Cenário de implantação do Microsoft Entra – Proteger o acesso à Internet de acordo com as necessidades comerciais

Artigo
11/25/2024

Os cenários de implantação do Microsoft Entra apresentam diretrizes detalhadas sobre como combinar e testar estes produtos da Suíte do Microsoft Entra:

Nestes guias, descrevemos cenários que mostram o valor da Suíte do Microsoft Entra e como as funcionalidades dele trabalham em conjunto.

Introdução aos cenários de implantação do Microsoft Entra
Cenário de implantação do Microsoft Entra – integração da força de trabalho e convidados, identidade e governança do ciclo de vida de acesso em todos os seus aplicativos
Cenário de implantação do Microsoft Entra – Modernizar o acesso remoto a aplicativos locais com a MFA por aplicativo

Visão geral do cenário

Neste guia, descrevemos como configurar os produtos do Suíte do Microsoft Entra para um cenário em que a organização fictícia, a Contoso, tem políticas rígidas de conectividade com a Internet e deseja controlar o acesso à Internet de acordo com os requisitos comerciais.

Em um cenário de exemplo para o qual descrevemos como configurar sua solução, um usuário do departamento de Marketing requer acesso a sites de redes sociais que a Contoso proíbe para todos os usuários. Os usuários podem solicitar acesso em Meus Acessos. Após a aprovação, eles se tornam membros de um grupo que lhes concede acesso a sites de redes sociais.

Em outro exemplo de cenário e solução correspondente, um analista de SOC precisa acessar um grupo de destinos de alto risco na Internet por um período específico para investigar um incidente. O analista do SOC pode fazer essa solicitação em Meus Acessos. Após a aprovação, eles se tornam membros de um grupo que lhes concede acesso a destinos de Internet de alto risco.

Você pode replicar essas etapas de alto nível para a solução Contoso, conforme descrito neste cenário.

Inscreva-se para o Suíte do Microsoft Entra. Habilite e defina o Acesso à Internet do Microsoft Entra para configurações de segurança e rede desejadas.
Implante clientes do Acesso Global Seguro da Microsoft nos dispositivos dos usuários. Habilitar o Acesso à Internet do Microsoft Entra.
Crie um perfil de segurança e políticas de filtro de conteúdo da web com uma política de linha de base restritiva que bloqueie as categorias e destinos da Web específicos para todos os usuários.
Crie um perfil de segurança e políticas de filtragem de conteúdo da Web que permitam o acesso a sites de redes sociais.
Crie um perfil de segurança que habilite a categoria da Web hacking.
Use o Microsoft Entra ID Governance para permitir que os usuários que solicitam acesso acessem pacotes como:
- Os usuários do departamento de marketing podem solicitar acesso a sites de redes sociais com uma revisão de acesso trimestral.
- Os membros da equipe SOC podem solicitar acesso a destinos de internet de alto risco com um limite de tempo de oito horas.
Crie e vincule duas políticas de Acesso Condicional usando o controle de sessão de perfil de segurança do Acesso Global Seguro. Escopo da política para grupos de usuários para imposição.
Confirme se o tráfego é concedido adequadamente com logs de tráfego no Acesso Global Seguro. Verifique se os usuários do departamento de marketing podem acessar o pacote de acesso no portal Meus Acessos.

Estes são os benefícios de usar essas soluções em conjunto:

Acesso de privilégios mínimos a destinos da Internet. Reduzir o acesso aos recursos da Internet para apenas o que o usuário precisa para sua função no trabalho por meio do ciclo de entrada/mudança/saída. Essa abordagem reduz o risco de comprometimento do usuário final e do dispositivo.
Gerenciamento simplificado e unificado. Gerencie funções de rede e segurança de um único console baseado em nuvem, reduzindo a complexidade e o custo de manutenção de várias soluções e dispositivos.
Segurança e visibilidade aprimoradas. Aplique políticas de acesso granulares e adaptáveis com base na identidade e no contexto do usuário e do dispositivo, bem como na sensibilidade e no local do aplicativo e dos dados. Os registros e a análise aprimorados fornecem insights sobre a postura da rede e da segurança para detectar e responder mais rapidamente às ameaças.
Melhoria da experiência e da produtividade do usuário. Forneça acesso rápido e contínuo aos aplicativos e recursos necessários sem comprometer a segurança ou o desempenho.

Requisitos

Esta seção define os requisitos para a solução do cenário.

Permissões

Os administradores que interagem com os recursos do Acesso Global Seguro exigem as funções Administrador do Acesso Global Seguro e Administrador de Aplicativos.

A configuração de política de AC (Acesso Condicional) requer a função de Administrador de Acesso Condicional ou Administrador de Segurança. Alguns recursos podem exigir mais funções.

A configuração de Governança de Identidade requer pelo menos a função Administrador de governança de identidade.

Licenças

Para implementar todas as etapas neste cenário, você precisa de licenças do Acesso Global Seguro e do Microsoft Entra ID Governance. Você pode adquirir licenças ou obter licenças de avaliação. Para saber mais sobre o licenciamento do Acesso Global Seguro, consulte a seção de licenciamento O que é o Acesso Global Seguro?.

Pré-requisitos de usuários e dispositivos

Para implantar e testar esse cenário com sucesso, configure para esses pré-requisitos:

Locatário do Microsoft Entra com licença Microsoft Entra ID P1. Adquira licenças ou obtenha licenças de avaliação.
- Um usuário com pelo menos as funções Administrador do Acesso Global Seguro e Administrador de aplicativos para configurar o Security Service Edge da Microsoft
- Pelo menos um usuário como usuário de teste do cliente em seu locatário
Um dispositivo cliente Windows com esta configuração:
- Windows 10/11 com versão de 64 bits
- Com ingresso híbrido ou ingressado no Microsoft Entra
- Internet conectada
Baixe e instale o cliente do Acesso Global Seguro no dispositivo cliente. O artigo Cliente de Acesso Global Seguro para Windows descreve os pré-requisitos e a instalação.

Configurar o Acesso Global Seguro

Nesta seção, ativamos o Acesso Global Seguro por meio do Centro de administração do Microsoft Entra. Em seguida, configuramos as configurações iniciais necessárias para o cenário.

Entre no centro de administração do Microsoft Entra como Administrador global.
Navegue até Acesso Global Seguro>Introdução>Ativar o Acesso Global Seguro no seu locatário. Selecione Ativar para habilitar recursos do SSE.
Navegue até Acesso Seguro Global>Conectar>Encaminhamento de tráfego. Ative o Perfil de acesso privado. O encaminhamento de tráfego permite que você configure o tipo de tráfego para túnel por meio dos serviços da solução Security Service Edge da Microsoft. Configure perfis de encaminhamento de tráfego para gerenciar tipos de tráfego.
- O perfil de acesso do Microsoft 365 é para o Microsoft Entra Internet Access para Microsoft 365.
- O Perfil de acesso privado é para Acesso Privado do Microsoft Entra.
- O perfil de acesso à Internet é para o Acesso à Internet do Microsoft Entra. A solução Security Service Edge da Microsoft captura apenas o tráfego em dispositivos cliente com instalação do Cliente de Acesso Global Seguro.

Instalar o cliente de Acesso Global Seguro

O Acesso à Internet do Microsoft Entra para Microsoft 365 e o Acesso Privado do Microsoft Entra usam o cliente do Acesso Global Seguro em dispositivos Windows. Esse cliente adquire e encaminha o tráfego para a solução Security Service Edge da Microsoft. Execute estas etapas de instalação e configuração:

Verifique se o dispositivo Windows tem ingresso híbrido ou foi ingressado no Microsoft Entra.
Entre no dispositivo Windows com um usuário do Microsoft Entra com privilégios de administrador local.
Entre no Centro de administração do Microsoft Entra como pelo menos um Administrador de Acesso Global Seguro
Navegue até Acesso Global Seguro>Conectar>Download de Cliente. Selecione Baixar cliente. Conclua a instalação.
Na barra de tarefas do Windows, o Cliente de Acesso Global Seguro aparece primeiro como desconectado. Após alguns segundos, quando as credenciais forem solicitadas, insira as credenciais do usuário de teste.
Na barra de tarefas do Windows, passe o mouse sobre o ícone do Cliente de Acesso Global Seguro e verifique o status Conectado.

Criar grupos de segurança

Nesse cenário, usamos dois grupos de segurança para atribuir perfis de segurança usando políticas de acesso condicional (CA). No centro de administração do Microsoft Entra, crie grupos de segurança com estes nomes:

Acesso à Internet -- Permitir sites de redes sociais = Acesso à Internet -- Permitir sites de hacking

Não adicione nenhum membro a esses grupos. Mais adiante neste artigo, configuraremos a Governança de identidade para adicionar membros mediante solicitação.

Bloquear o acesso com o perfil de linha de base

Nesta seção, bloqueamos o acesso a sites inadequados para todos os usuários da organização com um perfil de linha de base.

Criar uma política de linha de base de filtragem da Web

Entre no Centro de administração do Microsoft Entra como pelo menos um Administrador de Acesso Global Seguro
Navegue até Acesso Global Seguro>Segurança>Políticas de filtragem de conteúdo da Web>Criar política>Configurar filtragem de conteúdo do Acesso Global Seguro.
Em Criar uma política de filtragem de conteúdo da Web>Noções básicas, preencha estes campos:
- Nome: regra de bloqueio de acesso à Internet da linha de base
- Descrição: adicione uma descrição
- Ação: bloquear
Selecione Avançar.
Em Criar uma política de filtragem de conteúdo da Web>Regras de Política, selecione Adicionar Regra.
Em Adicionar Regra, preencha estes campos:
- Nome: categorias da Web bloqueadas pela linha de base
- Tipo de destino: webCategory
Pesquisa: selecione as seguintes categorias. Confirme se eles estão em Itens selecionados.
- Álcool e Tabaco
- Atividade criminosa
- Jogos de azar
- Pirataria
- Software ilegal
- Redes sociais
Selecione Adicionar.
Em Criar uma política de filtragem de conteúdo da Web>Regras de Política, confirme suas seleções.
Selecione Avançar.
Em Criar uma política de filtragem de conteúdo da Web>Revisar, confirme a configuração da política.
Selecione Criar política.
Para confirmar a criação da política, encontre-a em Gerenciar políticas de filtragem de conteúdo da Web.

Configurar o perfil de segurança de linha de base

Entre no Centro de administração do Microsoft Entra como pelo menos um Administrador de Acesso Global Seguro
Navegue até Acesso Seguro Global>Proteger>Perfis de segurança.
Selecione Perfil Linha de base.
Em Básico, defina o Estado como habilitado.
Selecione Salvar.
Em Editar Perfil Linha de base, selecione Políticas de link. Selecione Vincular uma política. Selecione Política existente. Preencha estes campos:
- Vincular uma política: selecione Nome da política e Regra de bloqueio de acesso à Internet da linha de base
- Prioridade: 100
- Estado: Habilitado
Selecione Adicionar.
Em Criar um perfil>Vincular políticas, confirme se a Regra de Bloqueio de Acesso à Internet da Linha de Base está listada.
Feche o perfil de segurança de linha de base.

Nesta seção, criamos um perfil de segurança que permite acesso a sites de rede social para usuários que o solicitam.

Entre no Centro de administração do Microsoft Entra como pelo menos um Administrador de Acesso Global Seguro
Navegue até Acesso Global Seguro>Segurança>Políticas de filtragem de conteúdo da Web>Criar política>Configurar filtragem de conteúdo do Acesso Global Seguro.
Em Criar uma política de filtragem de conteúdo da Web>Noções básicas, preencha estes campos:
- Nome: Permitir sites de Redes sociais
- Descrição: adicione uma descrição
- Ação: Permitir
Selecione Avançar.
Em Criar uma política de filtragem de conteúdo da Web>Regras de Política, selecione Adicionar Regra.
Em Adicionar Regra, preencha estes campos:
- Nome: Redes sociais
- Tipo de destino: webCategory
- Pesquisa: Social
Selecionar Redes Sociais
Selecione Adicionar.
Em Criar uma política de filtragem de conteúdo da Web>Regras de Política, selecione Avançar.
Em Criar uma política de filtragem de conteúdo da Web>Revisar, confirme a configuração da política.
Selecione Criar política.
Para confirmar a criação da política, encontre-a em Gerenciar políticas de filtragem de conteúdo da Web.

Entre no Centro de administração do Microsoft Entra como pelo menos um Administrador de Acesso Global Seguro
Navegue até Acesso Seguro Global>Proteger>Perfis de segurança. Selecione Criar Perfil.
Em Criar um perfil>básico, preencha estes campos:
- Nome do perfil: Permitir sites de Redes sociais
- Descrição: adicione uma descrição
- Estado: Habilitado
- Prioridade: 1000
Selecione Avançar.
Em Criar um perfil>Políticas de link, selecione Vincular uma política.
Selecione Política existente.
Em Vincular uma política, preencha estes campos:
- Nome da política: Permitir Redes sociais
- Prioridade: 1000
- Estado: Habilitado
Selecione Adicionar.
Em Criar um perfil>Vincular políticas, confirme que Permitir redes sociais está listado.
Selecione Avançar.
Em Criar um perfil>Revisar, confirme a configuração do perfil.
Selecione Criar um perfil.

Nesta seção, criamos uma política de Acesso condicional (CA) que impõe o perfil de segurança Permitir redes sociais para os usuários que solicitam acesso.

Entre no centro de administração do Microsoft Entra como pelo menos Administrador de acesso condicional.
Navegar para Proteção> de acesso condicional de >Políticas.
Selecione Nova política.
Em Nova política de acesso condicional, preencha estes campos:
- Nome: Acesso à Internet – Permitir sites de Redes Sociais
- Usuários ou identidades de carga de trabalho: usuários específicos incluídos
- A que se aplica esta política? Usuários e grupos
- Incluir>Selecionar usuários e grupos> Usuários e grupos
Selecione seu grupo de teste (como Acesso à Internet – Permitir sites de Redes Sociais). Escolha Selecionar.
Recursos de destino
- Selecione o que essa política se aplica ao> Acesso Global Seguro
- Selecione os perfis de tráfego aos quais esta política se aplica>Tráfego da internet
Deixe Conceder em suas configurações padrão para conceder acesso para que seu perfil de segurança definido defina a funcionalidade de bloco.
Em Sessão, selecione Usar o perfil de segurança do Acesso Global Seguro.
Selecione Permitir sites de Redes Sociais.
Em Visão Geral do Acesso Condicional>Habilitar política, selecione Ativado.
Selecione Criar.

Permitir acesso a sites de hacking

Nesta seção, criamos um novo perfil de segurança que permite acesso a sites de hacking para usuários que o solicitam. Os usuários recebem acesso por oito horas após o qual o acesso é removido automaticamente.

Criar uma política de filtragem da Web de hacking

Entre no Centro de administração do Microsoft Entra como pelo menos um Administrador de Acesso Global Seguro
Navegue até Acesso Global Seguro>Segurança>Políticas de filtragem de conteúdo da Web>Criar política>Configurar filtragem de conteúdo do Acesso Global Seguro.
Em Criar uma política de filtragem de conteúdo da Web>Noções básicas, preencha estes campos:
- Nome: Permitir sites de hacking
- Descrição: adicione uma descrição
- Ação: Permitir
Selecione Avançar.
Em Criar uma política de filtragem de conteúdo da Web>Regras de Política, selecione Adicionar Regra.
Em Adicionar Regra, preencha estes campos:
- Nome: Hacking
- Tipo de destino: webCategory
- Pesquisa: Hacking, selecione Hacking
Selecione Adicionar.
Em Criar uma política de filtragem de conteúdo da Web>Regras de Política, selecione Avançar.
Em Criar uma política de filtragem de conteúdo da Web>Revisar, confirme a configuração da política.
Selecione Criar política.
Para confirmar a criação da política, encontre-a em Gerenciar políticas de filtragem de conteúdo da Web.

Criar perfil de política de segurança de hackers

Entre no centro de administração do Microsoft Entra como pelo menos um Administrador de Acesso Global Seguro.
Navegue até Acesso Seguro Global>Proteger>Perfis de segurança. Selecione Criar Perfil.
Em Criar um perfil>básico, preencha estes campos:
- Nome do perfil: Permitir sites de hacking
- Descrição: adicione uma descrição
- Estado: Habilitado
- Prioridade: 2000
Selecione Avançar.
Em Criar um perfil>Políticas de link, selecione Vincular uma política.
Selecione Política existente.
Na caixa de diálogo Vincular uma política, preencha estes campos:
- Nome da política: Permitir Hacking
- Prioridade: 2000
- Estado: Habilitado
Selecione Adicionar.
Em Criar um perfil>Vincular políticas, confirme Permitir Hacking na lista.
Selecione Avançar.
Em Criar um perfil>Revisar, confirme a configuração do perfil.
Selecione Criar um perfil.

Criar uma política de acesso condicional de hacking

Nesta seção, criamos uma política de Acesso condicional que impõe o perfil de segurança Permitir sites de hacking para os usuários que solicitam acesso.

Entre no centro de administração do Microsoft Entra como pelo menos Administrador de acesso condicional.
Navegar para Proteção> de acesso condicional de >Políticas.
Selecione Nova política.
Na caixa de diálogo Nova Política de acesso condicional, preencha estes campos:
- Nome: Acesso à Internet – Permitir sites de hacking
- Usuários ou identidades de carga de trabalho: usuários específicos incluídos
- A que se aplica esta política? Usuários e grupos
Incluir>Selecionar usuários e grupos> Usuários e grupos
Selecione o grupo de teste (como Acesso à Internet – Permitir Sites de Hacking) > selecione Selecionar.
Recursos de destino
- Selecione o que essa política se aplica ao> Acesso Global Seguro
- Selecione os perfis de tráfego aos quais esta política se aplica>Tráfego da internet
Deixe Conceder em suas configurações padrão para conceder acesso para que seu perfil de segurança definido defina a funcionalidade de bloco.
Na caixa de diálogo Sessão, selecione Usar o perfil de segurança do Acesso Seguro Global.
Selecione Permitir Sites de Hacking.
Em Visão Geral do Acesso Condicional>Habilitar política, selecione Ativado.
Selecione Criar.

Configurar a governança de acesso

Siga estas etapas para criar um catálogo de gerenciamento de direitos:

Entre no centro de administração do Microsoft Entra como, no mínimo Administrador de Governança de identidade.
Navegue até Governança de identidade > Gerenciamento de direitos > Catálogos.
Selecione Novo catálogo
Insira um nome exclusivo para o catálogo e uma descrição. Os solicitantes veem essas informações nos detalhes de um pacote de acesso (por exemplo, Conectividade com a Internet).
Para esse cenário, criamos pacotes de acesso no catálogo para usuários internos. Defina Habilitado para usuários externos para Não.
Para adicionar os recursos, acesse Catálogos e abra o catálogo ao qual você deseja adicionar recursos. Selecione Recursos. Selecione Adicionar Recursos.
Adicione os dois grupos de segurança que você criou anteriormente (como Internet Access -- Permitir sites de Redes Sociais e Acesso à Internet -- Permitir sites de hacking).

Criar pacotes de acesso

Nesta seção, criamos pacotes de acesso que permitem que os usuários solicitem acesso às categorias de site da Internet definidas por cada perfil de segurança. Siga estas etapas para criar um pacote de acesso no Gerenciamento de direitos:

Entre no centro de administração do Microsoft Entra como, no mínimo Administrador de Governança de identidade.
Navegue até Governança de identidade>Gerenciamento de direitos>Pacote de acesso.
Selecione Novo pacote de acesso.
Para Basics, dê um nome ao pacote de acesso (como Acesso à Internet – Permitir sites de Redes Sociais). Especifique o catálogo criado anteriormente.
Para Funções de recurso, selecione a segurança que você adicionou anteriormente (como Acesso à Internet – Permitir sites de Redes Sociais).
Em Função, selecione Membro.
Em Solicitações, selecione Para usuários em seu diretório.
Para definir o escopo dos usuários que podem solicitar acesso a sites de rede social, selecione Usuários e grupos específicos e adicione um grupo apropriado de usuários. Caso contrário, selecione Todos os membros.
Em Solicitações, selecione Sim para Habilitar novas solicitações.
Opcional: em Aprovação, especifique se uma aprovação é necessária quando os usuários solicitam esse pacote de acesso.
Em Ciclo de vida, especifique quando expira a atribuição de um usuário ao pacote de acesso. Especifique se os usuários podem estender as respectivas atribuições. Em Expiração, defina a validade das Atribuições do pacote de acesso como Na data, Número de dias, Número de horas ou Nunca.
Repita as etapas para criar um novo pacote de acesso que permita o acesso a sites de hacking. Defina estas configurações:
- Recurso: conectividade com a internet – Permitir sites de hacking
- Quem pode solicitar: membros da equipe SOC
- Ciclo de vida: definir Número de horas como 8 horas

Testar o acesso do usuário

Nesta seção, validamos que o usuário não pode acessar sites que o perfil básico bloqueia.

Entre no dispositivo que você instalou o cliente do Acesso Global Seguro.
Em um navegador, acesse os sites que o perfil de linha de base bloqueia e verifique o acesso bloqueado. Por exemplo:
1. hackthissite.org é um campo de treinamento gratuito, seguro e legal para os profissionais de segurança testarem e expandirem as habilidades éticas de hackers. Este site é classificado como Hacking.
2. YouTube.com é uma plataforma gratuita de compartilhamento de vídeo. Este site é classificado como Rede Social.

Nesta seção, validamos que um usuário do departamento de Marketing pode solicitar acesso a sites de redes sociais.

Entre no dispositivo em que você instalou o cliente de Acesso Global Seguro com um usuário que seja membro da equipe de Marketing (ou um usuário que tenha autorização para solicitar acesso ao pacote de acesso Internet Access -- Permitir sites de Rede social por exemplo).
Em um navegador, valide o acesso bloqueado a um site na categoria Rede social que o perfil de segurança de linha de base bloqueia. Por exemplo, tente acessar youtube.com.
Navegue até myaccess.microsoft.com. Selecione Pacotes de acesso. Selecione Solicitação para o pacote de acesso Acesso à Internet – Permitir sites de Redes Sociais.
Selecione Continuar. Escolha Solicitar.
Se você configurou a aprovação para o pacote de acesso, entre como aprovador. Navegue até myaccess.microsoft.com. Aprove a solicitação.
Entre como um usuário do departamento de Marketing. Navegue até myaccess.microsoft.com. Selecione o Histórico de solicitações. Validar o status da solicitação para o Acesso à Internet – Permitir sites de Redes Sociais seja Entregue.
Novas configurações podem levar alguns minutos para serem aplicadas. Para acelerar o processo, clique com o botão direito do mouse no ícone Acesso Global Seguro na bandeja do sistema. Selecione Fazer logon como um usuário diferente. Entre novamente.
Tente acessar sites na categoria de redes sociais que o perfil de segurança de linha de base bloqueia. Valide se você pode navegá-los com êxito. Por exemplo, tente navegar youtube.com.

Solicitar acesso ao site de hacking

Nesta seção, validamos que um usuário da equipe do SOC pode solicitar acesso a sites de hacking.

Entre no dispositivo em que você instalou o cliente de Acesso Global Seguro com um usuário que seja membro da equipe de SOC (ou um usuário que tenha autorização para solicitar acesso ao pacote de acesso Internet Access -- Permitir sites de hacking por exemplo).
Em um navegador, valide o acesso bloqueado a um site na categoria de hacking que o perfil de segurança de linha de base bloqueia. Por exemplo, hackthissite.org.
Navegue até myaccess.microsoft.com. Selecione Pacotes de acesso. Selecione Solicitação para o pacote de acesso Acesso à Internet – Permitir sites de Hacking.
Selecione Continuar. Escolha Solicitar.
Se você configurou a aprovação para o pacote de acesso, entre como aprovador. Navegue até myaccess.microsoft.com. Aprove a solicitação.
Entre como um usuário da equipe do SOC. Navegue até myaccess.microsoft.com. Selecione o Histórico de solicitações. Validar o status da solicitação para o Acesso à Internet – Permitir sites de Hacking seja Entregue.
Novas configurações podem levar alguns minutos para serem aplicadas. Para acelerar o processo, clique com o botão direito do mouse no ícone Acesso Global Seguro na bandeja do sistema. Selecione Fazer logon como um usuário diferente. Entre novamente.
Tente acessar sites na categoria de hacking que o perfil de segurança de linha de base bloqueia. Valide se você pode navegá-los com êxito. Por exemplo, tente navegar hackthissite.org.
Se você configurou o acesso ao site de hacking com Ciclo de Vida>Número de horas definido como 8 nas etapas anteriores, após oito horas decorridos, verifique o acesso bloqueado a sites de hackers.

Compartilhar via

Cenário de implantação do Microsoft Entra – Proteger o acesso à Internet de acordo com as necessidades comerciais

Visão geral do cenário