Como proteger identidades de carga de trabalho
O Microsoft Entra ID Protection pode detectar, investigar e corrigir identidades de carga de trabalho para proteger aplicativos e entidades de serviço, além de identidades de usuário.
Uma identidade de carga de trabalho é uma identidade que permite que um aplicativo ou entidade de serviço acesse recursos, às vezes no contexto de um usuário. Essas identidades de carga de trabalho diferem das contas de usuário tradicionais pois:
- Não podem executar a autenticação multifator.
- Não têm nenhum processo formal de ciclo de vida.
- Precisa armazenar suas credenciais ou segredos em algum lugar.
Essas diferenças dificultam o gerenciamento de identidades de carga de trabalho e as colocam em maior risco de comprometimento.
Importante
As detecções são visíveis apenas para clientes de identidades de carga de trabalho Premium. Os clientes sem licenças de Identidades de Carga de Trabalho Premium ainda recebem todas as detecções, mas o relatório de detalhes é limitado.
Observação
O ID Protection detecta riscos em aplicativos SaaS de locatário único, de terceiros e de vários locatários. As Identidades Gerenciadas não estão atualmente no escopo.
Pré-requisitos
Para usar o risco de identidade da carga de trabalho, incluindo a nova folha Identidades de carga de trabalho arriscadas e a guia Detecções de identidade de carga de trabalho na folha Detecções de risco no portal, você deve ter o seguinte.
- Licenciamento de Identidades de Carga de Trabalho Premium: você pode exibir e adquirir licenças na folha Identidades de Carga de Trabalho.
- Uma das funções de administrador atribuídas a seguir
- Administrador de Segurança
- Operador de segurança
- Os Usuários de Leitura de Segurança atribuídos à função de administrador do Acesso Condicional podem criar políticas que usam o risco como condição.
Detecções de risco de identidade da carga de trabalho
Detectamos o risco em identidades de carga de trabalho em comportamento de entrada e indicadores offline de comprometimento.
| Nome da detecção | Tipo de detecção | Descrição |
|---|---|---|
| Inteligência contra ameaças do Microsoft Entra | Offline | A detecção de risco indica atividades consistentes com padrões de ataque conhecidos com base nas fontes de inteligência contra ameaças internas e externas da Microsoft. |
| Entradas suspeitas | Offline | Essa detecção de risco indica propriedades de entrada ou padrões incomuns para essa entidade de serviço. A detecção aprende o comportamento de entrada de linhas de base para identidades de carga de trabalho em seu locatário. Essa detecção leva entre 2 e 60 dias e é disparada se uma ou mais das seguintes propriedades desconhecidas aparecerem durante uma entrada posterior: endereço IP/ASN, recurso de destino, agente do usuário, alteração de IP de hospedagem/não hospedagem, país do IP, tipo de credencial. Devido à natureza programática das entradas de identidade da carga de trabalho, fornecemos um carimbo de data/hora para a atividade suspeita em vez de sinalizar um evento de entrada específico. As entradas iniciadas após uma alteração de configuração autorizada podem disparar essa detecção. |
| Administrador confirmou que a entidade de serviço foi comprometida | Offline | Essa detecção indica que um administrador selecionou "Confirmar comprometida" na interface do usuário de Identidades de Carga de Trabalho Arriscadas ou usando a API riskyServicePrincipals. Para ver qual administrador confirmou que essa conta está comprometida, verifique o histórico de risco da conta (por meio da interface de usuário ou API). |
| Credenciais vazadas | Offline | Essa detecção de risco indica que as credenciais válidas da conta foram vazadas. Esse vazamento pode ocorrer quando alguém verifica as credenciais no artefato de código público no GitHub ou quando as credenciais são vazadas por meio de uma violação de dados. Quando o serviço de credenciais vazadas da Microsoft adquire credenciais do GitHub, da dark web, de sites de colagem ou de outras fontes, elas são verificadas em relação às credenciais válidas atuais no Microsoft Entra ID para encontrar correspondências válidas. |
| Aplicativo malicioso | Offline | Essa detecção combina alertas do ID Protection e do Microsoft Defender para Aplicativos de Nuvem para indicar quando a Microsoft desabilita um aplicativo por violar nossos termos de serviço. É recomendável realizar uma investigação do aplicativo. Observação: esses aplicativos exibem DisabledDueToViolationOfServicesAgreement na propriedade disabledByMicrosoftStatus nos tipos de recurso de aplicativo e entidade de serviço relacionados no Microsoft Graph. Para impedir que eles sejam instanciados em sua organização novamente no futuro, você não pode excluir esses objetos. |
| Aplicativo suspeito | Offline | Essa detecção indica que o ID Protection ou o Microsoft Defender para Aplicativos de Nuvem identificaram um aplicativo que pode estar violando nossos termos de serviço, mas não o desativaram. É recomendável realizar uma investigação do aplicativo. |
| Atividade de entidade de serviço anômala | Offline | Essa detecção de risco define a linha de base do comportamento normal da entidade de serviço no Microsoft Entra ID e detecta padrões anômalos de comportamento, como alterações suspeitas no diretório. A detecção é disparada na entidade de serviço administradora que está fazendo a alteração ou ao objeto que foi alterado. |
Identificar identidades de carga de trabalho arriscadas
As organizações podem encontrar identidades de carga de trabalho sinalizadas para risco em um dos dois locais:
- Entre no Centro de administração do Microsoft Entra como pelo menos Leitor de Segurança.
- Navegue até Proteção>Proteção de Identidade>Identidades da carga de trabalho de risco.
APIs do Microsoft Graph
Você também pode consultar identidades de carga de trabalho arriscadas usando a API do Microsoft Graph. Há duas novas coleções nas APIs do ID Protection.
riskyServicePrincipalsservicePrincipalRiskDetections
Exportar dados de risco
As organizações podem exportar dados definindo as configurações de diagnóstico no Microsoft Entra ID para enviar dados arriscados para um workspace do Log Analytics, arquivá-los em uma conta de armazenamento, transmiti-los para um hub de eventos ou enviá-los para uma solução SIEM.
Impor controles de acesso com acesso condicional com base em risco
Usando o Acesso Condicional para identidades de carga de trabalho, você pode bloquear o acesso a contas específicas que escolher quando o ID Protection as marcar como "em risco". A política pode ser aplicada a entidades de serviço de locatário único registradas em seu locatário. SaaS de terceiros, aplicativos multilocatários e identidades gerenciadas estão fora do escopo.
Para aprimorar a segurança e a resiliência das suas identidades de carga de trabalho, a CAE (Avaliação contínua de acesso) para identidades de carga de trabalho é uma ferramenta avançada que oferece a imposição instantânea das políticas de acesso condicional e qualquer sinal de risco detectado. As identidades de carga de trabalho de terceiros habilitadas para CAE que acessam recursos internos compatíveis com CAE são equipadas com LLTs (tokens de vida longa) de 24 horas que estão sujeitos a verificações de segurança contínuas. Veja a documentação da CAE para identidades de carga de trabalho para obter informações sobre como configurar clientes da identidade de carga de trabalho para a CAE e o escopo de recursos atualizado.
Investigar identidades de carga de trabalho arriscadas
OID Protection fornece às organizações dois relatórios que elas podem usar para investigar os riscos de identidade da carga de trabalho. Esses relatórios são as identidades de carga de trabalho arriscadas e as detecções de risco para identidades de carga de trabalho. Todos os relatórios permitem o download de eventos no formato CSV para análise adicional.
Algumas das principais perguntas a serem respondidas durante sua investigação incluem:
- As contas exibem atividades de entrada suspeitas?
- Houve alterações não autorizadas nas credenciais?
- Houve alterações de configuração suspeitas nas contas?
- A conta adquiriu funções de aplicativo não autorizadas?
O Guia de operações de segurança do Microsoft Entra para aplicativos fornece diretrizes detalhadas sobre as áreas de investigação acima.
Após determinar se a identidade da carga de trabalho foi comprometida, ignore o risco da conta ou confirme a conta como comprometida no relatório Identidades de carga de trabalho arriscadas. Você também pode selecionar "Desabilitar entidade de serviço" se quiser bloquear a conta de novas entradas.
Corrigir identidades de carga de trabalho arriscadas
- Credenciais de inventário atribuídas à identidade de carga de trabalho arriscada, seja para a entidade de serviço ou objetos do aplicativo.
- Adicionar uma credencial. A Microsoft recomenda usar os certificados x509.
- Remova as credenciais comprometidas. Se você acredita que a conta está em risco, recomendamos remover todas as credenciais existentes.
- Gire quaisquer segredos do Azure KeyVault aos quais a Entidade de Serviço tem acesso para corrigi-los.
O Kit de ferramentas do Microsoft Entra é um módulo do PowerShell que pode ajudá-lo a executar algumas dessas ações.