Em resumo
- O MFA (autenticação multifator) é a medida de maior retorno para proteger contas; a Microsoft informa que ele, junto com o bloqueio da autenticação herdada, evita mais de 99,9% dos ataques comuns de identidade.
- Os padrões de segurança são gratuitos e ativam o básico, mas não têm personalização; o acesso condicional exige Entra ID P1, incluído no Microsoft 365 Business Premium.
- Cinco políticas cobrem o essencial: MFA para todos, bloqueio de autenticação herdada, MFA forte para administradores, dispositivos em conformidade e restrição por local.
- Toda política nova deve passar antes pelo modo somente relatório, e a empresa precisa de contas de emergência fora das regras de bloqueio.
Acesso condicional é o recurso do Microsoft Entra ID que decide, a cada login, se a pessoa entra direto, precisa confirmar a identidade (MFA) ou é bloqueada, com base em sinais como usuário, dispositivo, local e aplicativo. Para uma empresa pequena, a combinação mais eficaz é simples: MFA para todo mundo, bloqueio dos protocolos antigos de login e regras extras para administradores.
Isso importa porque a senha, sozinha, é o elo mais frágil. Phishing, vazamentos e reaproveitamento de senha dão a invasores acesso ao e-mail e aos arquivos sem nenhum alarme. Este guia mostra por onde começar sem travar a operação.
O que é MFA e por que ele é a primeira medida?
O MFA (autenticação multifator) exige uma segunda prova além da senha, como aprovar uma notificação no aplicativo Microsoft Authenticator. Segundo a documentação da Microsoft, mais de 99,9% dos ataques comuns relacionados a identidade são evitados com o MFA e o bloqueio da autenticação herdada. A mesma página cita que o MFA pode bloquear mais de 99,2% dos ataques baseados em identidade. Os números são da Microsoft e dizem respeito a ataques comuns, não a ataques dirigidos.
Mesmo assim, nem todo MFA é igual. Um código por SMS é melhor que nada, mas notificação com número no Authenticator e chaves de segurança FIDO2 resistem melhor a golpes de "fadiga de MFA", em que o golpista insiste até o usuário aprovar.
Padrões de segurança ou acesso condicional?
São duas formas de ligar a proteção no Entra ID.
| Padrões de segurança | Acesso condicional | |
|---|---|---|
| Licença | Nenhuma (gratuito) | Entra ID P1 (incluído no Microsoft 365 Business Premium) |
| Personalização | Nenhuma: ligado ou desligado | Total |
| O que faz | MFA para todos e administradores, bloqueia autenticação herdada, protege o portal do Azure | Regras por usuário, grupo, aplicativo, dispositivo, local e risco |
| Indicado para | Quem está começando ou não tem licença Premium | Quem precisa de exceções, controle fino e dispositivos gerenciados |
Os padrões de segurança são uma boa base e já vêm ativos em tenants novos. Quem tem licença P1 ou P2, porém, deve migrar para o acesso condicional, que a própria Microsoft indica nesse caso. Ao desligar os padrões, ative imediatamente as políticas equivalentes, pois a Microsoft oferece políticas gerenciadas que reproduzem a mesma proteção (Padrões de segurança).
Quais políticas de acesso condicional criar primeiro?
Cinco políticas cobrem a maior parte do risco. A Microsoft lista esses cenários entre os mais comuns (visão geral do acesso condicional).
1. Exigir MFA para todos os usuários
Aplica-se a todos os aplicativos de nuvem. É a política principal. Comece com os aplicativos mais sensíveis se preferir uma implantação gradual.
2. Bloquear a autenticação herdada
A autenticação herdada (IMAP, POP3, SMTP básico e clientes antigos do Office) não suporta MFA, e invasores a usam para contornar a política anterior. Antes de bloquear, confira se impressoras, scanners e sistemas que enviam e-mail ainda dependem desses protocolos.
3. Exigir MFA forte para administradores
Contas de administrador merecem o método mais resistente a phishing. Mantenha contas separadas para tarefas administrativas e para o uso diário, o que também reduz a quantidade de solicitações de MFA aos administradores.
4. Exigir dispositivo em conformidade
Para acessar e-mail e arquivos, o computador ou celular deve estar gerenciado e em conformidade (disco criptografado, sistema atualizado, antivírus ativo). Isso depende do Microsoft Intune, e é o que impede que uma senha roubada funcione em um aparelho desconhecido.
5. Controlar por local
Bloqueie países onde a empresa não opera e, se fizer sentido, exija MFA fora dos locais confiáveis. Lembre que viajantes e VPNs aparecem como outros países, então combine a regra com um processo de exceção. A localização é um sinal auxiliar, não uma garantia.
Como implantar sem travar a empresa?
A regra é testar antes de impor.
- Modo somente relatório. Cada política pode ser criada nesse modo: ela é avaliada em cada login, registra o que teria acontecido, mas não bloqueia ninguém. A pasta de trabalho de insights e relatórios do acesso condicional mostra o impacto antes de você ativar (Microsoft Learn). Ela requer um workspace do Log Analytics.
- Piloto. Ative primeiro para a TI e um grupo pequeno.
- Comunique. Avise os usuários, explique como registrar o Authenticator e onde pedir ajuda.
- Ative em ondas e acompanhe os logs de login.
- Revise periodicamente. Novos aplicativos e novas ameaças pedem ajustes.
O que é uma conta de emergência e por que ter uma?
Uma política mal configurada pode bloquear todos os administradores, inclusive você. Por isso a Microsoft recomenda criar duas ou mais contas de acesso de emergência: contas somente na nuvem, com a função de Administrador Global, não ligadas a uma pessoa, protegidas por chave de acesso FIDO2 e guardadas com segurança. Elas devem ficar excluídas das políticas de acesso condicional que bloqueiam ou restringem o login, ter o uso monitorado com alertas e ser testadas pelo menos a cada 90 dias (Contas de acesso de emergência).
Por onde começar na sua empresa
Se você não tem nada hoje, ative os padrões de segurança ou o MFA para todos ainda esta semana. Depois, migre para o acesso condicional e inclua os dispositivos. A Brizmo configura o Entra ID e o conjunto de segurança do Microsoft 365, e outros cuidados estão em Como proteger sua empresa contra ameaças cibernéticas.
Perguntas frequentes
O MFA atrapalha o trabalho dos funcionários?
Pouco. Com o acesso condicional, o MFA pode ser pedido só quando necessário (login novo, local diferente, aplicativo sensível), e o usuário aprova uma notificação em segundos. O incômodo é muito menor do que o de recuperar uma conta invadida.
Preciso de licença especial para acesso condicional?
Sim. O acesso condicional exige o Microsoft Entra ID P1, que está incluído no Microsoft 365 Business Premium. Sem essa licença, os padrões de segurança oferecem o básico sem custo. Políticas baseadas em risco exigem P2.
Qual a diferença entre MFA e acesso condicional?
MFA é a verificação extra de identidade. Acesso condicional é o conjunto de regras que decide quando exigi-la, quando bloquear e quando liberar. Um usa o outro: o acesso condicional é o "se", e o MFA é um dos "então".
O que acontece se eu bloquear a mim mesmo?
Por isso existem as contas de emergência, excluídas das regras de bloqueio. Use também o modo somente relatório antes de ativar qualquer política.
Dá para exigir MFA só para quem acessa fora da empresa?
Dá, usando locais confiáveis como condição. Mesmo assim, muitas empresas preferem exigir MFA para todos, porque invasores também agem a partir de redes que parecem legítimas e o MFA não incomoda tanto quanto se imagina.
Fontes
- Microsoft Learn: Padrões de segurança do Microsoft Entra ID
- Microsoft Learn: Visão geral do Acesso Condicional
- Microsoft Learn: Insights e relatórios do Acesso Condicional (modo somente relatório)
- Microsoft Learn: Contas de acesso de emergência
Lidera os projetos técnicos da Brizmo: migrações para o Microsoft 365, segurança com Defender, Entra ID e Intune, e governança de dados.
Conheça a Brizmo
