Visão geral - acesso privilegiado

O acesso privilegiado fica em todo o modelo de acesso corporativo e fornece o único caminho administrativo para o plano de controle. Ele define quem pode configurar sistemas, gerenciar identidades, impor segurança e, por fim, moldar o ambiente de tecnologia da organização.

Nas empresas modernas, um número relativamente pequeno de identidades - administradores, contas de serviço e funções de plano de controle têm poder e acesso à maioria dos ativos empresariais. Essas identidades podem:

• Modificar controles de acesso
• Alterar configurações do sistema
• Acessar dados confidenciais
• Desabilitar ou ignorar proteções de segurança

Os invasores reconhecem isso. Em vez de atacar cada sistema individualmente, eles se concentram em:

• Roubo de credenciais.
• Privilégios crescentes.
• Avançando lateralmente para cargos de alto valor.

Depois que o acesso privilegiado for obtido, o invasor poderá operar com velocidade e escala.

É por isso que os modelos de segurança modernos tratam o acesso privilegiado de forma diferente:

• Ele deve ser controlado explicitamente. Por exemplo, defina, por meio da governança de identidade e do gerenciamento de identidades privilegiadas (PIM), funções privilegiadas e a integração de usuários, exigindo aprovação e elevação temporária em vez de atribuições permanentes de função.
• Ele deve ser isolado da atividade normal. Por exemplo, use contas administrativas separadas e PAWs (dispositivos de acesso privilegiado dedicados) para que ações privilegiadas nunca ocorram de sessões de usuário padrão ou dispositivos não gerenciados.
• Ele deve ser monitorado continuamente. Por exemplo, envie entradas privilegiadas, ativações de função e alterações de política para ferramentas de monitoramento, como Microsoft Sentinel para detectar padrões de uso incomuns e disparar alertas ou resposta automatizada.
• É preciso reconhecer que o acesso privilegiado é um alvo principal de comprometimento. Por exemplo, proteja todas as contas privilegiadas com MFA (autenticação multifator forte), sem acesso permanente e controles de conta de quebra de vidro, supondo que os invasores tentem roubo de credenciais e escalonamento de privilégios.

Proteger o acesso privilegiado requer olhar além de apenas funções e contas para entender todos os componentes que têm acesso privilegiado. Isso inclui:

• O plano de controle de identidade.
• Dispositivos, aplicativos e interfaces privilegiados.
• Sistemas intermediários, como VPNs, PIM e sistemas de PAM (gerenciamento de acesso privilegiado).

Juntos, eles definem como o controle é exercido e como ele deve ser protegido.

O gráfico a seguir ilustra a superfície de ataque potencial para comprometimento de acesso privilegiado.

Plano de controle de identidade

O plano de controle de identidade é a camada que define e rege quem pode manter funções privilegiadas e como esses privilégios são atribuídos, elevados e revogados em toda a organização. Em um contexto de acesso privilegiado, ele inclui identidades privilegiadas, atribuições de função e caminhos de elevação aprovados, formando a base da qual todos os outros controles dependem.

Proteger o plano de controle de identidade garante que o privilégio seja explícito, associado ao tempo, fortemente autenticado e auditável, impedindo o acesso não autorizado ou descontrolado aos sistemas que, em última análise, controlam todo o ambiente.

O diagrama a seguir mostra que o plano de controle é gerenciado centralmente em serviços de nuvem (Microsoft Entra ID, Intune, Defender for Endpoint) e só pode ser acessado por uma estação de trabalho de acesso privilegiado (PAW), garantindo isolamento, controle e administração segura de todas as operações privilegiadas.

Funções do plano de controle

A ID do Microsoft Entra tem funções e permissões identificadas como privilegiadas.

Essas funções e permissões podem ser usadas para delegar o gerenciamento de recursos de diretório a outros usuários, para modificar credenciais, políticas de autenticação ou autorização ou para acessar dados restritos. Atribuições de função com privilégios podem levar à elevação de privilégio se não forem usadas de maneira segura e pretendida.

• Examine funções privilegiadas do Microsoft Entra.
• Saiba mais sobre como exibir e usar funções privilegiadas.

Estações de trabalho de acesso privilegiado

Uma PAW (Estação de Trabalho de Acesso Privilegiado) é um dispositivo dedicado e protegido usado apenas para executar tarefas administrativas. Ele é separado dos dispositivos de usuário regulares e é fortemente protegido para reduzir o risco de roubo de credenciais, malware ou movimento lateral. As PAWs impõem proteções de chave, como:

• Autenticação forte (por exemplo, Windows Hello para Empresas)
• Blindagem do dispositivo (Credential Guard, Device Guard, Exploit Guard, AppLocker)
• Uso restrito (sem atividade geral de navegação ou produtividade)

O objetivo é garantir que as credenciais e ações privilegiadas nunca sejam expostas a ambientes não confiáveis.

O diagrama a seguir mostra como a PAW é o único ponto de acesso confiável ao plano de controle.

Conforme mostrado no diagrama, todas as ações administrativas fluem pela PAW e são controladas conforme resumido na tabela.

Control	Implementação
Controlado explicitamente	O acesso administrativo é concedido somente por meio de controles de identidade baseados em política, exigindo autenticação forte e elevação aprovada e com limite de tempo. O estado do dispositivo também deve atender aos requisitos de conformidade antes que o acesso seja permitido.
Isolado da atividade normal	As operações com privilégios são restritas a um dispositivo PAW dedicado com uso e conectividade fortemente controlados. A PAW não é usada para produtividade geral, com acesso restrito à Internet e conectividade remota segura a sistemas confidenciais.
Monitorado continuamente	Toda a atividade de identidade, o estado do dispositivo e o comportamento do terminal são coletados e analisados continuamente, permitindo a detecção de atividade privilegiada anormal e uma resposta rápida.
Presume-se que seja alvo	O ambiente é endurecido e validado continuamente, partindo do pressuposto de que os invasores visam o acesso privilegiado. Os dispositivos são mantidos atualizados, a inicialização segura é imposta.

Próximas Etapas 

Implantar uma arquitetura de acesso privilegiado.