Operações de segurança para contas privilegiadas em Microsoft Entra ID

Artigo
10/25/2023

A segurança dos ativos de negócios da organização moderna depende da integridade das contas com privilégios que administram seus sistemas de TI. Os invasores virtuais usam ataques de roubo de credenciais e outros meios para direcionar contas com privilégios e obter acesso a dados confidenciais.

Tradicionalmente, a segurança organizacional concentra-se nos pontos de entrada e saída de uma rede como o perímetro de segurança. No entanto, os aplicativos SaaS (software como serviço) e dispositivos pessoais na Internet tornaram essa abordagem menos eficaz.

Microsoft Entra ID usa o IAM (gerenciamento de identidades e acesso) como o painel de controle. Na camada de identidade da sua organização, os usuários atribuídos a funções administrativas com privilégios estão no controle. As contas usadas para o acesso devem ser protegidas, independentemente de o ambiente ser local, na nuvem ou em um ambiente híbrido.

Você é inteiramente responsável por todas as camadas de segurança de seu ambiente local de TI. Ao usar os serviços do Azure, a prevenção e a resposta são responsabilidades conjuntas da Microsoft, como o provedor de serviços de nuvem, e do cliente.

Para saber mais sobre o modelo de responsabilidade compartilhada, veja Responsabilidade compartilhada na nuvem.
Para obter mais informações sobre como proteger o acesso de usuários privilegiados, consulte Protegendo o acesso privilegiado para implantações híbridas e em nuvem no Microsoft Entra ID.
Para uma ampla variedade de vídeos, guias de instruções e conteúdos dos principais conceitos de identidade com privilégios, consulte a Documentação do Privileged Identity Management.

Arquivos de log a serem monitorados

Os arquivos de log que você usa para investigação e monitoramento são:

No portal do Azure, você pode exibir os logs de auditoria do Microsoft Entra e baixá-los como arquivos valores separados por vírgula (CSV) ou JavaScript Object Notation (JSON). O portal do Azure tem várias maneiras de integrar os logs do Microsoft Entra com outras ferramentas que permitem uma maior automação de monitoramento e de alerta:

Microsoft Sentinel. Permite a análise de segurança inteligente no nível empresarial fornecendo recursos de SIEM (gerenciamento de eventos e informações de segurança).
Regras Sigma – Sigma é um padrão aberto em evolução para gravar regras e modelos que as ferramentas de gerenciamento automatizadas poderão usar para analisar arquivos de log. Sempre que há modelos Sigma para nossos critérios de pesquisa recomendados, adicionamos um link para o repositório Sigma. Os modelos Sigma não são gravados, testados e gerenciados pela Microsoft. Em vez disso, o repositório e os modelos são criados e coletados pela comunidade mundial de segurança de TI.
Azure Monitor. Permite o monitoramento e o alerta automatizados de várias condições. Pode criar ou usar pastas de trabalho para combinar dados de fontes diferentes.
Hubs de Eventos do Azure integrado a um SIEM. Permite que os logs do Microsoft Entra sejam enviados para outros SIEMs, como Splunk, ArcSight, QRadar e Sumo Logic, por meio da integração dos Hubs de Eventos do Azure. Para obter mais informações, confira Transmitir logs do Microsoft Entra para um hub de eventos do Azure.
Microsoft Defender para aplicativos de nuvem. Permite que você descubra e gerencie aplicativos, administre aplicativos e recursos e verifique a conformidade dos seus aplicativos de nuvem.
Microsoft Graph. Permite exportar dados e usar Microsoft Graph para fazer mais análises. Para obter mais informações, consulte SDK e Microsoft Entra ID Protection do Microsoft Graph PowerShell.
Proteção de identidade. Gera três relatórios importantes que você pode usar para ajudar na investigação:
- Usuários suspeitos. Contém informações sobre quais usuários estão em risco, detalhes sobre detecções, histórico de todas as entradas suspeitas e histórico suspeito.
- Entradas suspeitas. Contém informações sobre um login que pode indicar circunstâncias suspeitas. Para mais informações sobre a investigação de informações desse relatório, consulte Como investigar riscos.
- Detecções de risco. Contém informações sobre outros riscos acionados quando um risco é detectado e outras informações pertinentes, como local de entrada e outros detalhes do Aplicativos do Microsoft Defender para Nuvem.
Proteger identidades de carga de trabalho com a Versão Prévia do Identity Protection. Use para detectar o risco em identidades de carga de trabalho em comportamento de entrada e indicadores offline de comprometimento.

Embora seja desencorajada a prática, as contas com privilégios podem ter direitos de administração permanentes. Caso opte por usar privilégios permanentes e a conta for comprometida, isso poderá ter um efeito fortemente negativo. Recomenda-se que você priorize o monitoramento de contas com privilégios e inclua as contas em sua configuração PIM (Privileged Identity Management). Para obter mais informações sobre o PIM, confira Começar a usar o Privileged Identity Management. Além disso, recomenda-se que você valide que as contas de administrador:

Sejam obrigatórias.
Tenham o privilégio mínimo para executar as atividades necessárias.
São protegidos com a autenticação multifator no mínimo.
Sejam executados a partir de dispositivos PAW (estação de trabalho de acesso com privilégios) ou SAW (estação de trabalho de administrador seguro).

O restante deste artigo descreve o que é recomendável monitorar e alertar. O artigo está organizado pelo tipo de ameaça. Quando houver soluções predefinidas específicas, elas serão indicadas na sequência da tabela. Caso contrário, você pode criar alertas usando as ferramentas descritas acima.

Este artigo fornece detalhes sobre como configurar as linhas de base e a entrada de auditoria e o uso de contas com privilégios. Ele também aborda ferramentas e recursos que você pode usar para ajudar a manter a integridade de suas contas com privilégios. O conteúdo é organizado nas seguintes assuntos:

Contas de "break-glass" de emergência
Entrada com conta com privilégios
Alterações em conta com privilégios
Grupos com privilégios
Atribuição de privilégio e elevação

Contas de acesso de emergência

É importante evitar o bloqueio acidental do locatário do Microsoft Entra.

A Microsoft recomenda que as organizações tenham duas contas de acesso de emergência somente na nuvem atribuídas permanentemente à função Administrador Global. Essas contas são altamente privilegiadas e não são atribuídas a indivíduos específicos. As contas são limitadas a cenários de emergência ou de "acesso de emergência" em que as contas normais não podem ser usadas ou em que todos os outros administradores estão acidentalmente bloqueados. Essas contas devem ser criadas de acordo com as recomendações para as contas de acesso de emergência.

Envie um alerta de alta prioridade sempre que uma conta de acesso de emergência for usada.

Descoberta

Como as contas de emergência serão usadas somente se houver uma emergência, o monitoramento não deverá descobrir nenhuma atividade de conta. Envie um alerta de alta prioridade sempre que uma conta de acesso de emergência for usada ou alterada. Qualquer um dos eventos a seguir pode indicar que um ator malicioso está tentando comprometer seus ambientes:

Entrar.
Alteração da senha da conta.
Alteração de permissões/funções da conta.
Credencial ou método de autenticação adicionados ou alterados.

Para obter mais informações sobre como gerenciar contas de acesso de emergência, consulte Gerenciar contas de administrador de acesso de emergência no Microsoft Entra ID. Para obter informações detalhadas sobre como criar um alerta para a conta de emergência, confira Criar uma regra de alerta.

Monitore todas as atividades de login de contas privilegiadas usando os logs de login do Microsoft Entra como fonte de dados. Além de informações de entradas com êxito e falha, os logs contêm os seguintes detalhes:

Interrupções
Dispositivo
Local
Risco
Aplicativo
Data e Hora
A conta está desabilitada
Bloquear
Fraude na MFA
Falha de acesso condicional

Coisas a serem monitoradas

Você pode monitorar eventos de login de contas privilegiadas nos logs de login do Microsoft Entra. Crie alertas e investigue os eventos a seguir para contas com privilégios.

O que monitorar	Nível de risco	Where	Filtro/subfiltro	Observações
Falha na entrada, limite de senha incorreto	Alto	Log de entrada do Microsoft Entra	Status = falha -e- código de erro = 50126	Defina um limite de linha de base e, em seguida, monitore e ajuste para se ajustar aos seus comportamentos organizacionais e limitar a geração de alertas falsos. Modelo do Microsoft Sentinel Regras Sigma
Falha devido ao requisito de acesso condicional	Alto	Log de entrada do Microsoft Entra	Status = falha -e- código de erro = 53003 -e- Motivo da falha = bloqueado pelo acesso condicional	Esse evento pode ser uma indicação de que um invasor está tentando entrar na conta. Modelo do Microsoft Sentinel Regras Sigma
Contas com privilégios que não seguem a política de nomenclatura		Assinatura do Azure	Listar atribuições de função do Azure usando o portal do Azure	Liste atribuições de função para assinaturas e alertas em que o nome de login não corresponde ao formato de sua organização. Um exemplo é o uso de ADM_ como um prefixo.
Interrupção	Alto, médio	Microsoft Entra entradas	Status = interrompido -e- código de erro = 50074 -e- Motivo da falha = autenticação forte necessária Status = interrompido -e- Código de erro = 500121 Motivo da falha = a autenticação falhou durante uma solicitação de autenticação forte	Esse evento pode ser uma indicação de que um invasor tem a senha da conta, mas não consegue passar pela autenticação multifator. Modelo do Microsoft Sentinel Regras Sigma
Contas com privilégios que não seguem a política de nomenclatura	Alto	diretório do Microsoft Entra	Listar atribuições de função do Microsoft Entra	Liste as atribuições de função para as funções do Microsoft Entra e alerte quando o UPN não corresponder ao formato de sua organização. Um exemplo é o uso de ADM_ como um prefixo.
Descobrir contas com privilégios não registradas para autenticação multifator	Alto	API do Microsoft Graph	Consulta para IsMFARegistered eq false para contas de administrador. Listar credentialUserRegistrationDetails - Microsoft Graph beta	Audite e investigue para determinar se o evento é intencional ou um descuido.
Bloqueio de conta	Alto	Log de entrada do Microsoft Entra	Status = falha -e- código de erro = 50053	Defina um limite de linha de base e, em seguida, monitore e ajuste para se ajustar aos seus comportamentos organizacionais e limitar a geração de alertas falsos. Modelo do Microsoft Sentinel Regras Sigma
Conta desabilitada ou bloqueada para entradas	Baixo	Log de entrada do Microsoft Entra	Status = falha -e- Destino = UPN do usuário -e- código de erro = 50057	Esse evento pode indicar que alguém está tentando obter acesso a uma conta depois de sair da organização. Embora a conta esteja bloqueada, ainda é importante registrar e alertar sobre essa atividade. Modelo do Microsoft Sentinel Regras Sigma
Alerta ou bloqueio de fraudes da MFA	Alto	Log de entradas do Microsoft Entra/Log Analytics do Azure	Entradas >informações da autenticação informações do resultado = MFA negada, código de fraude inserido	O usuário com privilégios indicou que não instigou o prompt da autenticação multifator, o que pode indicar que um invasor tem a senha da conta. Modelo do Microsoft Sentinel Regras Sigma
Alerta ou bloqueio de fraudes da MFA	Alto	Microsoft Entra log de auditoria/Log Analytics do Azure	Tipo de atividade = fraude relatada – o usuário está bloqueado na MFA ou fraude relatada – nenhuma ação tomada (com base nas configurações de nível de locatário no relatório de fraude)	O usuário com privilégios indicou que não instigou o prompt da autenticação multifator, o que pode indicar que um invasor tem a senha da conta. Modelo do Microsoft Sentinel Regras Sigma
Entradas da conta com privilégios fora dos controles esperados		Log de entrada do Microsoft Entra	Status = falha UserPricipalName = < conta do administrador> Local = < local não aprovado> Endereço IP = < IP não aprovado> Device Info= <navegador, sistema operacional não aprovados>	Monitore e alerte quanto a entradas que você definiu como não aprovadas. Modelo do Microsoft Sentinel Regras Sigma
Fora do horário de entrada normal	Alto	Log de entrada do Microsoft Entra	Status = êxito -e- Local = -e- Horário = fora do horário de trabalho	Monitore e alerte se entradas ocorrerem fora dos horários esperados. É importante encontrar o padrão de trabalho normal para cada conta com privilégios e alertar se houver alterações não planejadas fora dos horários de trabalho normais. Entradas fora do horário de trabalho normal podem indicar comprometimentos ou possíveis ameaças internas. Modelo do Microsoft Sentinel Regras Sigma
Risco à proteção de identidade	Alto	Logs do Identity Protection	Estado de risco = em risco -e- Nível de risco = baixo, médio, alto -e- Atividade = entrada desconhecida/TOR e assim por diante	Esse evento indica que foi detectada uma anormalidade na entrada da conta que deve ser alertada.
Alteração de senha	Alto	Logs de auditoria do Microsoft Entra	Ator da atividade = administrador/autoatendimento -e- Destino = usuário -e- Status = êxito ou falha	Alerta quando a senha de qualquer conta de administrador for alterada. Escreva uma consulta para contas com privilégios. Modelo do Microsoft Sentinel Regras Sigma
Alteração no protocolo de autenticação herdado	Alto	Log de entrada do Microsoft Entra	Aplicativo cliente = outro cliente, IMAP, POP3, MAPI, SMTP e assim por diante -e- Nome de usuário = UPN -e- Aplicativo = Exchange (exemplo)	Muitos ataques usam a autenticação herdada, portanto, se houver uma alteração no protocolo de autenticação para o usuário, isso poderá ser uma indicação de um ataque. Modelo do Microsoft Sentinel Regras Sigma
Novo dispositivo ou localização	Alto	Log de entrada do Microsoft Entra	Informações do dispositivo = identificador do dispositivo -e- Navegador -e- SO -e- Conformidade/gerenciado -e- Destino = usuário -e- Local	A maioria das atividades do administrador deve ser de dispositivos de acesso com privilégios, a partir de um número limitado de locais. Por esse motivo, alerte sobre novos dispositivos ou locais. Modelo do Microsoft Sentinel Regras Sigma
A configuração de alerta de auditoria foi alterada	Alto	Logs de auditoria do Microsoft Entra	Serviço = PIM -e- Categoria = gerenciamento de funções -e- Atividade = desabilitar alerta do PIM -e- Status = êxito	Caso as alterações em um alerta principal sejam inesperadas, elas devem ser alertadas. Modelo do Microsoft Sentinel Regras Sigma
Administradores que se autenticam em outros locatários Microsoft Entra	Médio	Log de entrada do Microsoft Entra	Status = êxito Recurso tenantID != ID do Locatário da Página Inicial	Quando o escopo é Usuários privilegiados, esse monitor detecta quando um administrador se autenticou com êxito em outro locatário do Microsoft Entra com uma identidade no locatário da sua organização. Alerta se o Recurso TenantID não for igual à ID do Locatário da Página Inicial Modelo do Microsoft Sentinel Regras Sigma
O estado do Usuário Administrador foi alterado de Convidado para Membro	Médio	Logs de auditoria do Microsoft Entra	Atividade: atualizar usuário Categoria: UserManagement UserType alterado de Convidado para Membro	Monitora e alerta sobre a alteração do tipo de usuário de Convidado para Membro. Essa alteração era esperada? Modelo do Microsoft Sentinel Regras Sigma
Usuários Convidados que recebem convites para locatário por emissores do convite não aprovados	Médio	Logs de auditoria do Microsoft Entra	Atividade: convidar usuário externo Categoria: UserManagement Iniciado por (ator): nome UPN	Monitora e alerta sobre atores não aprovados que convidam usuários externos. Modelo do Microsoft Sentinel Regras Sigma

Alterações feitas por contas com privilégios

Monitore todas as tentativas de alterações e alterações efetuadas por uma conta com privilégios. Esses dados permitem que você estabeleça o que é considerado uma atividade normal para cada conta com privilégios e alerte sobre atividades que se desviem do esperado. Os logs de auditoria Microsoft Entra são usados para registrar esse tipo de evento. Para obter mais informações sobre Microsoft Entra logs de auditoria, consulte Logs de auditoria em Microsoft Entra ID.

Serviços de Domínio do Microsoft Entra

Contas privilegiadas que receberam permissões no Microsoft Entra Domain Services podem executar tarefas para Microsoft Entra Domain Services que afetam a postura de segurança das máquinas virtuais hospedadas no Azure que usam Microsoft Entra Domain Services. Habilite auditorias de segurança em máquinas virtuais e monitore os logs. Para obter mais informações sobre como ativar as auditorias do Microsoft Entra Domain Services e para obter uma lista de privilégios confidenciais, consulte os seguintes recursos:

O que monitorar	Nível de risco	Where	Filtro/subfiltro	Observações
Tentativas de alterações e alterações efetuadas	Alto	Logs de auditoria do Microsoft Entra	Data e hora -e- Serviço -e- A categoria e o nome da atividade (o que) -e- Status = êxito ou falha -e- Destino -e- Iniciador ou ator (quem)	Todas as alterações não planejadas devem ser alertadas imediatamente. Esses logs devem ser mantidos para ajudar em qualquer investigação. Todas as alterações no nível do locatário devem ser investigadas imediatamente (link externo para o documento de infraestrutura) que reduziriam a postura de segurança do seu locatário. Um exemplo é a exclusão de contas de autenticação multifator ou acesso condicional. Alerte sobre quaisquer adições ou alterações nos aplicativos. Consulte Guia de operações de segurança do Microsoft Entra para aplicativos.
Exemplo Tentativa ou efetuação de alteração em serviços ou aplicativos de alto valor	Alto	Log de auditoria	Serviço -e- A categoria e o nome da atividade	Data e hora, Serviço, Categoria e nome da atividade, Status = Êxito ou falha, Destino, Iniciador ou ator (quem)
Alterações privilegiadas nos Serviços do domínio do Microsoft Entra	Alto	Serviços de Domínio do Microsoft Entra	Procurar evento 4673	Habilitar auditorias de segurança para Serviços do domínio do Microsoft Entra Para obter uma lista de todos os eventos privilegiados, consulte Auditoria do uso de privilégios confidenciais.

Alterações feitas por contas com privilégio

Investigue as alterações nas regras de autenticação e nos privilégios das contas com privilégios, especialmente se a alteração fornecer mais privilégios ou a capacidade de executar tarefas em seu ambiente Microsoft Entra.

O que monitorar	Nível de risco	Where	Filtro/subfiltro	Observações
Criação de conta com privilégio	Médio	Logs de auditoria do Microsoft Entra	Serviço = diretório principal -e- Categoria = gerenciamento de usuários -e- Tipo de atividade = adicionar usuário -correlacionar com- Tipo de categoria = gerenciamento de função -e- Tipo de atividade = Adicionar membro a função -e- Propriedades modificadas = Role.DisplayName	Monitore a criação de qualquer conta com privilégios. Procure a correlação de um intervalo de tempo curto entre a criação e a exclusão de contas. Modelo do Microsoft Sentinel Regras Sigma
Alterações nos métodos de autenticação	Alto	Logs de auditoria do Microsoft Entra	Serviço = método de autenticação -e- Tipo de atividade = informações de segurança registradas pelo usuário -e- Categoria = gerenciamento de usuários	Essa mudança pode ser a indicação de que um invasor está adicionando um método de autenticação à conta para que possa ter acesso contínuo. Modelo do Microsoft Sentinel Regras Sigma
Alertar sobre alterações às permissões de conta com privilégios	Alto	Logs de auditoria do Microsoft Entra	Categoria = gerenciamento de funções -e- Tipo de atividade – adicionar um membro qualificado (permanente) -ou- Tipo de atividade – adicionar um membro qualificado (qualificado) -e- Status = êxito ou falha -e- Propriedades modificadas = Role.DisplayName	Isso alerta ocorre especialmente em contas que recebem funções que não sejam conhecidas ou são que estejam fora de suas responsabilidades normais. Regras Sigma
Contas com privilégios não usadas	Médio	Revisões de acesso do Microsoft Entra		Execute uma revisão mensal de contas de usuário com privilégios inativas. Regras Sigma
Contas isentas do acesso condicional	Alto	Logs do Azure Monitor -ou- Revisões de acesso	Acesso condicional = insights e relatórios	Qualquer isenção de conta da acesso condicional tem maior probabilidade a ignorar os controles de segurança, ficando mais vulnerável a comprometimentos. As contas de emergência são isentas. Veja informações mais adiante neste artigo sobre como monitorar contas de emergência.
Adicionar uma Senha de Acesso Temporária a uma conta com privilégios	Alto	Logs de auditoria do Microsoft Entra	Atividade: informações de segurança registradas pelo Administrador Razão do status: método de senha de acesso temporária registrado pelo administrador para o usuário Categoria: UserManagement Iniciado por (ator): nome UPN Destino: nome UPN	Monitore e alerte sobre a criação de uma Senha de Acesso Temporária para um usuário com privilégios. Modelo do Microsoft Sentinel Regras Sigma

Para obter mais informações sobre como monitorar exceções às políticas de Acesso condicional, confira Informações e relatórios de Acesso condicional.

Para obter mais informações sobre como descobrir contas com privilégios não utilizadas, confira Criar uma revisão de acesso das funções do Microsoft Entra no Privileged Identity Management.

Atribuição e elevação

Ter contas com privilégios que são provisionadas permanentemente com capacidades elevadas pode aumentar a superfície de ataque e o risco do limite de segurança. Em vez disso, implemente o acesso just-in-time usando um procedimento de elevação. Esse tipo de sistema permite que você atribua a qualificação para funções privilegiadas. Os administradores elevam seus privilégios para essas funções somente quando executam tarefas que precisam desses privilégios. O uso de um processo de elevação permite monitorar elevações e o não uso de contas com privilégios.

Estabelecer uma linha de base

Para monitorar as exceções, primeiro você deve criar uma linha de base. Determinar as seguintes informações para esses elementos

Contas de administrador
- Sua estratégia de conta com privilégios
- O uso de contas locais para administrar recursos locais
- O uso de contas baseadas em nuvem para administrar recursos baseados em nuvem
- A abordagem para separar e monitorar permissões administrativas para recursos locais e baseados em nuvem
Proteção de função com privilégios
- Estratégia de proteção para funções com privilégios administrativos
- Política organizacional para usar contas com privilégios
- Estratégia e princípios para manter o privilégio permanente em comparação a fornecer limite de tempo e acesso aprovado

Os conceitos e as informações a seguir ajudam a determinar as políticas:

Princípios de administrador just-in-time. Use os logs do Microsoft Entra para capturar informações para executar tarefas administrativas comuns em seu ambiente. Determine a quantidade de tempo típica necessária para concluir as tarefas.
Princípios de administrador suficientes. Determine a função com menos privilégios, o que pode ser uma função personalizada, que é necessária para tarefas administrativas. Para obter mais informações, consulte Funções com privilégios mínimos por tarefa em Microsoft Entra ID.
Estabeleça uma política de elevação. Depois de obter informações sobre o tipo de necessidade do privilégio elevado e por quanto tempo ele é necessário para cada tarefa, crie políticas que reflitam o uso privilegiado elevado para seu ambiente. Como exemplo, defina uma política para limitar a elevação de função para uma hora.

Depois de estabelecer sua linha de base e definir a política, você pode configurar o monitoramento para detectar e alertar o uso fora da política.

Descoberta

Dê atenção especial e investigue as alterações na atribuição e elevação de privilégio.

Coisas a serem monitoradas

Você pode monitorar as alterações de contas privilegiadas usando os logs de auditoria do Microsoft Entra e os logs do Azure Monitor. Inclua as seguintes alterações no processo de monitoramento.

O que monitorar	Nível de risco	Where	Filtro/subfiltro	Observações
Adicionado à função com privilégios qualificada	Alto	Logs de auditoria do Microsoft Entra	Serviço = PIM -e- Categoria = gerenciamento de funções -e- Tipo de atividade = adição de membro à função concluída (qualificado) -e- Status = êxito ou falha -e- Propriedades modificadas = Role.DisplayName	Agora, qualquer conta qualificada para uma função está com acesso privilegiado. Caso a atribuição seja inesperada ou esteja em uma função que não é responsabilidade do titular da conta, investigue. Modelo do Microsoft Sentinel Regras Sigma
Funções atribuídas fora do PIM	Alto	Logs de auditoria do Microsoft Entra	Serviço = PIM -e- Categoria = gerenciamento de funções -e- Tipo de atividade = Adicionar membro a função (permanente) -e- Status = êxito ou falha -e- Propriedades modificadas = Role.DisplayName	Essas funções devem ser bastante monitoradas e alertadas. Sempre que possível, os usuários não devem receber funções fora do PIM. Modelo do Microsoft Sentinel Regras Sigma
Elevações	Médio	Logs de auditoria do Microsoft Entra	Serviço = PIM -e- Categoria = gerenciamento de funções -e- Tipo de atividade = adição de membro à função concluída (ativação do PIM) -e- Status = êxito ou falha -e- Propriedades modificadas = Role.DisplayName	Depois de uma conta com privilégios é elevada, ela poderá fazer alterações que possam afetar a segurança do seu locatário. Todas as elevações devem ser registradas e, se estiverem acontecendo fora do padrão em relação a esse usuário, devem ser alertadas e investigadas se não estiverem planejadas.
Aprovações e elevação de negação	Baixo	Logs de auditoria do Microsoft Entra	Serviço = revisão de acesso -e- Categoria = UserManagement -e- Tipo de atividade = solicitação aprovada/negada -e- Ator iniciado = UPN	Monitorar todas as elevações, pois isso poderia fornecer indicação clara da linha do tempo de um ataque. Modelo do Microsoft Sentinel Regras Sigma
Alterações nas configurações do PIM	Alto	Logs de auditoria do Microsoft Entra	Serviço = PIM -e- Categoria = gerenciamento de funções -e- Tipo de atividade = atualizar a configuração de função no PIM -e- Motivo do status = MFA desabilitada na ativação (exemplo)	Uma dessas ações pode reduzir a segurança da elevação do PIM e tornar mais fácil para os invasores adquirirem uma conta com privilégios. Modelo do Microsoft Sentinel Regras Sigma
Elevação não ocorrendo em SAW/PAW	Alto	Logs de entrada do Microsoft Entra	Id do Dispositivo -e- Navegador -e- SO -e- Conformidade/gerenciado Correlacionar com: Serviço = PIM -e- Categoria = gerenciamento de funções -e- Tipo de atividade = adição de membro à função concluída (ativação do PIM) -e- Status = êxito ou falha -e- Propriedades modificadas = Role.DisplayName	Caso essa alteração esteja configurado, qualquer tentativa de elevação em um dispositivo não PAW/SAW deverá ser investigada imediatamente, pois poderia indicar que um invasor está tentando usar a conta. Regras Sigma
Elevação para gerenciar todas as assinaturas do Azure	Alto	Azure Monitor	Guia Log de atividades Guia Atividade do diretório Nome das operações = atribui o chamador à função de administrador de acesso do usuário -e- Categoria de eventos = administrativa -e- Status = êxito, início, falha -e- Evento iniciado por	Essa alteração deve ser investigada imediatamente se não estiver planejada. Essa configuração poderia permitir que um invasor acesse as assinaturas do Azure em seu ambiente.

Para obter mais informações sobre a elevação de gerenciamento, confira Elevar o acesso para gerenciar todas as assinaturas e grupos de gerenciamento do Azure. Para obter informações sobre como monitorar as elevações usando as informações disponíveis nos registros do Microsoft Entra, consulte Log de atividades do Azure, que faz parte da documentação do Azure Monitor.

Para obter informações sobre como configurar alertas para a função do Azure, confira Configurar alertas de segurança para funções de recurso do Azure no Privileged Identity Management.