Aumente a segurança do aplicativo usando os princípios Zero Trust

Não se pode presumir um perímetro de rede seguro em torno das aplicações desenvolvidas. Quase todos os aplicativos desenvolvidos, por design, serão acessados de fora do perímetro da rede. Não é possível garantir que os aplicativos sejam seguros quando forem desenvolvidos ou assim permanecerão depois de implantados. É responsabilidade do desenvolvedor do aplicativo não apenas maximizar a segurança do aplicativo, mas também minimizar os danos que o aplicativo pode causar se for comprometido.

Além disso, a responsabilidade inclui o suporte às necessidades em evolução dos clientes e usuários, que esperam que o aplicativo atenda aos requisitos de segurança do Zero Trust. Aprenda os princípios do modelo Zero Trust e adote as práticas. Ao aprender e adotar os princípios, podem ser desenvolvidas aplicações mais seguras e que minimizem os danos que podem causar se houver uma quebra na segurança.

O modelo Zero Trust prescreve uma cultura de verificação explícita em vez de confiança implícita. O modelo assenta em três princípios orientadores fundamentais:

• Verificar explicitamente
• Use o acesso menos privilegiado
• Assuma a violação

Práticas recomendadas do Zero Trust

Siga estas práticas recomendadas para criar aplicativos prontos para Zero Trust com a plataforma de identidade da Microsoft e suas ferramentas.

Verificar explicitamente

A plataforma de identidade da Microsoft oferece mecanismos de autenticação para verificar a identidade da pessoa ou serviço que acessa um recurso. Aplique as práticas recomendadas descritas abaixo para verificar explicitamente quaisquer entidades que precisem acessar dados ou recursos.

Melhor prática	Benefícios para a segurança do aplicativo
Use as Bibliotecas de Autenticação da Microsoft (MSAL).	MSAL é um conjunto de bibliotecas de autenticação da Microsoft para desenvolvedores. Com o MSAL, usuários e aplicativos podem ser autenticados e tokens podem ser adquiridos para acessar recursos corporativos usando apenas algumas linhas de código. O MSAL usa protocolos modernos (OpenID Connect e OAuth 2.0) que eliminam a necessidade de aplicativos para lidar diretamente com as credenciais de um usuário. Esse tratamento de credenciais melhora consideravelmente a segurança para usuários e aplicativos à medida que o provedor de identidade se torna o perímetro de segurança. Além disso, esses protocolos evoluem continuamente para abordar novos paradigmas, oportunidades e desafios na segurança de identidade.
Adote extensões de segurança aprimoradas, como Avaliação de Acesso Contínuo (CAE) e contexto de autenticação de Acesso Condicional, quando apropriado.	No Microsoft Entra ID, algumas das extensões mais usadas incluem Acesso Condicional, contexto de autenticação de Acesso Condicional e CAE. Os aplicativos que usam recursos de segurança aprimorados, como CAE e contexto de autenticação de Acesso Condicional, devem ser codificados para lidar com desafios de declarações. Os protocolos abertos permitem que os desafios de declarações e solicitações de declarações sejam usados para invocar recursos extras do cliente. Os recursos podem ser continuar a interação com o Microsoft Entra ID, como quando houve uma anomalia ou se as condições de autenticação do usuário mudarem. Essas extensões podem ser codificadas em um aplicativo sem perturbar os fluxos de código primário para autenticação.
Use o fluxo de autenticação correto por tipo de aplicativo. Para aplicações Web, tente sempre utilizar fluxos de clientes confidenciais. Para aplicativos móveis, tente usar corretores ou o navegador do sistema para autenticação.	Os fluxos para aplicativos Web que podem manter um segredo (clientes confidenciais) são considerados mais seguros do que os clientes públicos (por exemplo: aplicativos de desktop e console). Quando o navegador da Web do sistema é usado para autenticar um aplicativo móvel, uma experiência segura de logon único (SSO) permite o uso de políticas de proteção de aplicativos.

Use o acesso menos privilegiado

Um desenvolvedor usa a plataforma de identidade da Microsoft para conceder permissões (escopos) e verificar se um chamador recebeu a permissão adequada antes de permitir o acesso. Imponha o acesso menos privilegiado em aplicativos habilitando permissões refinadas que permitem que a menor quantidade de acesso necessário seja concedida. Considere as seguintes práticas para garantir a adesão ao princípio do menor privilégio:

• Avalie as permissões solicitadas para garantir que o menos privilegiado absoluto esteja definido para realizar o trabalho. Não crie permissões "catch-all" com acesso a toda a superfície da API.
• Ao projetar APIs, forneça permissões granulares para permitir acesso com privilégios mínimos. Comece dividindo a funcionalidade e o acesso aos dados em seções que podem ser controladas usando escopos e funções do aplicativo. Não adicione APIs às permissões existentes de uma forma que altere a semântica da permissão.
• Ofereça permissões somente leitura. Write access, inclui privilégios para operações de criação, atualização e exclusão. Um cliente nunca deve exigir acesso de gravação apenas para ler dados.
• Ofereça permissões delegadas e de aplicativo . Ignorar permissões de aplicativos pode criar requisitos difíceis para que os clientes alcancem cenários comuns, como automação, microsserviços e muito mais.
• Considere permissões de acesso "padrão" e "total" se trabalhar com dados confidenciais. Restrinja as propriedades confidenciais para que elas não possam ser acessadas usando uma permissão de acesso "padrão", por exemplo Resource.Read. E, em seguida, implemente uma permissão de acesso "total", por exemplo Resource.ReadFull , que retorna todas as propriedades disponíveis, incluindo informações confidenciais.

Assuma a violação

O portal de registro de aplicativos da plataforma de identidade da Microsoft é o principal ponto de entrada para aplicativos que pretendem usar a plataforma para sua autenticação e necessidades associadas. Ao registrar e configurar aplicativos, siga as práticas descritas abaixo para minimizar os danos que eles podem causar se houver uma violação de segurança. Para obter mais informações, consulte Práticas recomendadas de segurança de registro de aplicativo do Microsoft Entra.

Considere as seguintes ações para evitar violações na segurança:

• Defina corretamente os URIs de redirecionamento para o aplicativo. Não use o mesmo registro de aplicativo para vários aplicativos.
• Verifique os URIs de redirecionamento usados no registro do aplicativo para propriedade e para evitar aquisições de domínio. Não crie o aplicativo como um multilocatário, a menos que seja a intenção de ser. |
• Verifique se os proprietários da entidade de segurança do aplicativo e do serviço estão sempre definidos e mantidos para os aplicativos registrados no locatário.

Consulte também

• Centro de Orientação Zero Trust
• Práticas recomendadas e recomendações da plataforma de identidade da Microsoft.