Práticas recomendadas de segurança do CSP

Todos os parceiros do programa Provedor de Soluções na Nuvem (CSP) que acessam o Partner Center e as APIs do Partner Center devem seguir as orientações de segurança neste artigo para se proteger e proteger os clientes.

Para a segurança do cliente, consulte Práticas recomendadas de segurança para clientes. Para conhecer as práticas recomendadas para gerenciar entidades de serviço, consulte Protegendo entidades de serviço no Microsoft Entra ID.

Etapas altamente recomendadas para seus locatários

• Adicionar um contato de segurança para notificações sobre problemas relacionados à segurança no locatário do Partner Center.
• Verifique sua pontuação de segurança de identidade no Microsoft Entra ID e tome as medidas apropriadas para aumentar sua pontuação.
• Analise e implemente as diretrizes documentadas em Como gerenciar inadimplência, fraude ou uso indevido.
• Familiarize-se com o agente de ameaças NOBELIUM e materiais relacionados:
  • NOBELIUM visa privilégios administrativos delegados para facilitar ataques em maior escala
  • Treinamento de resposta da NOBELIUM
  • Protegendo o canal: jornada rumo à confiança zero

Melhores práticas de identidade

Exigir autenticação multifator

• Verifique se todos os usuários nos locatários do Partner Center e nos locatários dos clientes estão registrados para autenticação multifator (MFA) e são obrigados a usá-la. Há várias maneiras de configurar a MFA. Escolha o método que se aplica ao locatário que você está configurando:
  • O locatário do meu Partner Center/Cliente tem o Microsoft Entra ID P1
    • Use Acesso Condicional para impor MFA.
  • O tenant do meu Partner Center/do cliente tem Microsoft Entra ID P2
    • Use Acesso Condicional para exigir MFA.
    • Implemente políticas baseadas no risco com o Microsoft Entra ID Protection.
    • Para o locatário do Partner Center, você pode ter direito ao Microsoft 365 E3 ou E5, dependendo dos seus benefícios de Direitos de Uso Interno (IUR). Esses SKUs incluem Microsoft Entra ID P1 ou 2, respectivamente.
    • Para o tenant do seu cliente, recomendamos habilitar os padrões de segurança.
      • Se o cliente estiver usando aplicativos que exigem autenticação herdada, esses aplicativos não funcionarão depois de ativar os padrões de segurança. Se o aplicativo não puder ser substituído, removido ou atualizado para usar a autenticação moderna, você poderá impor a MFA por meio de políticas de Acesso Condicional.
      • Você pode monitorar e impor o uso de padrões de segurança pelo cliente usando a seguinte chamada à API do Graph:
        • tipo de recurso identitySecurityDefaultsEnforcementPolicy - Microsoft Graph v1.0 | Microsoft Learn
• Certifique-se de que o método de MFA usado seja resistente a phishing. Você pode fazer isso usando autenticação sem senha ou correspondência de números.
• Se um cliente se recusar a usar MFA, não conceda a ele acesso a qualquer função de administrador no Microsoft Entra ID nem permissões de gravação em assinaturas do Azure.

Acesso ao aplicativo

• Adote a estrutura do Modelo de Aplicativo Seguro. Todos os parceiros que integram com as APIs do Partner Center devem adotar a estrutura Secure Application Model para quaisquer aplicativos e aplicações do modelo de autenticação de usuário.
• Desative o consentimento do usuário nos locatários do Microsoft Entra no Partner Center ou use o fluxo de trabalho de consentimento do administrador.

Privilégio mínimo / Sem acesso permanente

• Os usuários que têm funções internas privilegiadas do Microsoft Entra não devem usar regularmente essas contas para email e colaboração. Crie uma conta de usuário separada sem funções administrativas do Microsoft Entra para tarefas de colaboração.
• Examine o grupo de agentes administradores e remova as pessoas que não precisam de acesso.
• Examine regularmente o acesso à função administrativa na ID do Microsoft Entra e limite o acesso ao menor número possível de contas. Para obter mais informações, consulte Funções internas do Microsoft Entra.
• Os usuários que saem da empresa ou alteram funções dentro da empresa devem ser removidos do acesso ao Partner Center.
• Se você tiver o Microsoft Entra ID P2, use o Privileged Identity Management (PIM) para aplicar acesso just-in-time (JIT). Use a custódia dupla para examinar e aprovar o acesso para funções de administrador do Microsoft Entra e funções do Partner Center.
• Para proteger funções com privilégios, consulte Visão geral da proteção de acesso privilegiado.
• Revise regularmente o acesso aos ambientes do cliente.
  • Remova os Privilégios de Administração Delegada (DAP) inativos.
  • Perguntas frequentes do GDAP.
  • Certifique-se de que as relações GDAP utilizem funções com os menores privilégios necessários.

Isolamento de identidade

• Evite hospedar sua instância do Partner Center no mesmo locatário do Microsoft Entra que hospeda seus serviços internos de TI, como email e ferramentas de colaboração.
• Use contas de usuário separadas e dedicadas para usuários privilegiados do Partner Center que têm acesso de cliente.
• Evite criar contas de usuário em locatários de clientes no Microsoft Entra destinadas ao uso por parceiros para administrar o locatário e os aplicativos e serviços relacionados do cliente.

Práticas recomendadas para dispositivos

• Permita acesso ao Partner Center e ao locatário do cliente apenas a partir de estações de trabalho registradas e íntegras, com linhas de base de segurança gerenciadas e monitoradas quanto a riscos de segurança.
• Para usuários do Partner Center com acesso privilegiado a ambientes de clientes, considere exigir estações de trabalho dedicadas (virtuais ou físicas) para que esses usuários acessem ambientes de clientes. Para obter mais informações, consulte Protegendo o acesso privilegiado.

Melhores práticas de monitoramento

APIs do Partner Center

• Todos os fornecedores do Painel de Controle devem habilitar o modelo de aplicativo seguro e ativar o registro em log de todas as atividades do usuário.
• Os fornecedores do Painel de Controle devem habilitar a auditoria de todos os agentes parceiros que fazem login no aplicativo e todas as ações executadas.

Monitoramento e auditoria de login

• Os parceiros com uma licença Microsoft Entra ID P2 passam automaticamente a ter direito de manter os dados dos logs de auditoria e de entrada por até 30 dias.

  Confirme se:

  • O registro de auditoria está implementado quando são usadas contas de administrador delegado.
  • Os logs estão registrando o nível máximo de detalhamento fornecido pelo serviço.
  • Os logs são retidos por um período aceitável (até 30 dias) que permite a detecção de atividades anômalas.

  O registro de auditoria detalhado pode exigir a compra de mais serviços. Para obter mais informações, consulte Por quanto tempo o Microsoft Entra ID armazena dados de relatórios?

• Revise e verifique regularmente os endereços de email e números de telefone de recuperação de senha na ID do Microsoft Entra para todos os usuários com as funções de administrador privilegiadas do Entra e atualize, se necessário.

  • Se o locatário de um cliente estiver comprometido: o parceiro de cobrança direta do CSP, o provedor indireto ou o revendedor indireto não podem entrar em contato com o suporte para solicitar uma alteração da senha de Administrador no locatário do cliente. O Cliente deve ligar para o suporte da Microsoft seguindo as instruções no tópico Redefinir minha senha de administrador. O tópico Redefinir minha senha de administrador tem um link que os clientes podem usar para entrar em contato com o Suporte da Microsoft. Instrua o Cliente a mencionar que o CSP não tem mais acesso ao locatário para ajudar na redefinição da senha. O CSP deve considerar a suspensão das assinaturas do cliente até que o acesso seja recuperado e as partes infratoras sejam removidas.

• Implemente as práticas recomendadas de log de auditoria e execute uma revisão rotineira das atividades executadas por contas de administrador delegadas.

  • O que são os relatórios do Microsoft Entra?
  • Analisar logs de atividade usando os logs do Azure Monitor
  • Referência de atividades de auditoria do Microsoft Entra

• Os parceiros devem analisar o relatório de usuários em risco em seu ambiente e tratar as contas detectadas como de risco de acordo com as diretrizes publicadas.

  • Remediar riscos e desbloquear usuários
  • Experiências dos usuários com o Microsoft Entra ID Protection

Conteúdo relacionado

• Requisitos de segurança do parceiro
• Princípios orientadores do Confiança Zero
• Práticas recomendadas de segurança do cliente