de todas as políticas de Conditional Access, incluindo os requisitos de MFA. Essas contas são usadas somente quando a infraestrutura de MFA falha ou todos os administradores ficam bloqueados. As credenciais de emergência devem ser armazenadas em um cofre físico, usar senhas longas e aleatórias, não ter MFA registrado e ser rigorosamente auditadas para detectar qualquer uso.

Avalie sua compreensão dos conceitos de Fundamentos do Microsoft Azure (AZ-900) desta lição.

Teste sua compreensão dos conceitos do Microsoft Azure Fundamentals (AZ-900) apresentados nesta lição.