O que é o Acesso Privilegiado no Azure (Privileged Access Management)?
Acesso Privilegiado no Azure é o conjunto de identidades, funções, políticas e fluxos de trabalho que controlam o poder administrativo no Microsoft Entra ID, Microsoft 365, Azure e serviços conectados. No Microsoft Entra ID, funções como Administrador Global, Administrador de Funções Privilegiadas, Administrador de Acesso Condicional, Administrador de Segurança e Administrador de Aplicativos podem alterar configurações de segurança, atribuir privilégios, gerenciar aplicativos ou criar caminhos de acesso duradouros.
Isso torna o acesso privilegiado uma questão do plano de controle do tenant. Uma identidade privilegiada comprometida pode alterar políticas de Acesso Condicional, adicionar ou modificar atribuições de função, registrar aplicativos, alterar métodos de autenticação e enfraquecer os controles nos quais os defensores confiam durante a resposta a incidentes.
O Privileged Identity Management (PIM) reduz a exposição permanente ao permitir que os administradores usem atribuições elegíveis e ativação por tempo limitado em vez de manter funções poderosas sempre ativas. O PIM não é apenas um recurso de interface. É um modelo de controle: ativar somente quando necessário, exigir autenticação mais forte ou aprovação quando apropriado, registrar o motivo e revisar a função após o uso.
Como o Acesso Privilegiado no Azure falha
As mesmas falhas de acesso privilegiado aparecem repetidamente em tenants reais:
- excesso de Administradores Globais
- atribuições de função permanentes onde atribuições elegíveis seriam suficientes
- contas de administrador sem cobertura de autenticação forte
- contas de emergência que existem, mas não são monitoradas nem testadas
- service principals e aplicativos privilegiados excluídos das revisões administrativas humanas
- PIM implantado para algumas funções, mas não para as funções que interessam aos atacantes
- exclusões de Acesso Condicional que removem contas de administrador do caminho de controle pretendido
O risco não está apenas no número de administradores. Um tenant com poucos Administradores Globais ainda pode estar exposto se essas identidades forem permanentes, suscetíveis a phishing, reutilizadas no trabalho diário ou excluídas de políticas. Um tenant com muitos administradores com escopo limitado pode ser mais seguro se cada função for justificada, elegível, monitorada e protegida com autenticação forte.
Por que o Administrador Global é diferente
A Microsoft documenta o Administrador Global como uma função altamente privilegiada que pode ler e modificar quase todas as configurações administrativas do Microsoft Entra ID, com poucas exceções, e também pode ler e modificar quase todas as configurações administrativas do Microsoft 365. O Administrador Global também pode elevar o acesso em alguns cenários. Isso o torna diferente de uma função operacional restrita, como Administrador de Usuários ou Leitor de Relatórios.
Use a função com o menor privilégio capaz de concluir a tarefa. Se o trabalho envolve consentimento de aplicativo, alteração de Acesso Condicional, administração do Exchange ou investigação de segurança, atribua a função que corresponde à tarefa em vez de recorrer por padrão ao Administrador Global. Isso reduz o raio de impacto quando uma conta, sessão ou fluxo de aprovação falha.
A Cadeia de Ataque
Etapa 1 – Enumerar o Acesso Privilegiado
Um atacante com visibilidade de leitura no diretório costuma começar enumerando funções de diretório, membros de funções, grupos privilegiados, aplicativos e service principals. Ele procura contas com poder permanente, autenticação fraca ou proprietários inativos.
Etapa 2 – Mirar no Caminho de Administrador Mais Fraco
O alvo mais fácil pode não ser o Administrador Global óbvio. Pode ser um Administrador de Funções Privilegiadas obsoleto, um proprietário de aplicativo com permissões amplas, uma conta de emergência com monitoramento fraco ou uma conta de administrador excluída do Acesso Condicional por causa de uma interrupção anterior.
Etapa 3 – Converter Acesso em Persistência
Uma vez obtido o acesso privilegiado, o atacante pode tentar adicionar outra atribuição de função, alterar métodos de autenticação, enfraquecer uma política, criar uma credencial de aplicativo ou adicionar um caminho de permissão de service principal. O caminho de persistência depende das funções que a identidade comprometida possui.
Etapa 4 – Esconder-se em Administração Legítima
Alterações privilegiadas costumam ser raras, mas legítimas. Os atacantes se beneficiam quando o tenant não tem uma baseline de quem ativa o PIM, quem aprova solicitações, quais contas devem ser permanentes e quais aplicativos podem ter privilégio elevado.
Deteção
Eventos de Log de Auditoria do Entra ID
Monitore alterações administrativas que modificam o plano de controle do tenant:
| Área de Operação | O que Revisar |
|---|---|
| Atribuições de função | Novos membros adicionados a funções privilegiadas, especialmente Administrador Global e Administrador de Funções Privilegiadas |
| Atividade do PIM | Ativações, aprovações, solicitações negadas e alterações nas configurações de função |
| Métodos de autenticação | Alterações nos métodos de autenticação de usuários privilegiados |
| Acesso Condicional | Criação, atualização, exclusão ou alterações de exclusão de política |
| Aplicativos | Novos registros de aplicativo, novas credenciais, novos proprietários e consentimento de alto privilégio |
| Contas de emergência | Qualquer login, alteração de credencial ou alteração de função |
Sinais de Atividade do PIM
O PIM deve tornar o privilégio mais observável. Revise:
- ativação fora do horário comercial ou das janelas de manutenção normais
- ativação para funções que o usuário normalmente não usa
- ativação sem uma justificativa útil quando a justificativa é exigida
- aprovação por um aprovador inesperado
- ativação repetida por contas que também mostram risco de login
- atribuições permanentes criadas após uma implantação do PIM
Ressalvas sobre Deteção
Não trate um único evento de auditoria como prova de comprometimento. Uma atribuição de função pode fazer parte de um projeto legítimo. O alerta deve incluir contexto: ator, alvo, função, tipo de atribuição, duração da ativação, caminho de aprovação, dispositivo, localização, nível de risco e se o usuário normalmente executa essa função.
Remediação
O objetivo não é remover toda a administração. O objetivo é remover privilégios permanentes desnecessários e tornar o acesso privilegiado explícito, limitado no tempo, fortemente autenticado e revisável.
1. Reduzir o Número de Administradores Globais
Liste todas as atribuições de Administrador Global e classifique cada conta:
- administrador humano normal
- conta de acesso de emergência
- conta de serviço ou identidade de automação
- conta obsoleta
- identidade externa ou convidada
- proprietário desconhecido
Administradores humanos normais geralmente não precisam de Administrador Global ativo permanente. Converta-os para funções mais restritas ou atribuições elegíveis via PIM onde o licenciamento e a operação permitirem. Mantenha a exceção de acesso de emergência separada, em vez de tratá-la como um modelo de administração rotineiro.
2. Configurar as Configurações de Função do PIM
Para funções de alto valor, configure as definições do PIM de forma deliberada:
- elegível em vez de atribuição ativa permanente para administradores normais
- duração de ativação apropriada à função
- MFA ou contexto de autenticação de Acesso Condicional na ativação, quando exigido
- aprovação para funções especialmente sensíveis
- justificativa de negócio e informações de ticket onde o processo precisa de rastreabilidade
- notificações à equipe proprietária da função
- revisões de acesso regulares para atribuições permanentes e elegíveis
As configurações de função do Microsoft PIM suportam controles como aprovação, justificativa, informações de ticket e duração da atribuição. Informações de ticket são um campo informativo, não uma validação automática contra um sistema de tickets — portanto, não presuma que isso, por si só, comprova a autorização da mudança.
3. Proteger Corretamente as Contas de Acesso de Emergência
Contas de acesso de emergência são intencionalmente diferentes. A Microsoft recomenda duas ou mais contas de acesso de emergência somente na nuvem para cenários de break-glass, e a orientação da Microsoft diz que essas atribuições de Administrador Global devem ser ativas permanentes, e não elegíveis, no PIM. Isso evita que uma dependência do PIM bloqueie o tenant durante uma interrupção.
Essa exceção não significa controles fracos. As contas de emergência devem ser somente na nuvem, protegidas com autenticação resistente a phishing quando possível, armazenadas com segurança, monitoradas em cada login e validadas regularmente. Elas não devem ser usadas para administração rotineira.
4. Impor Autenticação Forte para Usuários Privilegiados
Exija autenticação forte para usuários e funções privilegiados. Para as funções de maior valor, prefira métodos resistentes a phishing quando o licenciamento, o suporte de dispositivo e a operação permitirem. Verifique também se os administradores não estão contornando a política por meio de locais confiáveis, grupos excluídos, contas de teste obsoletas ou fluxos de trabalho legados.
5. Incluir Aplicativos e Service Principals
O acesso privilegiado não é apenas humano. Revise service principals, registros de aplicativo, credenciais, proprietários e permissões de aplicativo. Um tenant pode ter uma lista limpa de Administrador Global e ainda assim ter um caminho de aplicativo capaz de ler dados de diretório, modificar objetos ou manter persistência.
Cadência de Revisão e Ownership
O acesso privilegiado deve ter um proprietário e uma cadência de revisão. O PIM reduz o acesso permanente, mas não comprova automaticamente que cada atribuição elegível ainda é justificada. Pelo menos uma vez por ciclo de revisão, compare cada atribuição de função privilegiada com o modelo operacional atual: quem é o proprietário da função, qual tarefa a exige, se a atribuição deve permanecer elegível, se as configurações de ativação ainda são suficientemente rígidas e se o usuário ainda pertence à população de administradores.
Revise também as alterações após migrações, fusões, resposta a incidentes, uso de acesso de emergência e grandes integrações de SaaS. Esses são os momentos em que caminhos de administrador temporários costumam se tornar permanentes.
Validação Após a Implantação do PIM
Depois da limpeza, valide a segurança efetiva, e não apenas a existência da política:
- confirme que administradores normais são elegíveis, e não ativos permanentes, para funções de alto valor
- confirme que as contas de emergência são as únicas exceções permanentes intencionais de Administrador Global
- realize uma ativação controlada e confirme que MFA, aprovação, duração e registro se comportam conforme esperado
- revise os logs de auditoria em busca de novas atribuições de função após a limpeza
- verifique se o Acesso Condicional não exclui contas privilegiadas de forma não intencional
- revise service principals e registros de aplicativo em busca de privilégio equivalente a funções de administrador
- confirme que os alertas disparam no login de contas de emergência e na atribuição de funções privilegiadas
Um bom teste de validação pergunta: se essa senha ou sessão de administrador for roubada hoje, qual privilégio o atacante tem imediatamente, e quais controles adicionais ele precisa satisfazer antes de exercer mais poder?
Como o EtcSec Detecta Isso
O EtcSec audita a configuração de acesso privilegiado do Azure em cada varredura e se concentra nas condições que transformam uma conta comprometida em controle de todo o tenant.
PA_TOO_MANY_GLOBAL_ADMINS identifica tenants com número excessivo de Administradores Globais.
PA_PERMANENT_ADMIN_ASSIGNMENTS destaca atribuições privilegiadas permanentes que devem ser revisadas para conversão em acesso elegível.
PA_PIM_NOT_ENABLED revela tenants nos quais o controle de acesso privilegiado just-in-time está ausente ou ineficaz.
PA_GLOBAL_ADMIN_NOT_MFA identifica contas de Administrador Global sem cobertura de autenticação forte.
Controles Relacionados
Revise o acesso privilegiado junto com Seguranca de Identidade Azure: Quando o MFA Nao Basta, Azure Identity Protection: Politicas de Risco, Falhas acesso condicional Entra ID: quais erros deixam uma exposicao real, Contas de Convidado Azure: Riscos do Tenant e Registros de Aplicativo Azure: Apps com Privilegios Excessivos. O privilégio administrativo permanente raramente é o único problema em um tenant.
Referências Primárias
Explore as paginas de identidade que sustentam este tema