Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
A Microsoft recomenda que as organizações bloqueiem as solicitações de autenticação que usam protocolos herdados que não dão suporte à autenticação multifator. Com base na análise da Microsoft, mais de 97% dos ataques de preenchimento de credenciais usam autenticação herdada e mais de 99% dos ataques de pulverização de senhas usam protocolos de autenticação herdados. Esses ataques parariam com a autenticação básica desabilitada ou bloqueada.
Clientes sem licenças que incluem Acesso Condicional podem usar padrões de segurança para bloquear a autenticação herdada.
Exclusões de usuários
As políticas de Acesso Condicional são ferramentas avançadas. É recomendável excluir as seguintes contas de suas políticas:
-
Acesso de emergência ou contas quebra-galho para impedir o bloqueio devido à configuração incorreta das políticas de acesso. No cenário improvável em que todos os administradores estão bloqueados, sua conta administrativa de acesso de emergência pode ser usada para entrar e recuperar o acesso.
- Mais informações podem ser encontradas no artigo, Gerenciar contas de acesso de emergência na ID do Microsoft Entra.
-
Contas de serviço e Principais de serviço, como a Conta de Sincronização do Microsoft Entra Connect. As contas de serviço são contas não interativas que não estão vinculadas a nenhum usuário específico. Normalmente, eles são usados por serviços de back-end para permitir acesso programático a aplicativos, mas também são usados para entrar em sistemas para fins administrativos. As chamadas feitas por entidades de serviço não são bloqueadas pelas políticas de Acesso Condicional com escopo para os usuários. Use o Acesso Condicional para identidades de carga de trabalho para definir políticas direcionadas às entidades de serviço.
- Se sua organização usar essas contas em scripts ou código, substitua-as por identidades gerenciadas.
Implantação de modelo
As organizações podem implantar essa política seguindo as etapas descritas abaixo ou usando os modelos de Acesso Condicional.
Criar uma política de Acesso Condicional
As etapas a seguir ajudam a criar uma política de Acesso Condicional para o bloqueio de solicitações de autenticação herdada. Para iniciar, essa política é colocada no modo somente relatório para que os administradores possam determinar o impacto que têm sobre os usuários existentes. Quando os administradores estiverem confortáveis de que a política se aplique conforme pretendam, eles poderão alternar para Ativar ou preparar a implantação adicionando grupos específicos e excluindo outros.
- Entre no Centro de administração do Microsoft Entra como pelo menos um Administrador de Acesso Condicional.
- Navegue até ID do Entra>Acesso Condicional>Políticas.
- Selecione Nova política.
- Dê um nome à sua política. Recomendamos que as organizações criem um padrão significativo para os nomes de suas políticas.
- Em Atribuições, selecione Usuários ou identidades de carga de trabalho.
- Em Incluir, selecione Todos os usuários.
- Em Excluir, selecione Usuários e grupos e escolha as contas que devem manter a capacidade de usar a autenticação herdada. A Microsoft recomenda que você exclua pelo menos uma conta para evitar que você seja bloqueado devido a uma configuração incorreta.
- Em Recursos de destino>(anteriormente aplicativos de nuvem)>Incluir, selecione Todos os recursos (anteriormente 'Todos os aplicativos de nuvem').
- Em Condições>, para aplicativos cliente, defina Configurar como Sim.
- Marque apenas as caixas clientes do Exchange ActiveSync e outros clientes.
- Selecione Concluído.
- Em Controles de acesso>Permissões, selecione Bloquear acesso.
- Selecione Selecionar.
- Confirme suas configurações e defina Habilitar política para Somente relatório.
- Selecione Criar para criar para habilitar sua política.
Depois de confirmar suas configurações usando o impacto da política ou o modo somente relatório, mova a alternância habilitar a política de somente relatório para Ativar.
Observação
As políticas de Acesso Condicional são impostas após a conclusão do primeiro fator de autenticação. O Acesso Condicional não se destina à primeira linha de defesa de uma organização para cenários como ataques de DoS (negação de serviço), mas pode usar sinais desses eventos para determinar o acesso.
Identificar o uso da autenticação herdada
Para saber se seus usuários têm aplicativos clientes que usam autenticação herdada, os administradores podem verificar se há indicadores nos logs de entrada com as seguintes etapas:
- Entre no Centro de administração do Microsoft Entra como pelo menos um Leitor de Relatórios.
- Navegue até Entra ID>Monitoramento e integridade>Logs de entrada.
- Adicione a coluna Aplicativo Cliente se ela não for mostrada clicando noAplicativo Cliente>.
- Selecione Adicionar filtros>Aplicativo Cliente>, escolha todos os protocolos de autenticação herdados e selecione Aplicar.
- Execute também estas etapas na guia Entradas do usuário (não interativas ).
A filtragem mostra as tentativas de entrada feitas por protocolos de autenticação herdados. Clique em cada tentativa de entrada individual para ver mais detalhes. O campo Aplicativo Cliente na guia Informações Básicas indica qual protocolo de autenticação herdado foi usado. Esses logs indicam usuários que estão usando clientes que dependem de autenticação herdada.
Além disso, para auxiliar na avaliação da autenticação herdada no seu locatário, use a Pasta de trabalho de logins usando autenticação herdada.