Essential Eight restringe privilégios administrativos

Este artigo detalha os métodos para obter o Modelo de Maturidade Essencial dos Oito do ACSC (Australian Cyber Security Center) para restringir privilégios administrativos usando a plataforma de identidade da Microsoft. As Diretrizes do Modelo de Maturidade ACSC para Restringir Privilégios Administrativos são encontradas no Modelo de Maturidade Essencial Oito do ACSC.

Por que seguir as diretrizes de restrição de privilégios administrativos do ACSC Essential Eight?

O ACSC (Australian Cyber Security Center) lidera os esforços do governo australiano para melhorar a segurança cibernética. O ACSC recomenda que todas as organizações australianas implementem as Oito Estratégias Essenciais para Mitigar Incidentes de Segurança Cibernética do ACSC como linha de base. A linha de base, conhecida como Oito Essenciais, são medidas fundamentais de segurança cibernética que tornam muito mais difícil para os adversários comprometerem os sistemas. Os Oito Níveis Essenciais de Maturidade permitem que as organizações avaliem a adequação de suas medidas de segurança cibernética contra ameaças comuns no cenário atual de TIC interconectada.

O objetivo de um ator mal-intencionado é obter acesso a credenciais privilegiadas, especialmente credenciais com acesso ao painel de controle corporativo. O acesso ao painel de controle fornece amplo acesso e controle sobre ativos de alto valor em um ambiente de TIC corporativo. Exemplos de acesso ao painel de controle incluem privilégios de administrador global e equivalentes no Microsoft Entra ID e acesso privilegiado à infraestrutura de virtualização corporativa.

Restringir o acesso privilegiado usando uma abordagem de várias camadas aumenta a dificuldade para um adversário realizar atividades mal-intencionadas. Restringir privilégios administrativos é um controle altamente eficaz incluído nas estratégias do ACSC para mitigar incidentes de segurança cibernética.

Esta tabela descreve os controles do ISM relacionados a Restringir Privilégios Administrativos.

Restringir privilégios administrativos: oito requisitos essenciais

O acesso privilegiado permite que os administradores alterem a configuração dos principais aplicativos e infraestrutura, como serviços de identidade, sistemas de negócios, dispositivos de rede, estações de trabalho de usuário e contas de usuário. O acesso privilegiado ou as credenciais são frequentemente chamados de "chaves do reino", pois fornecem aos portadores controle sobre muitos ativos diferentes dentro de uma rede.

As seguintes categorias de controles são necessárias para atingir o Nível de Maturidade Essencial Oito 3 para Restringir Privilégios Administrativos.

• Governança de identidade: a governança de identidade é o processo de validação dos requisitos de acesso do usuário e remoção do acesso que não é mais necessário.
• Privilégio mínimo: O privilégio mínimo é uma abordagem de controle de acesso que limita o acesso a sistemas, aplicativos e repositórios de dados apenas ao que é necessário para que usuários e serviços realizem suas tarefas.
• Restrições de conta: as restrições de conta reduzem a exposição de credenciais privilegiadas a ambientes não privilegiados.
• Dispositivos administrativos: Os dispositivos administrativos são ambientes operacionais seguros usados para executar atividades administrativas.
• Registro e monitoramento: o registro e o monitoramento de atividades privilegiadas permitem a detecção de sinais de comprometimento.

Governança de identidade

O Identity Governance ajuda as organizações a obter um equilíbrio entre a produtividade e a segurança. O gerenciamento do ciclo de vida de identidade é a base para a governança de identidade, e a governança eficaz em escala requer uma infraestrutura moderna de gerenciamento do ciclo de vida de identidade.

Gerenciamento de direitos (ML1)

O Nível de Maturidade 1 do Essential Eight exige que as solicitações de acesso privilegiado a sistemas, aplicativos e repositórios de dados sejam validadas quando solicitadas pela primeira vez. A validação de solicitações de acesso privilegiado faz parte do processo de gerenciamento de direitos. O gerenciamento de direitos é o processo de administrar o acesso do usuário a privilégios para garantir que somente usuários autorizados tenham acesso a um conjunto de recursos. As principais etapas no processo de gerenciamento de direitos incluem solicitações de acesso, revisões de acesso, provisionamento de acesso e expiração de acesso.

O Gerenciamento de Direitos do Microsoft Entra automatiza o processo de gerenciamento de acesso aos recursos no Azure. Os usuários podem ter acesso delegado usando pacotes de acesso, que são pacotes de recursos. Um pacote do Access no Gerenciamento de Direitos do Microsoft Entra pode incluir grupos de segurança, grupos e equipes do Microsoft 365, aplicativos empresariais do Microsoft Entra e sites do SharePoint Online. Os pacotes de acesso incluem uma ou mais políticas. Uma política define as regras ou proteções para atribuição ao pacote de acesso. As políticas podem ser usadas para garantir que somente os usuários apropriados possam solicitar acesso, que os aprovadores para solicitações de acesso sejam atribuídos e que o acesso aos recursos seja limitado no tempo e expire se não for renovado.

Para obter informações detalhadas sobre o gerenciamento de direitos, consulte Gerenciamento de Direitos do Microsoft Entra.

Gerenciar usuários inativos (ML2)

O Nível de Maturidade 2 do Essential Eight exige que o acesso privilegiado a sistemas e aplicativos seja desabilitado automaticamente após 45 dias de inatividade. As contas inativas são contas de usuário ou do sistema que não são mais necessárias para sua organização. Contas inativas geralmente podem ser identificadas por meio de logs de entrada, indicando que elas não foram usadas para entrar por um longo período de tempo. É possível usar o carimbo de data/hora da última entrada para detectar contas inativas.

A última entrada fornece insights potenciais sobre a necessidade contínua de um usuário de acesso a recursos. Isso pode ajudar a determinar se a associação a um grupo ou o acesso ao aplicativo ainda é necessário ou pode ser removido. Para gerenciamento de usuário convidado, você pode entender se uma conta de convidado ainda está ativa no locatário ou deve ser limpa.

Você detecta contas inativas avaliando a propriedade lastSignInDateTime exposta pelo tipo de recurso signInActivity da API do Graph. A propriedade lastSignInDateTime mostra a última vez que um usuário fez uma entrada interativa bem-sucedida no Microsoft Entra ID. Usando essa propriedade, você pode implementar uma solução para os seguintes cenários:

• Data e hora da última entrada para todos os usuários: nesse cenário, você precisa gerar um relatório da data da última entrada de todos os usuários. Você pode solicitar uma lista de todos os usuários e o último lastSignInDateTime para cada usuário respectivo em https://graph.microsoft.com/v1.0/users?$select=displayName,signInActivity.

• Usuários por nome: nesse cenário, você pesquisa um usuário específico pelo nome, o que permite avaliar o lastSignInDateTime:

  • https://graph.microsoft.com/v1.0/users?$filter=startswith(displayName,'markvi')&$select=displayName,signInActivity

• Usuários por data: nesse cenário, você solicita uma lista de usuários com um lastSignInDateTime antes de uma data especificada:

  • https://graph.microsoft.com/v1.0/users?$filter=signInActivity/lastSignInDateTime le 2019-06-01T00:00:00Z

Para obter informações detalhadas sobre como gerenciar usuários inativos, consulte Gerenciar contas de usuário inativas.

Privilégios mínimos

O privilégio mínimo exige que o acesso a sistemas e aplicativos seja limitado apenas ao necessário para que usuários e sistemas realizem suas funções. O privilégio mínimo pode ser implementado usando controles como RBAC (controle de acesso baseado em função), gerenciamento de acesso privilegiado e acesso JIT (just-in-time).

Contas separadas para administradores (ML1)

O Nível de Maturidade 1 do Essential Eight exige que os usuários privilegiados recebam uma conta de usuário privilegiado dedicada para ser usada exclusivamente para tarefas que exijam acesso privilegiado. Contas com privilégios de alto nível no Microsoft Entra ID, no Azure e no Microsoft 365 devem ser contas somente na nuvem, não contas sincronizadas de um domínio do Active Directory local. As contas administrativas devem bloquear o uso de ferramentas de produtividade, como o email do Office 365 (remover licença).

Para obter informações detalhadas sobre como gerenciar o acesso administrativo, consulte Protegendo o acesso privilegiado para implantações híbridas e de nuvem.

Impor acesso condicional para administradores (ML1)

O Nível de Maturidade 1 do Essential Eight exige que usuários privilegiados usem ambientes operacionais privilegiados e não privilegiados separados. O acesso privilegiado aos ambientes do Azure e do Microsoft 365 requer um padrão de segurança mais alto do que o padrão aplicado a usuários comuns. O acesso privilegiado deve ser concedido com base em uma combinação de sinais e atributos de segurança para dar suporte a uma estratégia de Confiança Zero. O comprometimento de uma conta com acesso privilegiado ao Azure ou ao Microsoft 365 pode causar interrupções significativas nos processos comerciais. O Acesso Condicional pode reduzir o risco de comprometimento impondo um determinado padrão de higiene de segurança antes de permitir o acesso às ferramentas de gerenciamento do Azure.

É recomendável implementar os seguintes controles para acesso administrativo ao portal do Azure e às ferramentas de administração de linha de comando:

• Exigir a autenticação multifator (MFA)
• Bloquear tentativas de acesso com um nível de risco de entrada Alto do Microsoft Identity Protection
• Bloquear tentativas de acesso com um nível de risco de usuário alto do Microsoft Identity Protection
• Exigir acesso de um dispositivo ingressado no Microsoft Entra, que atenda aos requisitos de conformidade do Intune para integridade do dispositivo, status de atualização e status de segurança do sistema

Para obter informações detalhadas sobre a imposição do Acesso Condicional para Administradores, consulte os seguintes artigos:

• Contas Privilegiadas
• Modelo do Microsoft Privileged Access

Gerenciando contas de administrador local (ML2)

O Essential Eight Maturity Level 2 exige que as credenciais para contas de emergência, contas de administrador local e contas de serviço sejam longas, exclusivas, imprevisíveis e gerenciadas. As contas de Administrador local ativas em estações de trabalho do Windows geralmente são usadas por invasores para percorrer lateralmente um ambiente Windows. Por esse motivo, os seguintes controles são recomendados para contas de administrador local em sistemas ingressados no domínio:

Sistemas ingressados no Active Directory

A LAPS (Solução de Senha de Administrador Local) da Microsoft fornece uma solução para o problema de usar uma conta local comum com uma senha idêntica em todos os computadores. O LAPS resolve esse problema definindo uma senha aleatória diferente e girada para a conta de administrador local em cada computador no domínio. As senhas são armazenadas no Active Directory e protegidas por Listas de Controle de Acesso restritivas. A senha do administrador local só pode ser recuperada ou redefinida por usuários qualificados.

Para obter informações detalhadas sobre como gerenciar contas de administrador local em sistemas ingressados no Active Directory, consulte os seguintes artigos:

• Examine e baixe a Solução de Senha de Administrador Local
• Saiba como configurar o Microsoft LAPS

Sistemas ingressados no Microsoft Entra

Quando você ingressa um dispositivo Windows no Microsoft Entra ID usando um ingresso no Microsoft Entra, o Microsoft Entra ID adiciona os seguintes princípios de segurança ao grupo Administradores local no dispositivo:

• A função de Administrador Global do Microsoft Entra
• A função de Administrador Local do Dispositivo Ingressado no Microsoft Entra
• O usuário que executa o ingresso no Microsoft Entra

Você pode personalizar a associação do grupo de Administradores local para atender às suas necessidades comerciais. É recomendável limitar o acesso do administrador local às estações de trabalho e exigir a aprovação do PIM para o uso da função de Administrador Local do Dispositivo Ingressado no Microsoft Entra.

No portal do Azure, você pode gerenciar a função de administrador do dispositivo nas Configurações do dispositivo.

1. Entre no portal do Azure como Administrador Global.
2. Navegue até Dispositivos > do Microsoft Entra ID > Configurações do dispositivo.
3. Selecione Gerenciar administradores locais adicionais em todos os dispositivos associados ao Microsoft Entra.
4. Selecione Adicionar atribuições , escolha os outros administradores que você deseja adicionar e selecione Adicionar.

Para modificar a função de Administrador de Dispositivo, configure Administradores locais adicionais em todos os dispositivos ingressados no Microsoft Entra.

Para obter informações detalhadas sobre como gerenciar administradores locais em sistemas que ingressaram no Microsoft Entra, consulte os seguintes artigos:

• Saiba como gerenciar administradores locais em dispositivos ingressados no Microsoft Entra
• Visão geral do Windows LAPS

Gerenciando contas de serviço (ML2)

Um desafio comum para os desenvolvedores é o gerenciamento de segredos, credenciais, certificados e chaves usados para proteger a comunicação entre os serviços. O Essential Eight Maturity Level 2 exige que as credenciais das contas de serviço sejam longas, exclusivas, imprevisíveis e gerenciadas.

Sistemas ingressados no Active Directory

As gMSAs (contas de serviço gerenciado de grupo) são contas de domínio para ajudar a proteger os serviços. As gMSAs podem ser executadas em um servidor ou em um farm de servidores, como sistemas por trás de um servidor de balanceamento de carga de rede ou IIS (Serviços de Informações da Internet). Depois de configurar seus serviços para usar um principal gMSA, o gerenciamento de senha da conta é tratado pelo sistema operacional (SO) Windows.

As gMSAs são uma solução de identidade com maior segurança que ajuda a reduzir a sobrecarga administrativa:

• Definir senhas fortes: 240 bytes, senhas geradas aleatoriamente: a complexidade e o comprimento das senhas gMSA minimizam a probabilidade de comprometimento por força bruta ou ataques de dicionário.
• Faça um ciclo de senhas regularmente: o gerenciamento de senhas vai para o sistema operacional Windows, que altera a senha a cada 30 dias. Os administradores de serviço e domínio não precisam agendar alterações de senha ou gerenciar interrupções de serviço.
• Suporte à implantação em farms de servidores: implante gMSAs em vários servidores para dar suporte a soluções com balanceamento de carga em que vários hosts executam o mesmo serviço.
• Suporte ao gerenciamento simplificado de SPN (nome da entidade de serviço) - configure um SPN com o PowerShell, ao criar uma conta.

Sistemas ingressados no Microsoft Entra

As identidades gerenciadas fornecem uma identidade gerenciada automaticamente no Microsoft Entra ID para os aplicativos usarem ao se conectar a recursos que dão suporte à autenticação do Microsoft Entra. Os aplicativos podem usar identidades gerenciadas para obter tokens do Microsoft Entra sem precisar gerenciar nenhuma credencial.

Existem dois tipos de identidades gerenciadas:

• Atribuído pelo sistema. Uma entidade de serviço é criada automaticamente no Microsoft Entra ID para a identidade do recurso. A entidade de serviço está vinculada ao ciclo de vida desse recurso do Azure. Quando o recurso do Azure é excluído, o Azure exclui automaticamente a entidade de serviço associada.
• Atribuído pelo usuário. Uma entidade de serviço é criada manualmente no Microsoft Entra ID para a identidade do recurso. A entidade de serviço é gerenciada separadamente dos recursos que a utilizam.

Acesso just-in-time a sistemas e aplicativos (ML3)

Evite atribuir acesso permanente permanente a todas as contas que são membros de funções altamente privilegiadas no Azure ou no Microsoft 365. Os invasores frequentemente visam contas com privilégios permanentes para manter a persistência em ambientes corporativos e causar danos generalizados aos sistemas. Os privilégios temporários forçam os invasores a aguardar que um usuário eleve seus privilégios ou inicie a elevação de privilégios. Iniciar uma atividade de elevação de privilégio aumenta a chance de um invasor ser detectado e removido antes que possa causar dano.

Conceda privilégios somente conforme necessário usando os seguintes métodos:

• Acesso just-in-time: Configure Microsoft Entra Privileged Identity Management (PIM) para exigir um fluxo de trabalho de aprovação para obter privilégios de acesso a funções privilegiadas. No mínimo, a elevação deve ser necessária para as seguintes funções privilegiadas do Microsoft Entra: Administrador Global, Administrador de Autenticação Privilegiada, Administrador de Função Privilegiada, Administrador de Acesso Condicional e Administrador do Intune. No mínimo, a elevação deve ser necessária para as seguintes funções privilegiadas do RBAC do Azure: Proprietário e Colaborador.
• Contas de emergência: as contas de acesso de emergência são limitadas a cenários de emergência ou de "emergência" em que contas administrativas normais não podem ser usadas. Por exemplo, todos os administradores sendo bloqueados de um locatário do Microsoft Entra. Certifique-se de definir uma senha forte e só use contas de acesso de emergência durante emergências. Crie contas somente na nuvem usando o domínio *.onmicrosoft.com para contas de acesso de emergência e configure o monitoramento para alertar sobre logins.

Revisões de acesso (ML3)

O Nível de Maturidade Essencial Oito 3 exige que o acesso privilegiado a sistemas e aplicativos seja limitado apenas ao necessário para que usuários e serviços cumpram suas funções. A necessidade de acesso privilegiado aos recursos do Azure e às funções do Microsoft Entra muda ao longo do tempo. Para reduzir o risco associado a atribuições de função obsoletas, você deve revisar o acesso regularmente. As revisões de acesso do Microsoft Entra permitem que as organizações gerenciem com eficiência as associações de grupo RBAC, o acesso a aplicativos empresariais e as atribuições de função do Microsoft Entra. O acesso do usuário pode ser revisado regularmente para garantir que apenas as pessoas certas continuem tendo acesso.

As revisões de acesso do Microsoft Entra permitem casos de uso como:

• Identificação de direitos de acesso excessivos
• Identificando quando um grupo é usado para uma nova finalidade
• À medida que as pessoas movem de equipe ou saem da empresa, é necessário remover o acesso desnecessário
• Habilitar o envolvimento proativo com os proprietários de recursos para garantir que eles revisem regularmente quem tem acesso a seus recursos.

Dependendo do tipo de acesso que requer revisão, as revisões de acesso precisam ser criadas em diferentes áreas do portal do Azure. A tabela a seguir mostra as ferramentas específicas para criar revisões de acesso:

Para obter informações detalhadas sobre as análises de acesso do Microsoft Entra, consulte os seguintes artigos:

• Saiba mais sobre as revisões de acesso do Microsoft Entra
• Saiba como gerenciar o acesso do usuário com as análises de acesso do Microsoft Entra

Restrições de conta

A segurança da conta é um componente crítico para proteger o acesso privilegiado. A segurança de ponta a ponta de Confiança Zero requer o estabelecimento de que a conta que está sendo usada na sessão está realmente sob o controle do proprietário humano e não de um invasor que a represente.

Restrições de logon (ML1)

Usuários, serviços ou contas de aplicativos com privilégios administrativos em domínios do AD (Active Directory) do Windows representam um alto risco para a segurança corporativa. Essas contas geralmente são alvo de invasores porque fornecem amplo acesso a servidores, bancos de dados e aplicativos. Quando os administradores fazem login em sistemas com um perfil de segurança mais baixo, as credenciais privilegiadas são armazenadas na memória e podem ser extraídas usando ferramentas de roubo de credenciais (por exemplo, Mimikatz).

O Nível de Maturidade 1 do Essential Eight requer que as contas de usuário privilegiadas (excluindo contas de administrador local) não possam fazer logon em ambientes operacionais sem privilégios. O Modelo de Administração em Camadas da Microsoft aplica restrições de logon a dispositivos ingressados no domínio para evitar a exposição de credenciais privilegiadas em dispositivos com um perfil de segurança inferior. Os administradores com acesso de administrador ao domínio do Active Directory são separados dos administradores com controle sobre estações de trabalho e aplicativos corporativos. Restrições de logon devem ser impostas para garantir que contas altamente privilegiadas não possam fazer login em recursos menos seguros. Por exemplo:

• Membros dos grupos Active Directory Enterprise e Administradores de Domínio não conseguem fazer logon em servidores de aplicativos de negócios e estações de trabalho do usuário.
• Membros da função Administradores Globais do Microsoft Entra não conseguem fazer logon em estações de trabalho ingressadas no Microsoft Entra.

As restrições de logon podem ser impostas com a Política de Grupo, Atribuições de Direitos do Usuário ou Políticas do Microsoft Intune. É recomendável configurar as seguintes políticas em servidores corporativos e estações de trabalho de usuário para impedir que contas privilegiadas exponham credenciais a um sistema menos confiável:

• Negar acesso a este computador pela rede
• Negar logon como um trabalho em lotes
• Negar o logon como um serviço
• Negar logon localmente
• Negar logon por meio dos Serviços de Terminal

Restringir o acesso à Internet, ao email e aos serviços Web (ML1)

O Nível de Maturidade 1 do Essential Eight exige que contas privilegiadas (excluindo contas explicitamente autorizadas a acessar serviços online) sejam impedidas de acessar a Internet, e-mail e serviços Web. As contas administrativas devem bloquear o uso de ferramentas de produtividade, como o email do Office 365 (remover licença). As contas administrativas devem acessar os portais de administração na nuvem por meio de um dispositivo de acesso privilegiado. Os dispositivos de acesso privilegiado devem negar todos os sites e usar uma lista de permissões para permitir o acesso aos portais de administração na nuvem. O controle da Internet e do e-mail de dispositivos de acesso privilegiado pode ser realizado usando um firewall baseado em host, um proxy de nuvem ou definindo as configurações de proxy no dispositivo.

Dispositivos ingressados no Microsoft Entra

Crie um perfil de configuração do Microsoft Intune para configurar o proxy de rede em dispositivos usados para administração de privilégios. Os dispositivos de acesso privilegiado usados para administrar os serviços de nuvem do Azure e do Microsoft 365 devem usar as isenções de proxy na tabela a seguir.

Habilitando o Credential Guard e o Remote Credential Guard (ML3)

O Nível de Maturidade 3 do Essential Eight requer que a funcionalidade do Credential Guard esteja habilitada para combater ataques de roubo de credenciais que visam hashes de senha NTLM, TGTs Kerberos e credenciais armazenadas por aplicativos. O guarda de credenciais da Microsoft usa a segurança baseada em virtualização (VBS) para isolar segredos de modo que apenas o software do sistema privilegiado possa acessá-los. Ele oferece benefícios como segurança de hardware, segurança baseada em virtualização e proteção contra ameaças persistentes avançadas. Ele está habilitado por padrão no Windows 11, 22H2 ou posterior e no Windows Server 20025 ou posterior. É recomendável configurar isso por meio da política de catálogo de configurações do Microsoft Intune. Para obter informações detalhadas sobre como habilitar o credential guard por meio do Microsoft Intune, consulte Configurar o Credential Guard.

O Nível de Maturidade 3 do Essential Eight requer que o Remote Credential Guard esteja habilitado para proteger as credenciais administrativas que estão sendo passadas por uma conexão RDP. Ele redireciona as solicitações Kerberos de volta para o dispositivo de origem que solicitou a conexão. As credenciais e seus derivados nunca são senhas pela rede. O Remote Credential Guard também fornece experiências de logon único para sessões de Área de Trabalho Remota. O Remote Credential Guard pode ser imposto no cliente e no host remoto. É recomendável configurar isso por meio da política de catálogo de configurações do Microsoft Intune para host cliente e remoto. Para obter informações detalhadas sobre como habilitar a guarda de credencial remota por meio do Microsoft Intune, consulte Guarda de Credencial Remota.

Dispositivos Administrativos

Os administradores do sistema devem usar dispositivos separados para gerenciar ambientes operacionais privilegiados e não privilegiados. As atividades administrativas devem seguir o princípio de fonte limpa para todos os dispositivos envolvidos no processo de administração.

Ambientes operacionais separados privilegiados e não privilegiados (ML1)

O Nível de Maturidade 1 do Essential Eight exige que usuários privilegiados usem ambientes operacionais privilegiados e não privilegiados separados. Usar diferentes estações de trabalho físicas é a abordagem mais segura para separar ambientes operacionais privilegiados e não privilegiados para administradores de sistema. Embora as garantias de segurança possam ser aprimoradas na sessão, elas sempre serão limitadas pela força da garantia no dispositivo de origem. Um invasor com controle de um dispositivo de acesso privilegiado pode representar usuários ou roubar credenciais de usuário para representação futura. Esse risco prejudica outras garantias na conta, intermediários como servidores de salto e nos próprios recursos.

As organizações que não podem usar estações de trabalho físicas separadas para separar ambientes operacionais privilegiados e não privilegiados devem adotar uma abordagem baseada em risco e implementar controles alternativos de acordo com uma estratégia de segurança de defesa aprofundada. A Microsoft recomenda mapear funções de usuário e ativos para um nível de confidencialidade para avaliar o nível de garantia necessário para proteger ambientes operacionais privilegiados.

Para obter informações detalhadas sobre os níveis de confidencialidade de acesso privilegiado, consulte Níveis de segurança de acesso privilegiado

Estações de Trabalho de Administração Segura (ML3)

O Nível de Maturidade 3 do Essential Eight requer que as Estações de Trabalho de Administração Segura sejam usadas para executar atividades administrativas. As SAWs (Estações de Administração Segura) são um controle eficaz contra a exposição de credenciais confidenciais em dispositivos menos seguros. Fazer logon ou executar serviços em um dispositivo menos seguro com uma conta privilegiada aumenta o risco de roubo de credenciais e ataques de escalonamento de privilégios. As credenciais privilegiadas só devem ser expostas a um teclado SAW e devem ser impedidas de fazer logon em dispositivos menos seguros. Os SAWs fornecem uma plataforma segura para gerenciar serviços de nuvem locais, do Azure, do Microsoft 365 e de terceiros. Os dispositivos SAW são gerenciados usando o Microsoft Intune e protegidos usando uma combinação do Defender para Ponto de Extremidade, do Windows Hello para Empresas e dos controles do Microsoft Entra ID.

O diagrama a seguir ilustra a arquitetura de alto nível, incluindo os vários componentes de tecnologia que devem ser configurados para implementar a solução geral e a estrutura SAW:

Para obter informações detalhadas sobre Estações de Administração Seguras, consulte os seguintes artigos:

• Saiba mais sobre Dispositivos de Acesso Privilegiado
• Saiba como implantar uma Estação de Trabalho Segura
• Examinar e baixar o perfil de estação de trabalho privilegiada

Proteger intermediários e servidores de salto (ML2)

A segurança dos serviços intermediários é um componente crítico da proteção do acesso privilegiado. Os intermediários são usados para facilitar a sessão do administrador ou a conexão com um sistema ou aplicativo remoto. Exemplos de intermediários incluem VPNs (redes virtuais privadas), servidores de salto, infraestrutura de área de trabalho virtual (incluindo Windows 365 e Área de Trabalho Virtual do Azure) e publicação de aplicativos por meio de proxies de acesso. Geralmente, os invasores têm como alvo intermediários para escalonar privilégios usando credenciais armazenadas neles, obter acesso remoto de rede a redes corporativas ou explorar a confiança no dispositivo de acesso privilegiado.

Diferentes tipos de intermediários executam funções exclusivas, portanto, cada um deles requer uma abordagem de segurança diferente. Os invasores são facilmente capazes de atingir sistemas com uma superfície de ataque maior. A lista a seguir inclui opções disponíveis para intermediários de acesso privilegiado:

• Os serviços de nuvem nativos, como Microsoft Entra Privileged Identity Management (PIM), Azure Bastion e Microsoft Entra proxy de aplicativo, oferecem uma superfície de ataque limitada aos invasores. Embora estejam expostos à Internet pública, os clientes (e invasores) não têm acesso à infraestrutura subjacente. A infraestrutura subjacente para serviços SaaS e PaaS é mantida e monitorada pelo provedor de nuvem. Essa superfície de ataque menor limita as opções disponíveis para invasores em comparação com aplicativos e dispositivos locais clássicos que devem ser configurados, corrigidos e monitorados pela equipe de TI.
• As VPNs (Redes Virtuais Privadas), as Áreas de Trabalho Remotas e os Servidores de Salto oferecem uma oportunidade significativa para invasores, pois exigem correção, proteção e manutenção contínuas para manter uma postura de segurança resiliente. Embora um servidor de salto possa ter apenas algumas portas de rede expostas, os invasores só precisam de acesso a um serviço sem patch para executar um ataque.
• Os serviços de terceiros Privileged Identity Management (PIM) e Privileged Access Management (PAM) são frequentemente hospedados no local ou como uma VM na infraestrutura como serviço (IaaS) e normalmente estão disponíveis apenas para hosts de intranet. Embora não seja diretamente exposta à Internet, uma única credencial comprometida pode permitir que invasores acessem o serviço por VPN ou outro meio de acesso remoto.

Para obter informações detalhadas sobre Intermediários de Acesso Privilegiado, consulte Intermediários Seguros.

Intune Gerenciamento de privilégios de ponto de extremidade

Com o Gerenciamento de Privilégios de ponto de extremidade (EPM) do Microsoft Intune, os usuários da sua organização podem executar como um usuário padrão (sem direitos de administrador) e concluir tarefas que exigem privilégios elevados. O EPM facilita a execução de tarefas por usuários padrão que exigem privilégios administrativos, como instalações de aplicativos, atualização de drivers de dispositivos e componentes administrativos para aplicativos herdados.

O EPM controla a elevação do administrador de processos e binários especificados para usuários específicos sem fornecer privilégios de administrador irrestritos para todo o dispositivo. Gerenciamento de privilégios de ponto de extremidade oferece suporte à conformidade com o Essential 8, ajudando sua organização a alcançar uma ampla base de usuários em execução com privilégios mínimos, permitindo que os usuários ainda executem tarefas permitidas por sua organização para permanecerem produtivos.

Para obter mais informações sobre o EPM, consulte Visão geral do EPM.

Para habilitar o EPM, confira Configurar políticas para gerenciar o Gerenciamento de privilégios de ponto de extremidade com o Microsoft Intune.

Para conformidade com o Essential Eight, dois tipos de política combinados devem ser definidos da seguinte maneira:

Para obter mais informações sobre as políticas, consulte: configurações de política de configurações de elevação do EPM Windows e política de regras de elevação do EPM Windows.

• Para resposta de elevação padrão, mantenha a configuração Negar todas as solicitações para permitir apenas a elevação de processos e arquivos explicitamente permitidos pelo administrador. 

• Para opções de validação, certifique-se de que a Justificativa de negócios e a autenticação do Windows estejam escolhidas, pois atendem ao ISM-1508 e ao ISM-1507, respectivamente.

• Em Enviar dados de elevação para relatórios, escolha Sim para Enviar dados de elevação para relatórios. Essa função é usada para medir a integridade dos componentes do cliente EPM. Os dados de uso são usados para mostrar elevações em sua organização, com base em seu Escopo de Relatório e auxilia no controle do ISM-1509.

• Para o escopo do relatório, mantenha a configuração padrão de Dados de diagnóstico e todas as elevações de ponto de extremidade serão selecionadas. Essa opção envia dados de diagnóstico para a Microsoft sobre a integridade dos componentes do cliente e dados sobre todas as elevações que ocorrem no ponto de extremidade e auxilia no controle do ISM-1509.

• Para o Tipo de Elevação, a maioria (se não, todos) são confirmados pelo usuário , pois isso garante que o usuário mantenha a agência do processo de tomada de decisão.

Registro e monitoramento

Registrar em log eventos de acesso privilegiado (ML2)

O registro em log de entradas e atividades realizadas por contas privilegiadas é essencial para detectar comportamentos anormais em ambientes corporativos. Os logs de auditoria e os logs de entrada do Microsoft Entra fornecem informações valiosas sobre o acesso privilegiado a aplicativos e serviços.

Os logs de entrada do Microsoft Entra fornecem informações sobre padrões de entrada, frequência de entrada e status das atividades de entrada. O relatório de atividades de entrada está disponível em todas as edições do Microsoft Entra ID. As organizações com uma licença P1 ou P2 do Microsoft Entra ID podem acessar o relatório de atividades de entrada por meio da API do Graph.

Os logs de atividades do Microsoft Entra incluem logs de auditoria para cada evento registrado no Microsoft Entra ID. As alterações em aplicativos, grupos, usuários e licenças são capturadas nos logs de auditoria do Microsoft Entra. Por padrão, o Microsoft Entra ID retém logs de auditoria e entrada por no máximo sete dias. O Microsoft Entra ID retém os logs por no máximo 30 dias se uma licença P1 ou P2 do Microsoft Entra ID estiver presente no locatário. Microsoft Entra logs de auditoria e Logs de Login devem ser encaminhados para um Azure LAW (Workspace do Log Analytics) para coleta e correlação centralizadas.

Para obter informações detalhadas sobre o registro em log centralizado, consulte os seguintes artigos:

• Logs de Auditoria do Azure
• Logs Azure Sign-In
• Retenção de Dados do Microsoft Entra

Monitoramento de logs de eventos para detectar sinais de comprometimento (ML3)

O Nível de Maturidade 3 do Essential Eight exige que os logs de eventos sejam monitorados em busca de sinais de comprometimento e acionados quando quaisquer sinais de comprometimento forem detectados. O monitoramento de atividades privilegiadas é importante para detectar antecipadamente o comprometimento do sistema e conter o escopo da atividade maliciosa.

Monitoramento de eventos de acesso privilegiado

Monitore todas as atividades de entrada de contas privilegiadas usando os logs de entrada do Microsoft Entra como fonte de dados. Monitorar os seguintes eventos:

Monitoramento de eventos de gerenciamento de contas privilegiadas

Investigue as alterações nas regras e nos privilégios de autenticação de contas privilegiadas, especialmente se a alteração fornecer maior privilégio ou a capacidade de executar tarefas no Microsoft Entra ID.

Para obter informações detalhadas sobre como monitorar a atividade da conta privilegiada, consulte Operações de segurança para contas privilegiadas no Microsoft Entra ID.

Proteger os logs de eventos contra modificações e exclusões não autorizadas (ML3)

O Nível de Maturidade 3 do Essential Eight exige que os logs de eventos sejam protegidos contra modificações e exclusões não autorizadas. A proteção dos logs de eventos contra modificação e exclusão não autorizadas garante que os logs possam ser usados como uma fonte confiável de evidências se a organização enfrentar um incidente de segurança. No Azure, os logs de eventos de acesso privilegiado a aplicativos e serviços devem ser armazenados centralmente em um workspace do Log Analytics.

O Azure Monitor é uma plataforma de dados somente acréscimo, mas inclui provisões para excluir dados para fins de conformidade. Os workspaces do Log Analytics que coletam logs de atividades privilegiadas devem ser protegidos com controles de acesso baseados em função e monitorados para modificar e excluir atividades.

Em segundo lugar, defina um bloqueio no espaço de trabalho do Log Analytics para bloquear todas as atividades que podem excluir dados: limpeza, exclusão de tabela e alterações de retenção de dados no nível da tabela ou do espaço de trabalho.

Para proteger totalmente seus logs de eventos, configure exportações automatizadas de dados de log para uma solução de armazenamento imutável, como o Immutable Storage for Armazenamento de Blobs do Azure.

Para obter informações detalhadas sobre como proteger a integridade do log de eventos, consulte Segurança de dados do Azure Monitor.