Segurança do Microsoft 365: sete configurações que valem uma revisão no seu tenant

Um roteiro para revisar identidade, autenticação legada, administradores, consentimento de aplicativos, compartilhamento externo, e-mail e auditoria no Microsoft 365, separando o que a Microsoft já liga por padrão do que depende de uma decisão sua.

10 min de leitura

O Microsoft 365 entrega muita proteção pronta, e a Microsoft vem endurecendo os padrões a cada ano. Mesmo assim, parte importante da segurança depende de decisões que só a sua empresa pode tomar: quem é administrador, quais aplicativos podem ler os e-mails dos colaboradores, com quem os arquivos podem ser compartilhados e por quanto tempo os registros de auditoria ficam guardados.

Este guia percorre as sete áreas que mais pesam nessa conta. Para cada uma, mostramos o que já vem ligado, o que vale conferir e onde fica a configuração, para que o seu time faça a revisão com calma e com base na documentação oficial.

Resumo rápido

• Comece pelo Microsoft Secure Score, que mostra no portal do Microsoft Defender as ações recomendadas para o seu tenant.
• Garanta MFA para todos e bloqueie a autenticação legada, com os security defaults ou com políticas de Conditional Access (que exigem Microsoft Entra ID P1).
• Restrinja o consentimento de aplicativos OAuth e o compartilhamento por links "Anyone", dois caminhos comuns de vazamento que não dependem de senha roubada.
• Confira o encaminhamento automático de e-mail, as políticas do Defender for Office 365 e a retenção da auditoria, que é de 180 dias no Audit (Standard).

Comece pelo Microsoft Secure Score

O Microsoft Secure Score é a medida de postura de segurança da sua organização no portal do Microsoft Defender. Quanto mais ações recomendadas você adota, maior a nota. Cada recomendação mostra o que fazer, o impacto para o usuário e quantos pontos vale, e a própria Microsoft lembra que a nota não é uma medida absoluta da chance de invasão, e sim do quanto os controles disponíveis estão em uso.

Na prática, ele é um ótimo ponto de partida para priorizar: as recomendações de identidade costumam ser as que mais reduzem risco com menos esforço.

1. MFA para todos: security defaults ou Conditional Access

A autenticação multifator (MFA) é a proteção de maior impacto contra roubo de senha. No Microsoft Entra ID há dois caminhos para exigi-la:

• Security defaults. Gratuitos e sem personalização. Exigem que todos os usuários se registrem para MFA, exigem MFA dos administradores, pedem MFA dos usuários quando necessário, bloqueiam protocolos de autenticação legada e protegem atividades privilegiadas, como o acesso ao portal do Azure. Tenants criados a partir de 22 de outubro de 2019 podem já estar com eles ligados.
• Conditional Access. Exige pelo menos Microsoft Entra ID P1 e permite políticas por usuário, aplicativo, local, risco e estado do dispositivo. Para usá-lo, os security defaults precisam ser desligados, e a Microsoft recomenda colocar no lugar, de imediato, políticas equivalentes, como as políticas de Conditional Access gerenciadas pela Microsoft e os modelos da categoria "secure foundations".

Um cuidado vale para os dois caminhos: a Microsoft recomenda manter duas contas de acesso de emergência, somente na nuvem, com a função de Global Administrator, para o caso de todos os administradores ficarem bloqueados. Elas precisam ser criadas e protegidas seguindo as recomendações específicas para contas de emergência.

2. Autenticação legada: a porta que ignora o MFA

Autenticação legada é a que vem de clientes sem autenticação moderna ou de protocolos antigos de e-mail, como IMAP, POP3 e SMTP. Ela não suporta MFA. Por isso, mesmo com MFA exigido, um atacante com a senha correta pode tentar entrar por esses protocolos.

No Exchange Online, a Microsoft já desligou a Basic authentication para Exchange ActiveSync, POP, IMAP, EWS, Remote PowerShell, OAB, Autodiscover e Outlook. A exceção que ainda merece atenção é o SMTP AUTH, usado por impressoras multifuncionais, sistemas e scripts que enviam e-mail. A Microsoft anunciou a aposentadoria da Basic authentication também no SMTP AUTH e atualizou o cronograma mais de uma vez, então vale conferir o comunicado mais recente e mapear agora quem envia e-mail dessa forma.

Para bloquear a autenticação legada no Entra ID, use os security defaults ou a política de Conditional Access "Block legacy authentication". Antes de ligar, confira nos logs de entrada quem ainda depende desses protocolos, para não interromper um sistema importante.

3. Administradores: poucos, com privilégio na medida

Uma conta de administrador comprometida vale mais para o atacante do que dezenas de contas comuns. As práticas recomendadas pela Microsoft são diretas:

• Menos de cinco Global Administrators. Se houver cinco ou mais, o próprio Entra ID exibe um alerta na página de visão geral.
• Menor privilégio. Use funções específicas, como Exchange Administrator, SharePoint Administrator ou Helpdesk Administrator, em vez de Global Administrator para tarefas do dia a dia.
• Contas separadas. O administrador usa uma conta para administrar e outra para o trabalho cotidiano, de preferência contas somente na nuvem, e não sincronizadas do Active Directory local.
• Acesso just-in-time. Com o Microsoft Entra Privileged Identity Management (PIM), a pessoa fica elegível para a função e a ativa só quando precisa, por tempo limitado. O PIM exige Microsoft Entra ID P2 ou Microsoft Entra ID Governance.

4. O golpe do "Permitir acesso": consentimento de aplicativos OAuth

O MFA não protege contra tudo. No chamado consent phishing, o colaborador recebe um link legítimo da Microsoft pedindo que ele autorize um aplicativo a "ler seus e-mails". Se ele clicar em aceitar, o aplicativo ganha um token de acesso à caixa dele, sem precisar da senha.

Por padrão, o Entra ID permite que todos os usuários consintam com aplicativos para permissões que não exigem aprovação de administrador. Um exemplo dado pela própria Microsoft: o usuário pode autorizar um app a acessar a caixa de correio dele. Para reduzir esse risco:

• Em Enterprise apps, Consent and permissions, User consent settings, escolha "Allow user consent for apps from verified publishers, for selected permissions", que é a recomendação da Microsoft, ou desligue o consentimento de usuários.
• Ligue o admin consent workflow, para que o usuário possa pedir a aprovação de um administrador em vez de ficar sem saída.
• Revise os consentimentos já concedidos. Mudar a configuração vale só para consentimentos futuros. Os aplicativos que já receberam permissão continuam com ela até alguém revogar.

5. Compartilhamento externo no SharePoint e no OneDrive

O SharePoint e o OneDrive têm quatro níveis de compartilhamento externo na organização: Anyone, New and existing guests, Existing guests e Only people in your organization. O OneDrive pode ser mais restritivo que o SharePoint, mas nunca mais permissivo, e cada site pode ser igual ou mais restritivo que a organização.

O ponto de atenção é o nível Anyone. Com ele, qualquer colaborador pode gerar um link que abre o arquivo para quem tiver o endereço, sem autenticação. Dependendo de como o tenant foi configurado, o link Anyone pode ser o tipo sugerido por padrão e pode permitir edição, e não só leitura. Um contrato ou uma planilha pode circular sem que ninguém perceba.

Se o seu negócio precisa de links Anyone, dá para manter a conveniência com salvaguardas:

• Prazo de expiração em "These links must expire within this many days".
• Somente visualização para links Anyone de arquivos e pastas.
• Tipo de link padrão em "Only people in your organization" ou "Specific people", para que o link aberto ao público seja sempre uma escolha consciente.
• Restrição por site, liberando Anyone só onde faz sentido, e lista de domínios permitidos ou bloqueados quando o compartilhamento é com parceiros conhecidos.
• Expiração do acesso de convidados, para que acessos antigos não fiquem esquecidos.

6. E-mail: Defender for Office 365 e encaminhamento automático

Toda caixa de correio na nuvem já conta com proteções nativas contra malware, spam e phishing por falsificação de remetente. O Microsoft Defender for Office 365 acrescenta camadas:

• Plan 1, incluído em assinaturas como o Microsoft 365 Business Premium: Safe Links, Safe Attachments (também para SharePoint, OneDrive e Teams) e proteção contra personificação de usuários e domínios.
• Plan 2, incluído em assinaturas como o Microsoft 365 E5: soma Threat Explorer, Attack simulation training e investigação e resposta automatizadas (AIR).

As preset security policies (Standard e Strict) aplicam de uma vez as configurações recomendadas pela Microsoft, e a política Built-in protection já liga uma proteção básica de Safe Links e Safe Attachments em organizações com licenças do Defender for Office 365. Para completar, configure SPF, DKIM e DMARC nos seus domínios, inclusive nos que não enviam e-mail.

O encaminhamento automático para fora da empresa merece um olhar específico, porque é um caminho clássico de desvio de mensagens depois que uma conta é comprometida. Ele é controlado na política de outbound spam, que tem três opções. O padrão, "Automatic - System-controlled", passou a equivaler a desligado em 2021 para organizações novas, mas pode continuar ligado em organizações que já o usavam. Por isso a própria Microsoft recomenda definir explicitamente "Off - Forwarding is disabled" ou "On - Forwarding is enabled". Se alguns usuários precisam encaminhar para parceiros, use remote domains para liberar só esses destinos. O relatório "Auto forwarded messages" mostra quem está encaminhando hoje.

7. Auditoria: saber o que aconteceu, e por quanto tempo

Se alguém criar uma regra de caixa de entrada para desviar mensagens, você precisa conseguir ver quem fez, quando e de onde. Três pontos para conferir:

• Mailbox auditing. Fica ligado por padrão em todas as organizações e registra ações como a criação ou alteração de regras de caixa de entrada (UpdateInboxRules). Para confirmar, rode no Exchange Online PowerShell Get-OrganizationConfig | Format-List AuditDisabled: o valor False indica que a auditoria por padrão está ativa. Contas configuradas com bypass de auditoria não geram registros, então vale verificar se existem.
• Retenção. No Audit (Standard), os registros gerados a partir de 17 de outubro de 2023 ficam 180 dias. No Audit (Premium), uma política padrão guarda por um ano os registros de Exchange Online, SharePoint, OneDrive e Microsoft Entra de usuários com licença E5 ou equivalente, e um add-on permite chegar a 10 anos.
• Investigação. Muitos incidentes são descobertos meses depois. Se a sua licença guarda 180 dias e você precisa de mais, envie os registros para um SIEM ou para um armazenamento com a retenção que a sua política exige.

Resumo das configurações

Como a Lavineda pode ajudar

Muitas dessas mudanças afetam o dia a dia dos usuários, e a ordem importa: bloquear a autenticação legada antes de mapear quem depende dela, por exemplo, pode parar uma impressora ou um sistema de faturamento. Por isso costumamos trabalhar junto com o time de TI do cliente, revisando o tenant, propondo um plano em etapas e acompanhando cada mudança.

Você encontra mais sobre a plataforma na página de Microsoft 365. Se preferir que o acompanhamento contínuo da segurança fique com a nossa equipe, veja como funciona o Cyber Care.

Fontes

• Microsoft Secure Score
• Security defaults in Microsoft Entra ID
• Block legacy authentication with Conditional Access
• Deprecation of Basic authentication in Exchange Online
• Best practices for Microsoft Entra roles
• Manage emergency access accounts in Microsoft Entra ID
• Configure how users consent to applications
• Configure the admin consent workflow
• Manage sharing settings for SharePoint and OneDrive
• Best practices for unauthenticated sharing
• Why do I need Microsoft Defender for Office 365?
• Preset security policies
• Control external email forwarding
• Manage mailbox auditing
• Manage audit log retention policies

O próximo passo

Se você quer uma segunda opinião sobre o seu tenant, a conversa de diagnóstico gratuita é um bom começo. Você conta como o Microsoft 365 é usado na sua empresa, nós revisamos as configurações com você e saímos com um retorno honesto e os próximos passos, sem compromisso.