Configurar e habilitar as políticas de risco
Como aprendemos no artigo anterior, Políticas de acesso baseadas em risco, há dois tipos de políticas de risco no Acesso Condicional do Microsoft Entra que você pode configurar. Você pode usar essas políticas para automatizar a resposta aos riscos, permitindo que os usuários façam a correção automática quando o risco é detectado:
- Política de risco de entrada
- Política de risco do usuário
Escolhendo níveis de risco aceitáveis
As organizações devem decidir o nível de risco em que exigirão o controle de acesso sobre o balanceamento da experiência do usuário e da postura de segurança.
Optar pelo controle de acesso sobre um nível de risco Alto reduz o número de vezes que uma política é disparada e minimiza o conflito para os usuários. No entanto, isso exclui os riscos Baixo e Médio da política, o que talvez não impeça que um invasor explore uma identidade comprometida. Selecionar um nível de risco Baixo para exigir o controle de acesso introduz mais interrupções do usuário.
Os locais de rede confiáveis configurados são usados pelo Identity Protection em algumas detecções de risco para reduzir os falsos positivos.
As configurações de política a seguir incluem o controle de sessão de frequência de entrada exigindo uma reautenticação para entradas e usuários suspeitos.
Correção de risco
As organizações podem optar por bloquear o acesso quando o risco é detectado. Às vezes, o bloqueio impede que usuários legítimos façam o que precisam. Uma solução melhor é permitir a auto-correção usando a autenticação multifator do Microsoft Entra e a alteração segura de senha.
Aviso
Os usuários devem registrar-se para a autenticação multifator do Microsoft Entra antes de enfrentarem uma situação que exija correção. Para usuários híbridos sincronizados do local para a nuvem, o write-back de senha precisa ter sido habilitado neles. Os usuários não registrados são bloqueados e exigem a intervenção do administrador.
A alteração de senha (Eu sei minha senha e quero alterá-la para outra) fora do fluxo de correção da política de usuário suspeito não atende ao requisito de alteração segura de senha.
Recomendação da Microsoft
A Microsoft recomenda as seguintes configurações de política de risco para proteger sua organização:
- Política de risco do usuário
- Exigir uma alteração segura de senha quando o nível de risco do usuário for Alto. A autenticação multifator do Microsoft Entra é necessária antes que o usuário possa criar uma nova senha com o write-back de senha para corrigir seu risco.
- Política de risco de entrada
- Exigir a autenticação multifator do Microsoft Entra quando o nível de risco de entrada for Médio ou Alto, permitindo que os usuários provem que são eles usando um dos seus métodos de autenticação registrados, corrigindo o risco de entrada.
Exigir o controle de acesso quando o nível de risco é baixo introduz mais conflito e interrupções do usuário do que os médios ou altos. Bloquear o acesso em vez de permitir opções de correção automática, como alteração segura de senha e autenticação multifator, terá impacto em seus usuários e administradores. Avalie essas opções ao configurar suas políticas.
Exclusões
As políticas permitem a exclusão de usuários, como suas contas de administrador de acesso de emergência ou em situação crítica. As organizações talvez precisem excluir outras contas de políticas específicas de acordo com a maneira como as contas são usadas. As exclusões devem ser examinadas regularmente para ver se ainda são aplicáveis.
Habilitar políticas
As organizações podem implantar políticas baseadas em risco no Acesso Condicional usando as etapas a seguir ou usando os modelos de Acesso Condicional.
Antes de habilitar políticas de correção, as organizações devem investigar e corrigir os riscos ativos.
Política de risco do usuário no Acesso Condicional
- Entre no centro de administração do Microsoft Entra como pelo menos Administrador de acesso condicional.
- Navegue até Proteção>Acesso Condicional.
- Selecione Nova política.
- Dê um nome à sua política. Recomendamos que as organizações criem um padrão significativo para os nomes de suas políticas.
- Em Atribuições, selecione Usuários ou identidades de carga de trabalho.
- Em Incluir, selecione Todos os usuários.
- Em Excluir, selecione Usuários e grupos e escolha o acesso de emergência ou as contas de interrupção da sua organização.
- Selecione Concluído.
- Em Aplicativos ou ações de nuvem>Incluir, selecione Todos os aplicativos de nuvem.
- Em Condições>Risco do usuário, defina Configurar como Sim.
- Em Configurar os níveis de risco do usuário necessários para que a política seja imposta, selecione Alta. (Essas diretrizes são baseadas em recomendações da Microsoft e podem ser diferentes para cada organização)
- Selecione Concluído.
- Em Controles de acesso>Conceder.
- Selecione Conceder acesso, Exigir autenticação multifator e Exigir alteração de senha.
- Selecione Selecionar.
- Em Sessão.
- Selecione Frequência de entrada.
- Verifique se Sempre está selecionado.
- Selecione Selecionar.
- Confirme suas configurações e defina Habilitar política com Somente relatório.
- Selecione Criar para criar e habilitar sua política.
Depois que os administradores confirmarem as configurações com o modo somente relatório, eles poderão alternar a opção Habilitar política de Somente relatório para Ativado.
Política de risco de entrada no Acesso Condicional
- Entre no centro de administração do Microsoft Entra como pelo menos Administrador de acesso condicional.
- Navegue até Proteção>Acesso Condicional.
- Selecione Nova política.
- Dê um nome à sua política. Recomendamos que as organizações criem um padrão significativo para os nomes de suas políticas.
- Em Atribuições, selecione Usuários ou identidades de carga de trabalho.
- Em Incluir, selecione Todos os usuários.
- Em Excluir, selecione Usuários e grupos e escolha o acesso de emergência ou as contas de interrupção da sua organização.
- Selecione Concluído.
- Em Aplicativos ou ações de nuvem>Incluir, selecione Todos os aplicativos de nuvem.
- Em Condições>Risco de entrada, defina Configurar como Sim. Abaixo de Selecionar o nível de risco de entrada ao qual essa política será aplicada. (Essas diretrizes são baseadas em recomendações da Microsoft e podem ser diferentes para cada organização)
- Selecione Alto e Médio.
- Selecione Concluído.
- Em Controles de acesso>Conceder.
- Selecione Conceder acesso, Exigir autenticação multifator.
- Selecione Selecionar.
- Em Sessão.
- Selecione Frequência de entrada.
- Verifique se Sempre está selecionado.
- Selecione Selecionar.
- Confirme suas configurações e defina Habilitar política com Somente relatório.
- Selecione Criar para criar e habilitar sua política.
Depois que os administradores confirmarem as configurações com o modo somente relatório, eles poderão alternar a opção Habilitar política de Somente relatório para Ativado.
Migrar políticas de risco para o Acesso Condicional
Aviso
As políticas de risco herdadas e configuradas no Microsoft Entra ID Protection serão desativadas em 1º de outubro de 2026.
Se você tiver políticas de risco habilitadas no Microsoft Entra ID, planeje migrá-las para o Acesso Condicional:
Migração para o Acesso Condicional
- Crie uma política equivalentebaseada em risco de usuário e baseada em risco de entrada no Acesso Condicional no modo somente relatório. Você pode criar uma política com as etapas anteriores ou usando modelos do Acesso Condicional de acordo com as recomendações da Microsoft e os requisitos organizacionais.
- Verifique se a nova política de risco de acesso condicional funciona conforme o esperado, testando-a no modo somente relatório.
- Habilite a nova política de risco de acesso condicional. Você pode optar por fazer com que ambas as políticas sejam executadas lado a lado para confirmar se as novas políticas estão funcionando conforme o esperado antes de desativar as políticas de risco do ID Protection.
- Navegue de volta para Proteção>Acesso Condicional.
- Selecione essa nova política para editá-la.
- Defina Habilitar política como Ativar para habilitar a política
- Desabilite as políticas de risco antigas no ID Protection.
- Navegue até Proteção>Proteção de Identidade> Selecione a política de Risco de usuário ou Risco de entrada.
- Defina Impor política como Desabilitado
- Crie outras políticas de risco, se necessário, no Acesso Condicional.