Identidade como o Novo Perímetro: Acesso Condicional

No modelo Zero Trust, a identidade é o novo perímetro. Como os usuários acessam recursos de qualquer lugar — de casa, de cafeterias e por meio de dispositivos móveis —, o limite da rede não serve como âncora de confiança. Em vez disso, cada decisão de acesso é tomada com base em quem está fazendo a solicitação, de qual dispositivo e em quais condições. O provedor de identidade se torna o guardião, não o firewall.

Conditional Access é um mecanismo de políticas que concede ou restringe o acesso com base em sinais avaliados no momento da autenticação. Em vez de simplesmente verificar um nome de usuário e uma senha, o acesso condicional avalia condições: o dispositivo está em conformidade? A localização é conhecida? O risco de entrada está elevado? A MFA foi satisfeita? Somente quando as condições são atendidas o mecanismo de políticas emite um token de acesso. Se as condições falharem, o acesso será negado ou um desafio adicional será acionado.

As políticas de Conditional Access avaliam simultaneamente várias categorias de sinais. Sinais de usuário/grupo identificam quem está fazendo a solicitação (administrador, convidado ou contratado). Sinais do dispositivo verificam o status de conformidade no MDM. Sinais da aplicação identificam qual aplicação está sendo acessada (alta ou baixa sensibilidade). Sinais de localização comparam o endereço IP com localizações nomeadas e países confiáveis. Sinais de risco de entrada provenientes da inteligência contra ameaças sinalizam padrões suspeitos de login.

Uma política de Conditional Access produz um de vários resultados. GRANT permite o acesso, possivelmente com requisitos como MFA ou conformidade do dispositivo. BLOCK nega o acesso totalmente — por exemplo, bloqueando todo o acesso proveniente de países de alto risco. Controles de sessão podem limitar o que os usuários fazem depois que o acesso é concedido: exigir uma nova autenticação após um tempo limite, bloquear downloads ou impor o modo somente leitura em aplicações na nuvem.

O Conditional Access baseado em risco integra inteligência contra ameaças à decisão de acesso em tempo real. Provedores de identidade, como o Azure AD Identity Protection, atribuem pontuações de risco às entradas com base em sinais como viagem impossível (login realizado em dois países em poucos minutos), uso de endereços IP conhecidos por serem maliciosos, bancos de dados de credenciais vazadas e padrões de comportamento anômalos. Entradas de alto risco podem ser bloqueadas automaticamente ou exigir uma nova verificação da identidade.

O Conditional Access pode exigir conformidade do dispositivo como pré-requisito para acessar recursos sensíveis. Um dispositivo em conformidade é aquele inscrito no MDM (Intune, Jamf), que executa uma versão compatível do OS, tem a criptografia de disco habilitada e não apresenta vulnerabilidades conhecidas sinalizadas pelo EDR. Dispositivos não gerenciados ou que não estão em conformidade são redirecionados para um portal de inscrição, em vez de receberem acesso — mesmo que as credenciais do usuário sejam válidas.

Localizações nomeadas no Conditional Access definem intervalos de IP confiáveis — endereços IP de escritórios, redes de filiais ou nós de saída de VPN. As políticas podem exigir autenticação adicional (MFA) para qualquer acesso proveniente de fora das localizações nomeadas ou bloquear totalmente o acesso de países específicos ou redes de proxies anônimos. Isso adiciona uma camada de localização à verificação de identidade sem voltar a pensar em termos de perímetro baseado em IP.

Tokens de acesso Tradicional são válidos durante seu lifetime (frequentemente uma hora), independentemente do que aconteça com a conta do usuário depois da emissão. A Avaliação Contínua de Access (CAE) permite que o provedor de recursos revogue tokens quase em tempo real quando ocorrem eventos críticos — conta desabilitada, senha alterada ou usuário sinalizado como arriscado. A aplicação verifica a validade do token durante a sessão, e não apenas no login, eliminando a lacuna que permite que tokens comprometidos continuem válidos.

As organizações frequentemente precisam conceder acesso a parceiros e contratados sem criar contas internas. A identidade federada permite que um provedor de identidade externo (Azure AD do parceiro, Google Workspace) autentique os usuários e transmita declarações de identidade verificadas. As políticas de Conditional Access podem ser aplicadas a usuários federados — exigindo MFA, restringindo tipos de dispositivos ou limitando as aplicações que eles podem acessar — mantendo o controle sem gerenciar diretamente as contas.

Além de conceder ou bloquear o acesso, o Conditional Access pode impor controles no nível da sessão. Para aplicações na nuvem integradas ao Microsoft Defender for Cloud Apps ou a soluções CASB (Cloud Access Security Broker) semelhantes, as políticas podem restringir ações: bloquear downloads de arquivos em dispositivos não gerenciados, exigir uma nova autenticação após 8 horas de inatividade, exibir avisos ao acessar dados sensíveis ou impedir a ação de copiar e colar conteúdo confidencial fora do ambiente Corporate.

Implementar a identidade como perímetro exige integrar várias tecnologias: um Identity Provider (IdP) compatível com protocolos modernos (SAML, OIDC), uma solução de MDM/EMM para dados de conformidade dos dispositivos, um mecanismo de políticas de Conditional Access e autenticação multifator como linha de base mínima. O objetivo é garantir que nenhum acesso ocorra sem identidade e postura do dispositivo verificadas, independentemente da localização na rede — eliminando o conceito de uma rede interna confiável.

Teste sua compreensão dos conceitos do CompTIA Security+ (SY0-701) desta lição.

Nesta lição, você aprendeu: a identidade substitui o perímetro da rede como principal âncora de confiança no Zero Trust; o Conditional Access avalia vários sinais (usuário, dispositivo, localização e risco) antes de conceder o acesso; e os controles de sessão e a Avaliação Contínua de Access mantêm a segurança durante toda a sessão de acesso, não apenas no login. A seguir, veremos o Zero Trust Maturity Model para planejar a adoção em toda a empresa.