Políticas de segurança comuns para organizações do Microsoft 365

  • Artigo

As organizações têm muito com que se preocupar ao implementar o Microsoft 365 para a sua organização. As políticas de Acesso Condicional, proteção de aplicações e conformidade de dispositivos referenciadas neste artigo baseiam-se nas recomendações da Microsoft e nos três princípios de orientação do Confiança Zero:

  • Verificar explicitamente
  • Utilizar menos privilégios
  • Assumir violação

As organizações podem tomar estas políticas tal como estão ou personalizá-las de acordo com as suas necessidades. Se possível, teste as suas políticas num ambiente de não produção antes de implementar para os utilizadores de produção. Os testes são fundamentais para identificar e comunicar eventuais efeitos aos seus utilizadores.

Agrupamos estas políticas em três níveis de proteção com base no seu percurso de implementação:

  • Ponto de partida – controlos básicos que introduzem autenticação multifator, alterações seguras de palavras-passe e políticas de proteção de aplicações.
  • Enterprise – controlos melhorados que introduzem a conformidade do dispositivo.
  • Segurança especializada – políticas que exigem sempre autenticação multifator para conjuntos de dados ou utilizadores específicos.

O diagrama seguinte mostra a que nível de proteção cada política se aplica e se as políticas se aplicam a PCs, telemóveis e tablets ou a ambas as categorias de dispositivos.

Um diagrama a mostrar políticas de identidade e dispositivo comuns que suportam princípios de Confiança Zero.

Pode transferir este diagrama como um ficheiro PDF .

Sugestão

É recomendado exigir a utilização da autenticação multifator (MFA) antes de inscrever dispositivos no Intune para garantir que o dispositivo está na posse do utilizador pretendido. Tem de inscrever dispositivos no Intune antes de poder impor políticas de conformidade de dispositivos.

Pré-requisitos

Permissões

  • Os utilizadores que irão gerir as políticas de Acesso Condicional têm de conseguir iniciar sessão no portal do Azure como Administrador de Acesso Condicional, Administrador de Segurança ou Administrador Global.
  • Os utilizadores que irão gerir a proteção de aplicações e as políticas de conformidade de dispositivos têm de conseguir iniciar sessão no Intune como Administrador Intune ou Administrador Global.
  • Os utilizadores que só precisam de ver as configurações podem ser atribuídos às funções Leitor de Segurança ou Leitor Global .

Para obter mais informações sobre funções e permissões, consulte o artigo Microsoft Entra funções incorporadas.

Registo de utilizador

Certifique-se de que os utilizadores se registam para autenticação multifator antes de exigirem a respetiva utilização. Se tiver licenças que incluam Microsoft Entra ID P2, pode utilizar a política de registo da MFA no Microsoft Entra ID Protection para exigir que os utilizadores se registem. Fornecemos modelos de comunicação, pode transferir e personalizar, para promover o registo.

Grupos

Todos os grupos Microsoft Entra utilizados como parte destas recomendações têm de ser criados como um grupo do Microsoft 365e não como um grupo de Segurança. Este requisito é importante para a implementação de etiquetas de confidencialidade ao proteger documentos no Microsoft Teams e no SharePoint mais tarde. Para obter mais informações, consulte o artigo Saiba mais sobre grupos e direitos de acesso no Microsoft Entra ID

Atribuir políticas

As políticas de Acesso Condicional podem ser atribuídas a utilizadores, grupos e funções de administrador. Intune políticas de conformidade de dispositivos e proteção de aplicações só podem ser atribuídas a grupos. Antes de configurar as políticas, deve identificar quem deve ser incluído e excluído. Normalmente, as políticas de nível de proteção de ponto de partida aplicam-se a todas as pessoas na organização.

Eis um exemplo de atribuição de grupo e exclusões para exigir a MFA depois de os utilizadores terem concluído o registo de utilizadores.

  política de Acesso Condicional do Microsoft Entra Incluir Excluir
Ponto de partida Exigir autenticação multifator para risco de início de sessão médio ou elevado All users
  • Contas de acesso de emergência
  • Grupo de exclusão de Acesso Condicional
Enterprise Exigir autenticação multifator para risco de início de sessão baixo, médio ou elevado Grupo de funcionários executivos
  • Contas de acesso de emergência
  • Grupo de exclusão de Acesso Condicional
Segurança especializada Exigir sempre autenticação multifator Grupo De Projeto Secreto Desmesundo
  • Contas de acesso de emergência
  • Grupo de exclusão de Acesso Condicional

Tenha cuidado ao aplicar níveis mais elevados de proteção a grupos e utilizadores. O objetivo da segurança não é adicionar atrito desnecessário à experiência do utilizador. Por exemplo, os membros do grupo Top Secret Project Buckeye terão de utilizar a MFA sempre que iniciarem sessão, mesmo que não estejam a trabalhar nos conteúdos de segurança especializados do projeto. O atrito de segurança excessivo pode levar à fadiga.

Pode considerar ativar métodos de autenticação sem palavra-passe, como chaves de segurança Windows Hello para Empresas ou FIDO2 para reduzir algum atrito criado por determinados controlos de segurança.

Contas de acesso de emergência

Todas as organizações devem ter, pelo menos, uma conta de acesso de emergência que seja monitorizada para utilização e excluída das políticas. Estas contas só são utilizadas caso todas as outras contas de administrador e métodos de autenticação fiquem bloqueados ou indisponíveis. Pode encontrar mais informações no artigo Gerir contas de acesso de emergência no Microsoft Entra ID.

Exclusões

Uma prática recomendada é criar um grupo de Microsoft Entra para exclusões de Acesso Condicional. Este grupo dá-lhe um meio de fornecer acesso a um utilizador enquanto resolução de problemas de acesso.

Aviso

Este grupo é recomendado para utilização apenas como uma solução temporária. Monitorize e audite continuamente este grupo quanto a alterações e certifique-se de que o grupo de exclusão está a ser utilizado apenas conforme pretendido.

Para adicionar este grupo de exclusão a quaisquer políticas existentes:

  1. Inicie sessão no portal do Azure como Administrador de Acesso Condicional, Administrador de Segurança ou Administrador Global.
  2. Navegue para Microsoft Entra ID Seclar>Condicional de Segurança>.
  3. Selecione uma política existente.
  4. Em Atribuições, selecione Utilizadores ou identidades da carga de trabalho.
    1. Em Excluir, selecione Utilizadores e grupos e selecione o acesso de emergência da sua organização ou contas break-glass e grupo de exclusão de Acesso Condicional.

Implementação

Recomendamos que implemente as políticas de ponto de partida pela ordem listada nesta tabela. No entanto, as políticas de MFA para níveis de proteção empresariais e especializados podem ser implementadas em qualquer altura.

Ponto de partida

Política Mais informações Licenciamento
Exigir MFA quando o risco de início de sessão é médio ou elevado Utilizar dados de risco de Microsoft Entra ID Protection para exigir a MFA apenas quando o risco for detetado Microsoft 365 E5 ou Microsoft 365 E3 com o suplemento Segurança E5
Bloquear clientes que não suportam a autenticação moderna Os clientes que não utilizam a autenticação moderna podem ignorar as políticas de Acesso Condicional, pelo que é importante bloqueá-las. Microsoft 365 E3 ou E5
Os utilizadores de alto risco têm de alterar a palavra-passe Força os utilizadores a alterar a palavra-passe ao iniciar sessão se for detetada atividade de alto risco para a conta. Microsoft 365 E5 ou Microsoft 365 E3 com o suplemento Segurança E5
Aplicar políticas de proteção de aplicações para proteção de dados Um Intune política de proteção de aplicações por plataforma (Windows, iOS/iPadOS, Android). Microsoft 365 E3 ou E5
Exigir aplicações aprovadas e políticas de proteção de aplicações Impõe políticas de proteção de aplicações móveis para telemóveis e tablets com iOS, iPadOS ou Android. Microsoft 365 E3 ou E5

Enterprise

Política Mais informações Licenciamento
Exigir MFA quando o risco de início de sessão for baixo, médio ou elevado Utilizar dados de risco de Microsoft Entra ID Protection para exigir a MFA apenas quando o risco for detetado Microsoft 365 E5 ou Microsoft 365 E3 com o suplemento Segurança E5
Definir políticas de conformidade de dispositivos Defina os requisitos mínimos de configuração. Uma política para cada plataforma. Microsoft 365 E3 ou E5
Exigir PCs compatíveis e dispositivos móveis Impõe os requisitos de configuração para dispositivos que acedem à sua organização Microsoft 365 E3 ou E5

Segurança especializada

Política Mais informações Licenciamento
Exigir sempre MFA Os utilizadores têm de efetuar a MFA sempre que iniciarem sessão nos serviços da sua organização Microsoft 365 E3 ou E5

políticas de Proteção de aplicações

Proteção de aplicações políticas definem que aplicações são permitidas e as ações que podem realizar com os dados da sua organização. Existem muitas opções disponíveis e pode ser confuso para alguns. As linhas de base seguintes são as configurações recomendadas da Microsoft que podem ser adaptadas às suas necessidades. Fornecemos três modelos a seguir, mas pensamos que a maioria das organizações escolherá os níveis 2 e 3.

O Nível 2 mapeia para o que consideramos ponto de partida ou segurança de nível empresarial , o nível 3 mapeia para segurança especializada .

  • Proteção de dados básica de nível 1 empresarial – a Microsoft recomenda esta configuração como a configuração mínima de proteção de dados para um dispositivo empresarial.

  • Proteção de dados melhorada para empresas de nível 2 – a Microsoft recomenda esta configuração para dispositivos em que os utilizadores acedam a informações confidenciais ou confidenciais. Esta configuração é aplicável à maioria dos utilizadores móveis que acedem a dados escolares ou profissionais. Alguns dos controlos podem afetar a experiência do utilizador.

  • Proteção de dados elevada para empresas de nível 3 – a Microsoft recomenda esta configuração para dispositivos executados por uma organização com uma equipa de segurança maior ou mais sofisticada, ou para utilizadores ou grupos específicos que estejam em risco único (utilizadores que lidam com dados altamente confidenciais em que a divulgação não autorizada causa uma perda material considerável para a organização). Uma organização susceptível de ser alvo de adversários bem financiados e sofisticados deve aspirar a esta configuração.

Create políticas de proteção de aplicações

Create uma nova política de proteção de aplicações para cada plataforma (iOS e Android) no Microsoft Intune através das definições da estrutura de proteção de dados ao:

Políticas de conformidade do dispositivo

Intune políticas de conformidade do dispositivo definem os requisitos que os dispositivos têm de cumprir para serem determinados como conformes.

Tem de criar uma política para cada PC, telemóvel ou plataforma de tablets. Este artigo abrangerá recomendações para as seguintes plataformas:

Create políticas de conformidade de dispositivos

Para criar políticas de conformidade de dispositivos, inicie sessão no centro de administração do Microsoft Intune e navegue paraPolíticas de Conformidadede Dispositivos>>. Selecione Create Política.

Para obter orientações passo a passo sobre a criação de políticas de conformidade no Intune, veja Create uma política de conformidade no Microsoft Intune.

Definições de inscrição e conformidade para iOS/iPadOS

O iOS/iPadOS suporta vários cenários de inscrição, dois dos quais são abrangidos como parte desta arquitetura:

Com os princípios descritos no Confiança Zero configurações de identidade e acesso ao dispositivo:

  • O ponto de partida e os níveis de proteção empresarial mapeiam-se de perto com as definições de segurança melhoradas de nível 2.
  • O nível de proteção de segurança especializado mapeia-se de perto às definições de alta segurança de nível 3.
Definições de conformidade para dispositivos inscritos pessoalmente
  • Segurança básica pessoal (Nível 1) – a Microsoft recomenda esta configuração como a configuração de segurança mínima para dispositivos pessoais onde os utilizadores acedem a dados escolares ou profissionais. Esta configuração é feita ao impor políticas de palavra-passe, características de bloqueio de dispositivos e desativar determinadas funções do dispositivo, como certificados não fidedignos.
  • Segurança avançada pessoal (Nível 2) – a Microsoft recomenda esta configuração para dispositivos em que os utilizadores acedam a informações confidenciais ou confidenciais. Esta configuração decreta controlos de partilha de dados. Esta configuração é aplicável à maioria dos utilizadores móveis que acedem a dados escolares ou profissionais num dispositivo.
  • Alta segurança pessoal (Nível 3) – a Microsoft recomenda esta configuração para dispositivos utilizados por utilizadores ou grupos específicos que são de alto risco exclusivo (utilizadores que lidam com dados altamente confidenciais em que a divulgação não autorizada causa uma perda material considerável para a organização). Esta configuração decreta políticas de palavras-passe mais fortes, desativa determinadas funções do dispositivo e impõe restrições adicionais de transferência de dados.
Definições de compatibilidade para a inscrição automatizada de dispositivos
  • Segurança básica supervisionada (Nível 1) – a Microsoft recomenda esta configuração como a configuração de segurança mínima para dispositivos supervisionados em que os utilizadores acedem a dados escolares ou profissionais. Esta configuração é feita ao impor políticas de palavra-passe, características de bloqueio de dispositivos e desativar determinadas funções do dispositivo, como certificados não fidedignos.
  • Segurança melhorada supervisionada (Nível 2) – a Microsoft recomenda esta configuração para dispositivos em que os utilizadores acedam a informações confidenciais ou confidenciais. Esta configuração decreta controlos de partilha de dados e bloqueia o acesso a dispositivos USB. Esta configuração é aplicável à maioria dos utilizadores móveis que acedem a dados escolares ou profissionais num dispositivo.
  • Alta segurança supervisionada (Nível 3) – a Microsoft recomenda esta configuração para dispositivos utilizados por utilizadores ou grupos específicos que são de alto risco exclusivo (utilizadores que lidam com dados altamente confidenciais em que a divulgação não autorizada causa uma perda material considerável para a organização). Esta configuração decreta políticas de palavras-passe mais fortes, desativa determinadas funções do dispositivo, impõe restrições adicionais de transferência de dados e requer que as aplicações sejam instaladas através do programa de compra em volume da Apple.

Definições de inscrição e conformidade para Android

O Android Enterprise suporta vários cenários de inscrição, dois dos quais são abrangidos como parte desta arquitetura:

  • Perfil de trabalho do Android Enterprise – este modelo de inscrição é normalmente utilizado para dispositivos pessoais, onde as TI pretendem fornecer um limite de separação claro entre dados pessoais e profissionais. As políticas controladas pelas TI garantem que os dados de trabalho não podem ser transferidos para o perfil pessoal.
  • Dispositivos totalmente geridos pelo Android Enterprise – estes dispositivos são propriedade da empresa, associados a um único utilizador e utilizados exclusivamente para utilização profissional e não pessoal.

A arquitetura de configuração de segurança do Android Enterprise está organizada em vários cenários de configuração distintos, fornecendo orientações para o perfil de trabalho e cenários totalmente geridos.

Com os princípios descritos no Confiança Zero configurações de identidade e acesso ao dispositivo:

  • O ponto de partida e os níveis de proteção empresarial mapeiam-se de perto com as definições de segurança melhoradas de nível 2.
  • O nível de proteção de segurança especializado mapeia-se de perto às definições de alta segurança de nível 3.
Definições de conformidade para dispositivos com perfil de trabalho do Android Enterprise
  • Devido às definições disponíveis para dispositivos de perfil de trabalho pessoais, não existe nenhuma oferta de segurança básica (nível 1). As definições disponíveis não justificam uma diferença entre o nível 1 e o nível 2.
  • Segurança melhorada do perfil de trabalho (Nível 2)– a Microsoft recomenda esta configuração como a configuração de segurança mínima para dispositivos pessoais em que os utilizadores acedem a dados escolares ou profissionais. Esta configuração introduz requisitos de palavra-passe, separa os dados pessoais e de trabalho e valida o atestado do dispositivo Android.
  • Segurança elevada do perfil de trabalho (Nível 3) – a Microsoft recomenda esta configuração para dispositivos utilizados por utilizadores ou grupos específicos que são de alto risco exclusivo (utilizadores que lidam com dados altamente confidenciais em que a divulgação não autorizada causa uma perda material considerável para a organização). Esta configuração introduz a defesa contra ameaças para dispositivos móveis ou Microsoft Defender para Endpoint, define a versão mínima do Android, decreta políticas de palavras-passe mais fortes e restringe ainda mais a separação pessoal e profissional.
Definições de conformidade para dispositivos totalmente geridos pelo Android Enterprise
  • Segurança básica totalmente gerida (Nível 1) – a Microsoft recomenda esta configuração como a configuração de segurança mínima para um dispositivo empresarial. Esta configuração é aplicável à maioria dos utilizadores móveis que acedem a dados escolares ou profissionais. Esta configuração introduz requisitos de palavra-passe, define a versão mínima do Android e decreta determinadas restrições de dispositivos.
  • Segurança melhorada totalmente gerida (Nível 2) – a Microsoft recomenda esta configuração para dispositivos em que os utilizadores acedem a informações confidenciais. Esta configuração decreta políticas de palavras-passe mais fortes e desativa as capacidades de utilizador/conta.
  • Segurança elevada totalmente gerida (Nível 3) – a Microsoft recomenda esta configuração para dispositivos utilizados por utilizadores ou grupos específicos que são exclusivamente de alto risco. Estes utilizadores podem processar dados altamente confidenciais em que a divulgação não autorizada pode causar perdas materiais consideráveis para a organização. Esta configuração aumenta a versão mínima do Android, introduz a defesa contra ameaças para dispositivos móveis ou Microsoft Defender para Endpoint e impõe restrições adicionais aos dispositivos.

As seguintes definições estão configuradas no Passo 2: Definições de conformidade do processo de criação da política de conformidade para dispositivos Windows 10 e mais recentes. Estas definições estão alinhadas com os princípios descritos no Confiança Zero configurações de identidade e acesso ao dispositivo.

> Para as regras de avaliação do Serviço de Atestado do Windows Health do estado de funcionamento do dispositivo, consulte esta tabela.

Propriedade Valor
Exigir BitLocker Exigir
Exigir que o Arranque Seguro seja ativado no dispositivo Exigir
Exigir integridade do código Exigir

Em Propriedades do dispositivo, especifique os valores adequados para versões do sistema operativo com base nas suas políticas de TI e segurança.

Para Configuration Manager Conformidade, se estiver num ambiente cogerido com Configuration Manager selecione Exigir caso contrário, selecione Não configurado.

Para Segurança do sistema, consulte esta tabela.

Propriedade Valor
Exigir uma palavra-passe para desbloquear dispositivos móveis Exigir
Palavras-passe simples Bloquear
Tipo de palavra-passe Predefinição do dispositivo
Comprimento mínimo da palavra-passe 6
Máximo de minutos de inatividade antes de ser necessária uma palavra-passe 15 minutos
Expiração da palavra-passe (dias) 41
Número de palavras-passe anteriores para impedir a reutilização 5
Exigir palavra-passe quando o dispositivo regressa do estado inativo (Móvel e Holográfico) Exigir
Exigir a encriptação do armazenamento de dados no dispositivo Exigir
Firewall Exigir
Antivírus Exigir
Antisspyware Exigir
Microsoft Defender Antimalware Exigir
Microsoft Defender versão mínima do Antimalware A Microsoft recomenda versões não superiores a cinco da versão mais recente.
Microsoft Defender assinatura Antimalware atualizada Exigir
Proteção em tempo real Exigir

Para Microsoft Defender para Endpoint

Propriedade Valor
Exigir que o dispositivo esteja na classificação de risco do computador ou abaixo Médio

Políticas de Acesso Condicional

Assim que as políticas de proteção de aplicações e conformidade de dispositivos forem criadas no Intune, pode ativar a imposição com as políticas de Acesso Condicional.

Exigir MFA com base no risco de início de sessão

Siga a documentação de orientação no artigo Política de Acesso Condicional Comum: Autenticação multifator baseada no risco de início de sessão para criar uma política para exigir a autenticação multifator com base no risco de início de sessão.

Ao configurar a política, utilize os seguintes níveis de risco.

Nível de proteção Valores de nível de risco necessários Ação
Ponto de partida Alto, médio Verifique os dois.
Enterprise Alto, médio, baixo Verifique os três.

Bloquear clientes que não suportam a autenticação multifator

Siga as orientações no artigo Política de Acesso Condicional Comum: Bloquear a autenticação legada para bloquear a autenticação legada.

Os utilizadores de alto risco têm de alterar a palavra-passe

Siga a documentação de orientação no artigo Política de Acesso Condicional Comum: Alteração da palavra-passe baseada no risco do utilizador para exigir que os utilizadores com credenciais comprometidas alterem a palavra-passe.

Utilize esta política juntamente com Microsoft Entra proteção por palavra-passe, que deteta e bloqueia palavras-passe fracas conhecidas e respetivas variantes, além dos termos específicos da sua organização. Utilizar Microsoft Entra proteção por palavra-passe garante que as palavras-passe alteradas são mais fortes.

Exigir aplicações aprovadas e políticas de proteção de aplicações

Tem de criar uma política de Acesso Condicional para impor as políticas de proteção de aplicações criadas no Intune. A imposição de políticas de proteção de aplicações requer uma política de Acesso Condicional e uma política de proteção de aplicações correspondente.

Para criar uma política de Acesso Condicional que exija aplicações aprovadas e proteção de APLICAÇÕES, siga os passos em Exigir aplicações cliente aprovadas ou política de proteção de aplicações com dispositivos móveis. Esta política só permite que as contas em aplicações móveis protegidas por políticas de proteção de aplicações acedam a pontos finais do Microsoft 365.

Bloquear a autenticação legada para outras aplicações cliente em dispositivos iOS e Android garante que estes clientes não podem ignorar as políticas de Acesso Condicional. Se estiver a seguir a documentação de orientação neste artigo, já configurou a opção Bloquear clientes que não suportam a autenticação moderna.

Exigir PCs compatíveis e dispositivos móveis

Os passos seguintes ajudarão a criar uma política de Acesso Condicional para exigir que os dispositivos que acedem aos recursos sejam marcados como conformes com as políticas de conformidade Intune da sua organização.

Atenção

Certifique-se de que o dispositivo está em conformidade antes de ativar esta política. Caso contrário, poderá ser bloqueado e não poderá alterar esta política até que a sua conta de utilizador tenha sido adicionada ao grupo de exclusão de Acesso Condicional.

  1. Inicie sessão no portal do Azure.
  2. Navegue para Microsoft Entra ID Seclar>Condicional de Segurança>.
  3. Selecione Nova política.
  4. Dê um nome à sua política. Recomendamos que as organizações criem um padrão significativo para os nomes das suas políticas.
  5. Em Atribuições, selecione Utilizadores ou identidades da carga de trabalho.
    1. Em Incluir, selecione Todos os utilizadores.
    2. Em Excluir, selecione Utilizadores e grupos e selecione o acesso de emergência da sua organização ou contas break-glass.
  6. Em Aplicações ou ações na> cloudIncluir, selecione Todas as aplicações na cloud.
    1. Se tiver de excluir aplicações específicas da sua política, pode selecioná-las no separador Excluir em Selecionar aplicações na cloud excluídas e selecionar Selecionar.
  7. Em Concessão de controlos de> acesso.
    1. Selecione Exigir que o dispositivo seja marcado como conforme.
    2. Selecione Selecionar.
  8. Confirme as definições e defina Ativar política como Ativado.
  9. Selecione Create para criar para ativar a política.

Nota

Pode inscrever os seus novos dispositivos para Intune mesmo que selecione Exigir que o dispositivo seja marcado como conforme para Todos os utilizadores e Todas as aplicações na cloud na sua política. Exigir que o dispositivo seja marcado como controlo conforme não bloqueia Intune inscrição e o acesso à aplicação Microsoft Intune Web Portal da Empresa.

Ativação da subscrição

As organizações que utilizam a funcionalidade Ativação da Subscrição para permitir que os utilizadores "avancem" de uma versão do Windows para outra, podem querer excluir as APIs do Serviço da Loja Universal e a Aplicação Web, AppID 45a330b1-b1ec-4cc1-9161-9f03992aa49f da política de conformidade do dispositivo.

Exigir sempre MFA

Siga a documentação de orientação no artigo Política de Acesso Condicional Comum: Exigir a MFA para todos os utilizadores exigirem que os utilizadores especializados de nível de segurança executem sempre a autenticação multifator.

Aviso

Ao configurar a política, selecione o grupo que requer segurança especializada e utilize-o em vez de selecionar Todos os utilizadores.

Passos seguintes

Passo 3: políticas para utilizadores convidados e externos.

Saiba mais sobre as recomendações de políticas para utilizadores convidados e externos