Protegendo identidades de carga de trabalho
O Microsoft Entra ID Protection pode detetar, investigar e corrigir identidades de carga de trabalho para proteger aplicativos e entidades de serviço, além das identidades dos usuários.
Uma identidade de carga de trabalho é uma identidade que permite que um aplicativo acesse recursos, às vezes no contexto de um usuário. Essas identidades de carga de trabalho diferem das contas de usuário tradicionais, pois são:
- Não é possível efetuar a autenticação multifator.
- Muitas vezes, não têm um processo formal de ciclo de vida.
- Precisam de armazenar as respetivas credenciais ou segredos em algum lugar.
Essas diferenças tornam as identidades de carga de trabalho mais difíceis de gerenciar e as colocam em maior risco de comprometimento.
Importante
Detalhes completos de risco e controles de acesso baseados em risco estão disponíveis para clientes Workload Identities Premium; no entanto, os clientes sem as licenças Workload Identities Premium ainda recebem todas as deteções com detalhes de relatório limitados.
Nota
A Proteção de ID deteta riscos em aplicativos de locatário único, SaaS de terceiros e multilocatário. As Identidades Gerenciadas não estão atualmente no escopo.
Pré-requisitos
Para usar relatórios de risco de identidade de carga de trabalho, incluindo a nova folha Identidades de carga de trabalho de risco e a guia Deteções de identidade de carga de trabalho na folha Deteções de risco no portal, você deve ter o seguinte.
- Uma das seguintes funções de administrador atribuídas
- Administrador de Segurança
- Operador de Segurança
- Leitor de Segurança Os usuários atribuídos à função de administrador de Acesso Condicional podem criar políticas que usam o risco como condição.
Para tomar medidas em identidades de carga de trabalho arriscadas, recomendamos a configuração de políticas de Acesso Condicional baseadas em risco, que exigem licenciamento Premium de Identidades de Carga de Trabalho: você pode exibir, iniciar uma avaliação e adquirir licenças na folha Identidades de Carga de Trabalho.
Deteções de risco de identidade de carga de trabalho
Detetamos o risco nas identidades da carga de trabalho no comportamento de entrada e nos indicadores offline de comprometimento.
| Nome da deteção | Tipo de deteção | Description | riskEventType |
|---|---|---|---|
| Inteligência de ameaças do Microsoft Entra | Offline | Essa deteção de risco indica alguma atividade consistente com padrões de ataque conhecidos com base nas fontes de inteligência de ameaças internas e externas da Microsoft. | investigaçõesThreatIntelligence |
| Entradas suspeitas | Offline | Essa deteção de risco indica propriedades ou padrões de entrada que são incomuns para essa entidade de serviço. A deteção aprende o comportamento de entrada de linhas de base para identidades de carga de trabalho em seu locatário. Essa deteção leva entre 2 e 60 dias e é acionada se uma ou mais das seguintes propriedades desconhecidas aparecerem durante uma entrada posterior: endereço IP / ASN, recurso de destino, agente de usuário, alteração de IP de hospedagem/não hospedagem, país de IP, tipo de credencial. Devido à natureza programática dos logins de identidade da carga de trabalho, fornecemos um carimbo de data/hora para a atividade suspeita em vez de sinalizar um evento de entrada específico. As entradas iniciadas após uma alteração de configuração autorizada podem disparar essa deteção. |
suspeitasSignins suspeitos |
| Entidade de serviço confirmada pelo administrador comprometida | Offline | Essa deteção indica que um administrador selecionou 'Confirmar comprometido' na interface do usuário de identidades de carga de trabalho arriscada ou usando a API riskyServicePrincipals. Para ver qual administrador confirmou que essa conta foi comprometida, verifique o histórico de risco da conta (via interface do usuário ou API). | adminConfirmedServicePrincipalCompromised |
| Credenciais vazadas | Offline | Essa deteção de risco indica que as credenciais válidas da conta vazaram. Esse vazamento pode ocorrer quando alguém verifica as credenciais no artefato de código público no GitHub ou quando as credenciais são vazadas por meio de uma violação de dados. Quando o serviço de credenciais vazadas da Microsoft adquire credenciais do GitHub, da dark web, de sites de colagem ou de outras fontes, elas são verificadas em relação às credenciais válidas atuais na ID do Microsoft Entra para encontrar correspondências válidas. |
Credenciais vazadas |
| Aplicação maliciosa | Offline | Esta deteção combina alertas da Proteção de ID e do Microsoft Defender for Cloud Apps para indicar quando a Microsoft desativa uma aplicação por violar os nossos termos de serviço. Recomendamos a realização de uma investigação do aplicativo. Nota: Esses aplicativos são exibidos DisabledDueToViolationOfServicesAgreement na disabledByMicrosoftStatus propriedade nos tipos de recursos de entidade de aplicativo e serviço relacionados no Microsoft Graph. Para evitar que eles sejam instanciados em sua organização novamente no futuro, não é possível excluir esses objetos. |
mal-intencionadoAplicação |
| Aplicação suspeita | Offline | Essa deteção indica que a Proteção de ID ou o Microsoft Defender for Cloud Apps identificou um aplicativo que pode estar violando nossos termos de serviço, mas não o desabilitou. Recomendamos a realização de uma investigação do aplicativo. | suspeitaAplicação suspeita |
| Atividade principal de serviços anômalos | Offline | Essa deteção de risco baseia o comportamento normal da entidade de serviço administrativo no Microsoft Entra ID e identifica padrões anômalos de comportamento, como alterações suspeitas no diretório. A deteção é acionada contra a entidade de serviço administrativo que faz a alteração ou o objeto que foi alterado. | anômaloServicePrincipalActivity |
| Tráfego de API suspeito | Offline | Essa deteção de risco é relatada quando o tráfego anormal do GraphAPI ou a enumeração de diretório de uma entidade de serviço é observada. A deteção de tráfego de API suspeita pode indicar reconhecimento anormal ou exfiltração de dados por uma entidade de serviço. | suspeitaAPITraffic |
Identificar identidades de carga de trabalho arriscadas
As organizações podem encontrar identidades de carga de trabalho sinalizadas para risco em um dos dois locais:
- Entre no centro de administração do Microsoft Entra como pelo menos um Leitor de Segurança.
- Navegue até Proteção>de>identidades Identidades de carga de trabalho arriscadas.
Microsoft Graph APIs
Você também pode consultar identidades de carga de trabalho arriscadas usando a API do Microsoft Graph. Há duas novas coleções nas APIs de proteção de ID.
riskyServicePrincipalsservicePrincipalRiskDetections
Exportar dados de risco
As organizações podem exportar dados definindo configurações de diagnóstico no Microsoft Entra ID para enviar dados de risco para um espaço de trabalho do Log Analytics, arquivá-los em uma conta de armazenamento, transmiti-los para um hub de eventos ou enviá-los para uma solução SIEM.
Impor controles de acesso com acesso condicional baseado em risco
Usando o Acesso Condicional para identidades de carga de trabalho, você pode bloquear o acesso de contas específicas escolhidas quando a Proteção de ID as marcar como "em risco". A política pode ser aplicada a entidades de serviço de locatário único registradas em seu locatário. SaaS de terceiros, aplicativos multilocatários e identidades gerenciadas estão fora do escopo.
Para melhorar a segurança e a resiliência de suas identidades de carga de trabalho, a Avaliação de Acesso Contínuo (CAE) para identidades de carga de trabalho é uma ferramenta poderosa que oferece aplicação instantânea de suas políticas de Acesso Condicional e quaisquer sinais de risco detetados. As identidades de carga de trabalho de terceiros habilitadas para CAE que acessam recursos primários compatíveis com CAE são equipadas com Tokens de Vida Longa (LLTs) de 24 horas que estão sujeitos a verificações de segurança contínuas. Consulte o CAE para obter a documentação de identidades de carga de trabalho para obter informações sobre como configurar clientes de identidade de carga de trabalho para CAE e escopo de recurso atualizado.
Investigue identidades de carga de trabalho arriscadas
A Proteção de ID fornece às organizações dois relatórios que podem ser usados para investigar o risco de identidade da carga de trabalho. Esses relatórios são as identidades de carga de trabalho arriscadas e as deteções de risco para identidades de carga de trabalho. Todos os relatórios permitem o download de eventos em . Formato CSV para análise posterior.
Algumas das principais perguntas a serem respondidas durante a investigação incluem:
- As contas mostram atividades de início de sessão suspeitas?
- Houve alterações não autorizadas nas credenciais?
- Houve alterações suspeitas na configuração das contas?
- A conta adquiriu funções de aplicativo não autorizadas?
O guia de operações de segurança do Microsoft Entra para Aplicativos fornece orientações detalhadas sobre as áreas de investigação acima.
Depois de determinar se a identidade da carga de trabalho foi comprometida, descarte o risco da conta ou confirme a conta como comprometida no relatório Identidades de carga de trabalho de risco. Você também pode selecionar "Desativar entidade de serviço" se quiser bloquear a conta de mais logins.
Corrigir identidades de carga de trabalho arriscadas
- Credenciais de inventário atribuídas à identidade de carga de trabalho arriscada, seja para a entidade de serviço ou objetos de aplicativo.
- Adicione uma nova credencial. A Microsoft recomenda o uso de certificados x509.
- Remova as credenciais comprometidas. Se você acredita que a conta está em risco, recomendamos remover todas as credenciais existentes.
- Corrija todos os segredos do Azure KeyVault aos quais a Entidade de Serviço tenha acesso girando-os.
O Microsoft Entra Toolkit é um módulo do PowerShell que pode ajudá-lo a executar algumas dessas ações.