Visão Geral - Implementar uma arquitetura de acesso privilegiado

Este artigo apresenta uma solução de ponta a ponta para implementar uma arquitetura de acesso privilegiado. Destina-se a planeadores e implementadores de segurança e identidade.

No modelo de adoção de segurança da Microsoft:

As soluções de implementação fornecem orientação prescritiva para a implementação.
As soluções alinham-se com cenários de negócio que definem resultados de segurança de alta prioridade.

Antes de iniciar a implementação, aprenda como uma arquitetura de acesso privilegiado seguro desempenha um papel crítico no cenário empresarial – proteger ativos empresariais críticos – reduzindo este risco e reforçando o controlo sobre sistemas sensíveis.

Objetivos da solução

O acesso privilegiado representa um dos riscos de maior impacto em qualquer organização porque proporciona controlo direto sobre sistemas de identidade, planos de controlo cloud e recursos críticos de negócio.

Este guia define uma abordagem Confiança Zero para o acesso privilegiado, tratando-o como um caminho de acesso de ponta a ponta, abrangendo identidade, dispositivo, interface, recurso alvo e monitorização. Em vez de proteger componentes individuais isoladamente, este modelo assegura que toda a via de acesso é governada e continuamente validada.

O objetivo é reduzir o risco através de:

Limitar quem pode realizar ações privilegiadas.
Controlar onde e como essas ações podem ocorrer.
Monitorizar e responder continuamente a atividades privilegiadas.

Implemente esta arquitetura usando Microsoft Entra ID, Microsoft Intune e Microsoft Defender para Endpoint.

Implemente a solução em fases. Comece por estabelecer uma base segura (plano de controlo de identidade e dispositivos de confiança), aplicar controlos de políticas e depois configurar operações de monitorização e resposta.

Risco de acesso privilegiado

Identidades privilegiadas (humanas e não humanas) controlam ativos de alto valor e mecanismos de aplicação da segurança. Quando comprometido, o impacto resultante no negócio é severo. Com acesso privilegiado, os atacantes podem:

Exfiltrar, encriptar ou destruir dados.
Encerrar ou interromper as operações comerciais.
Desative os controlos de deteção e aplicação.
Subverter os sistemas de identidade e criar acessos persistentes.

Ataques comuns

Os ataques seguem dois padrões comuns:

Roubo de dados direcionado: Os ciberatacantes localizam e exfiltram propriedade intelectual sensível, dados financeiros ou planos estratégicos. Os dados roubados são vendidos, divulgados ou usados para vantagem competitiva.
Ransomware operado por humanos: Os ciberatacantes aproveitam o acesso privilegiado para encriptar sistemas, parar operações e extorquir a organização – forçando decisões executivas sob extrema pressão temporal.

Porque é que o acesso privilegiado é arriscado

O risco de acesso privilegiado é único e sistémico por várias razões.

Risk	Detalhes
Opera no plano de controlo	As contas com privilégios operam no plano de controlo, não apenas no plano de carga de trabalho. As identidades privilegiadas podem modificar identidades, alterar configurações de segurança, desativar ou contornar controlos de fiscalização e manipular dados críticos para o negócio. Uma vez que os atacantes obtêm acesso privilegiado, podem minar os próprios mecanismos concebidos para os detetar e impedir. Isto torna as estratégias tradicionais de contenção muito menos eficazes e permite que o comprometimento persista sem ser detetado.
Elevado impacto empresarial por design	O acesso privilegiado existe para gerir sistemas críticos, pelo que o abuso desse acesso tem consequências imediatas e graves. Com o acesso privilegiado, os atacantes podem: - Exfiltrar ou destruir dados sensíveis - Encerrar ou manipular operações empresariais - Encriptar ambientes inteiros para extorsão (ransomware operado por humanos) - Subverter sistemas de formas que possam causar danos no mundo real. Estes resultados não são teóricos. São observados repetidamente em várias indústrias, tornando o acesso privilegiado uma das formas mais fiáveis para os atacantes alcançarem o máximo impacto.
Barulhento e disruptivo	Ao contrário do roubo de dados furtivo, muitos ataques de acesso privilegiado — especialmente ransomware operado por humanos — são intencionalmente disruptivos. Param operações, interrompem os serviços de atendimento ao cliente e forçam a tomada de decisões ao nível executivo sob extrema pressão de tempo. Como todas as organizações estão motivadas financeiramente e operacionalmente para restaurar o serviço rapidamente, estes ataques são universalmente aplicáveis e altamente eficazes, independentemente da indústria ou dimensão.
Risco de crescer, não de encolher	Os atacantes são flexíveis e agnósticos em relação à tecnologia. Não visam um único produto ou controlo, mas exploram o caminho de acesso privilegiado mais fraco no momento. A superfície de ataque de acesso privilegiado é ampla e interligada, abrangendo: - Sistemas de contas e identidade - Estações de trabalho e dispositivos - Sistemas intermediários como ferramentas de acesso remoto e soluções PAM/PIM. - Interfaces de gestão, portais, APIs e caminhos de elevação. O comprometimento de qualquer um destes elementos pode abrir caminho para o controlo total da organização, e surgem continuamente novos caminhos de acesso à medida que os ambientes evoluem.
Abordagens de solução única falham	A implementação de apenas uma classe de controlo, como PAM/PIM, restrições de rede ou ferramentas de deteção, não reduz suficientemente o risco. Estes controlos abordam partes do problema, não o sistema. Se o acesso privilegiado não for protegido de ponta a ponta, os atacantes simplesmente contornam defesas isoladas e exploram uma ligação não protegida no caminho de acesso. É por isso que o acesso privilegiado deve ser tratado como um sistema completo — desde a identidade e confiança no dispositivo, passando pela elevação e execução, até à monitorização e resposta — em vez de uma coleção de ferramentas independentes.

Princípios e resultados arquitetónicos

A abordagem recomendada pela Microsoft é construir um sistema de acesso privilegiado em circuito fechado que:

Proporciona redução imediata do risco
Apoia o progresso incremental e sustentável
Evita complexidade desnecessária
Permite resultados claros e critérios de sucesso

Resultados arquitetónicos

A implementação da estratégia baseada nestes princípios cria vários resultados claros e critérios de sucesso.

Resultado	Arquitetura	Critérios de sucesso
O acesso privilegiado é aplicado como um sistema de ponta a ponta	O risco privilegiado é controlado em todo o caminho de acesso: identidade, atribuição de funções, dispositivo, ambiente de execução, fluxo de trabalho de elevação, sistemas intermédios, interfaces de gestão, monitorização e resposta. As operações privilegiadas ocorrem apenas por caminhos de elevação explícitos e autorizados, com validação Confiança Zero (verificação da identidade, confiança do dispositivo, contexto da sessão).	Cada sessão valida que a conta do utilizador e o dispositivo são confiáveis a um nível suficiente antes de permitir o acesso. Exemplos de medidas: % de inicios de sessão privilegiados cumprem requisitos como MFA e confiança exigida no dispositivo, % de ações privilegiadas realizadas por meio do fluxo de aprovação para elevação de privilégios vs. privilégio permanente.
Proteger e monitorizar sistemas de identidade	Proteger sistemas de identidade que alojam ou conferem privilégios (diretórios, gestão de identidade, contas de administrador, etc.). Governação, aplicação de políticas, registo e análises estão centralizados para reduzir o desvio e melhorar a visibilidade.	Cada um destes sistemas está protegido a um nível adequado ao potencial impacto empresarial das contas alojadas nele. Exemplos de medidas: % de identidades privilegiadas abrangidas pela revisão regular de acessos Taxa de conclusão das revisões periódicas de acesso privilegiado (quem reviu, quem revogou).
Mitigar a movimentação lateral	Isole o trabalho privilegiado de ambientes de alta exposição. Proteger as credenciais de administrador local, os segredos das contas de serviço e os mecanismos de elevação para que o comprometimento de um único dispositivo, conta ou credencial não permita um controlo administrativo mais amplo.	Comprometer um único dispositivo não leva imediatamente ao controlo de muitos ou de todos os outros dispositivos no ambiente. Exemplo de medida: % de ações privilegiadas provenientes apenas de estações de trabalho de administrador.
Responder rapidamente às ameaças	A atividade privilegiada é um sinal prioritário para deteção e resposta. Conceber a monitorização e a resposta a incidentes para interromper ataques em várias etapas e limitar o tempo de permanência do adversário em ataques direcionados ao acesso privilegiado.	A sua resposta a incidentes pode impedir de forma fiável ataques multiestágio antes de atingirem acesso privilegiado e pode conter o uso indevido de privilégios rapidamente quando este ocorre. Exemplo de medida: O tempo médio para remediar incidentes privilegiados (MTTR) é reduzido para minutos em vez de horas ou dias. Caminhos de acesso privilegiados inesperados ou novos são rapidamente identificados e fechados.

Acompanhe estas medidas mensalmente para o progresso e reveja trimestralmente como parte da governação do acesso privilegiado.

Compreender os caminhos de acesso privilegiados

Os caminhos de acesso privilegiados são caminhos de acesso que formam uma cadeia completa desde a identidade até à execução, como ilustrado no diagrama seguinte.

Se algum elo da cadeia for fraco, todo o caminho fica vulnerável.

Path	Components	Risk
Caminhos de acesso dos utilizadores Os caminhos de acesso dos utilizadores suportam operações padrão de produtividade e negócio, como email, colaboração, navegação web e aplicações de linha de negócio.	Um caminho de acesso do utilizador normalmente envolve: - Identidade: Uma conta de utilizador padrão - Dispositivo: Uma estação de trabalho de uso geral - Intermédio: Intermediários opcionais, como uma VPN ou acesso remoto. - Interface: Interação com aplicações e serviços empresariais.	Embora a comprometimento de um caminho de acesso do utilizador possa causar danos, o impacto potencial é limitado em comparação com o acesso privilegiado.
Caminhos de acesso privilegiados Os caminhos de acesso privilegiados gerem identidades, infraestruturas, controlos de segurança e sistemas críticos para o negócio.	Os caminhos de acesso privilegiados consistem tipicamente em: - Identidade: Uma conta que realiza trabalho privilegiado. - Dispositivo: A estação de trabalho ou dispositivo endpoint usado pela sessão privilegiada. - Intermediário: Qualquer sistema ou serviço que intermedie ou aloje a sessão privilegiada, como acesso remoto ou ferramentas de gestão. - Interface: A superfície de gestão onde é exercido o controlo privilegiado. Por exemplo, portais, APIs, ferramentas de linha de comandos ou automação.	Embora os componentes técnicos pareçam semelhantes aos de uma via de acesso do utilizador, os danos potenciais em caso de comprometimento são muito superiores. Os caminhos de acesso privilegiados devem, portanto, ser: - Menos numerosos - Explicitamente definido - Isolado dos caminhos de acesso do utilizador - Protegido com os controlos mais potentes disponíveis.

Exemplo de caminho

Num caminho típico de acesso privilegiado:

Uma identidade de administrador dedicada inicia sessão.
O login é feito a partir de uma Estação de Trabalho de Acesso Privilegiado (PAW) reforçada.
Iniciar sessão ativa uma função através da Gestão de Identidades Privilegiadas (PIM).
O login utiliza uma interface administrativa específica, como um portal, API ou CLI.
A identidade com sessão iniciada realiza uma ação privilegiada.

Componentes da solução

A solução de acesso privilegiado baseia-se em três elementos fortemente acoplados que garantem – ações privilegiadas pelas identidades certas, a partir de dispositivos de confiança, sob condições impostas.

Identidades privilegiadas
- Contas de administrador dedicadas que podem realizar ações privilegiadas.
- Identidades protegidas com autenticação forte e, sempre que possível, autenticação sem palavra-passe.
- Atribuição limitada de funções privilegiadas.
- Elevação privilegiada no momento certo com aprovação.
Estações de Trabalho de Acesso Privilegiado (PAWs)
- Dispositivos endurecidos e restritivos.
- Redução da superfície de ataque nos dispositivos.
- Proteção contra ameaças de credenciais e malware.
- Isolado da atividade de utilizadores de alto risco.
Aplicação e monitorização de políticas
- O Acesso Condicional valida identidade, dispositivo e contexto da sessão.
- Os caminhos de elevação privilegiados são explicitamente definidos.
- Toda a atividade privilegiada é registada, monitorizada e passível de revisão.

Sistemas de identidade e caminhos de elevação

Sistemas de identidade e caminhos de elevação são componentes fundamentais de cada caminho de acesso privilegiado. Definem onde são criadas identidades privilegiadas, como são atribuídos papéis administrativos e como os utilizadores transitam de um estado não privilegiado para a realização de ações privilegiadas.

Esta orientação de implementação trata os sistemas de identidade e caminhos de elevação como parte da superfície privilegiada de ataque e do plano de controlo de identidade.

Area	Detalhes	Mitigação de riscos
Sistemas de identidade	Onde identidades privilegiadas, funções e permissões administrativas são definidas e geridas. Esta definição inclui diretórios, atribuições de funções, grupos administrativos e configuração ao nível do inquilino.	Identidades privilegiadas operam no plano de controlo. Se os sistemas de identidade forem comprometidos, os atacantes podem criar, modificar ou persistir acessos privilegiados — contornando controlos de dispositivos, condições de acesso e monitorização. Proteger o plano de controlo de identidade é a prioridade de implementação mais alta.
Percursos autorizados de elevação	Como um utilizador transita de um estado não privilegiado para realizar ações privilegiadas. Por exemplo, ativação de funções com prazos definidos, fluxos de trabalho de aprovação e sessões administrativas com âmbito definido.	Assegura que a elevação requer uma autenticação forte, e que a elevação privilegiada é intencional, temporária, monitorizada e só ocorre a partir de dispositivos e interfaces aprovados. Ao forçar a elevação através de fluxos de trabalho, dispositivos e interfaces aprovados, previne o privilégio de estar em pé e reduz abusos, movimentos laterais e persistência silenciosa.

Fases de solução

Implemente a arquitetura de acesso privilegiado utilizando um modelo de adoção faseada alinhado com as melhores práticas da Microsoft.

Inicie a adoção utilizando o modelo estruturado de adoção. A orientação para a adoção ajuda os líderes empresariais a identificar resultados críticos ao nível empresarial para uma identidade segura e a compreender o acesso e a disciplina de identidade, incluindo as equipas e esforços necessários para impulsionar iniciativas de identidade, como o acesso privilegiado.
Planeia a solução. O planeamento ajuda-o a identificar objetivos de design, atribuir níveis de segurança para determinar a estratégia de acesso privilegiado e planear a implementação.
Siga as fases de implementação resumidas na tabela seguinte. Cada fase tem um objetivo específico e é implementada através de etapas concretas de configuração nos artigos correspondentes.

Fases de implementação

Fase	Mitigar o Risco	Aplicar princípios de Confiança Zero
Fase 1. Assegurar o plano de controlo de identidade Criar: - Identidades de administrador dedicadas. Grupos de segurança para atribuição de funções. - Contas de acesso de emergência (“break-glass”), caso não as tenha.	Reduz o risco de roubo de credenciais, uso indevido de privilégios e elevação não autorizada.	Verificar explicitamente Use autenticação forte. Usar o privilégio mínimo Restringe funções administrativas/ativa o privilégio just-in-time. Pressuponha a violação. Utilize contas de emergência para recuperação.
Fase 2. Implementar e reforçar dispositivos de acesso privilegiado Disponibilizar estações de trabalho de acesso privilegiado dedicadas (PAWs). Aplicar a proteção reforçada do sistema operativo e as linhas de base de segurança. Aplicar patches, proteção de endpoints e encriptação de disco. Minimize as instalações de aplicações e serviços.	Reduz o risco de comprometimento de credenciais e ataques baseados em dispositivos.	Verificar explicitamente Certifique-se de que os dispositivos estão registados, confiáveis e conformes antes de conceder o acesso. Parta do princípio de que houve uma violação Minimizar potenciais vias de comprometimento, reforçando a segurança dos dispositivos e isolando credenciais administrativas. Use o acesso menos privilegiado. Restringa o que os administradores podem fazer nestes dispositivos dedicados.
Fase 3. Aplicar políticas de acesso privilegiado Configure o Acesso Condicional para papéis privilegiados. Exigir dispositivos compatíveis e autenticação forte. Aplicar condições de acesso conscientes do contexto. Restringir o acesso a interfaces aprovadas.	Previne acessos não autorizados e repetição de credenciais.	Pressuponha a violação. Previna o uso indevido de credenciais se as contas forem roubadas, restringindo onde e como o acesso é concedido. Use o privilégio mínimo. Aplique permissões baseadas em funções e sensíveis ao contexto.
Fase 4. Monitorizar e validar continuamente Investigue incidentes e remedie rapidamente. Reavalie continuamente a confiança e a cobertura.	Detetar, investigar e responder a ameaças privilegiadas. Monitorize as ativações e sessões de papéis privilegiados. Detetar anomalias e padrões suspeitos. Reduzir o impacto de comprometimento não identificado e o tempo de permanência prolongado do atacante.	Assuma uma violação. Monitorize continuamente a atividade dos atacantes e comportamentos anómalos. Verifica explicitamente. Avalie continuamente a confiança e investigue padrões de acesso suspeitos.

Passos seguintes

Agora, comece a planear uma estratégia de implementação.

Comentários

Esta página foi útil?

Last updated on 2026-06-01