Entra Internet Access: Zero Trust Web Filtering para PME

1. Introdução

As PME portuguesas com licenças Microsoft 365 E3 ou E5 podem subscrever como add-on uma camada de segurança baseada em identidade que muitas vezes permanece por configurar: o Microsoft Entra Internet Access.

Neste artigo explicamos o que é o Entra Internet Access, como se licencia, como configurar o cliente Global Secure Access, como criar políticas de filtragem web e como aplicar Acesso Condicional ao nível TCP. O objectivo é que uma equipa de TI de uma PME com 50 a 500 utilizadores consiga activar a funcionalidade sem recorrer a consultoria externa.

2. O que é Entra Internet Access (SSE)

O Microsoft Entra Internet Access é um serviço de Security Service Edge (SSE) que protege o acesso dos utilizadores a Internet e a aplicações SaaS. Faz parte da família Microsoft Entra e integra-se nativamente com o Entra ID (antigo Azure AD) e o Microsoft Defender for Cloud Apps.

A arquitectura tradicional de web filtering baseia-se em endereços IP ou em proxies transparentes. O Entra Internet Access muda o paradigma: o tráfego é encaminhado através do cliente Global Secure Access, que autentica o utilizador com o token do Entra ID e aplica políticas que consideram a identidade, o dispositivo, o risco de sessão e o destino.

As três capacidades principais do Entra Internet Access são:

O cliente Global Secure Access atua como um túnel ponto-a-ponto que encaminha o tráfego web do utilizador para os pontos de presença da Microsoft, onde as políticas são avaliadas antes de o tráfego chegar ao destino. Isto significa que as políticas se aplicam mesmo quando o utilizador trabalha fora da rede corporativa, sem VPN.

3. Licenciamento

O Entra Internet Access requer uma licença específica que não está incluída em todos os planos Microsoft 365. As opções são:

Para uma PME com Microsoft 365 E3 ou E5, o caminho mais prático é adquirir o Microsoft Entra Suite como add-on. O Entra Suite inclui não só o Internet Access mas também o Entra ID P2, ID Governance, Permissions Management e Verifiable Credentials, pelo que o valor agregado é significativo.

A verificação de licenças pode ser feita no portal Entra:

# Verificar licenças atribuídas via Microsoft Graph PowerShell
Connect-MgGraph -Scopes "User.Read.All","Directory.Read.All"

Get-MgUserLicenseDetail -UserId "[email protected]" | 
    Select-Object SkuPartNumber, ServicePlans

# Procurar pelo ServicePlan "MFA_SSE_INTERNET_ACCESS"
Get-MgUserLicenseDetail -UserId "[email protected]" | 
    ForEach-Object { $_.ServicePlans | Where-Object { $_.ServicePlanName -like "*SSE*" } }

4. Configurar Global Secure Access Client

O Global Secure Access Client e a aplicação instalada no dispositivo do utilizador que encaminha o tráfego web para os pontos de presença da Microsoft. Está disponível para Windows 10/11 e macOS. O cliente pode ser distribuído via Intune, GPO ou instalado manualmente.

4.1 Pré-requisitos

Antes de instalar o cliente, é necessário preparar o tenant Entra:

• Licenças Entra Suite ou Entra Internet Access atribuídas aos utilizadores
• Permissões de Global Administrator ou Application Administrator
• Grupos de segurança no Entra ID para segmentar utilizadores (ex: Financeiro, TI, Comercial)
• Intune configurado se a distribuição for via MDM

4.2 Activar o Global Secure Access no tenant

A activação do serviço faz-se no portal Entra, em Global Secure Access:

# Via Microsoft Graph PowerShell (módulo beta)
Connect-MgGraph -Scopes "Policy.ReadWrite.ApplicationConfiguration"

# Ativar o traffic forwarding profile para Internet Access
$profile = @{
    "@odata.type" = "#microsoft.graph.networkaccess.forwardingProfile"
    name = "Internet Access"
    state = "enabled"
    trafficForwardingType = "internet"
}
Invoke-MgGraphRequest -Method POST `
    -Uri "beta/networkaccess/forwardingProfiles" `
    -Body $profile

4.3 Distribuir o cliente via Intune

Para PME com Intune, a distribuição e feita como uma aplicação Win32. O instalador MSI do Global Secure Access Client está disponível no portal Entra em Global Secure Access > Connectivity > Client download.

# Parâmetros de instalação silenciosa para Intune
# Comando de instalação:
msiexec /i GlobalSecureAccessClient.msi /qn ENTRA_TENANT_ID="00000000-0000-0000-0000-000000000000"

# Comando de desinstalação:
msiexec /x GlobalSecureAccessClient.msi /qn

# Registo de instalação (para troubleshooting):
msiexec /i GlobalSecureAccessClient.msi /qn /log install.log ENTRA_TENANT_ID="..."

5. Políticas de Filtragem Web

As políticas de filtragem web permitem bloquear ou permitir categorias de sites com base na identidade do utilizador e no grupo de segurança a que pertence. Ao contrário de um web filter tradicional que aplica regras por IP, o Entra Internet Access avalia cada pedido HTTP/HTTPS com base no utilizador autenticado.

5.1 Criar uma política de filtragem

No portal Entra, navegar para Global Secure Access > Web filtering policies. Definir o nome da política, o grupo de segurança a que se aplica e as categorias a bloquear ou permitir:

# Criar política de filtragem web via Graph API
$body = @{
    name = "Bloquear Redes Sociais - Financeiro"
    policyType = "web"
    rules = @(
        @{
            name = "Bloquear redes sociais"
            action = "block"
            destinationCategories = @("Social Networking", "Social Media")
            priority = 100
        }
    )
    scope = @{
        groups = @("[email protected]")
    }
}
Invoke-MgGraphRequest -Method POST `
    -Uri "beta/networkaccess/filteringPolicies" `
    -Body ($body | ConvertTo-Json -Depth 5)

5.2 Categorias de filtragem disponíveis

O Entra Internet Access classifica sites em categorias semelhantes a soluções como Cisco Umbrella. As categorias mais relevantes para PME são:

5.3 Proteção contra C2 e exfiltração

O Entra Internet Access integra sinais de threat intelligence da Microsoft para bloquear comunicações com servidores command-and-control (C2). Quando um dispositivo comprometido tenta contactar um servidor C2, o tráfego é bloqueado no ponto de presença e o evento é registado no Microsoft Defender for Cloud Apps e no Microsoft Sentinel.

6. Acesso Condicional ao nível TCP

O Acesso Condicional do Entra ID tradicionalmente opera ao nível HTTP: avalia o pedido e devolve um desafio de autenticação. Com o Entra Internet Access, o Acesso Condicional é estendido ao nível TCP, permitindo bloquear ou permitir ligações inteiras antes de qualquer troca de dados da camada de aplicação.

Isto é particularmente útil para proteger aplicações SaaS que não suportam autenticação moderna ou protocolos não-HTTP (SSH, RDP, bases de dados). A política avalia a identidade, a conformidade do dispositivo e o risco de sessão antes de permitir a ligação TCP.

6.1 Cenários de aplicação

6.2 Criar uma política de Acesso Condicional TCP

# Criar política de Acesso Condicional para aplicação TCP
$body = @{
    displayName = "Acesso SaaS - Apenas Dispositivos compatíveis"
    state = "enabled"
    conditions = @{
        applications = @{
            includeApplications = @("app-id-da-aplicacao-saas")
        }
        users = @{
            includeGroups = @("[email protected]")
        }
        platforms = @{
            includePlatforms = @("windows","macOS")
        }
    }
    grantControls = @{
        operator = "AND"
        builtInControls = @("compliantDevice","mfa")
    }
}
Invoke-MgGraphRequest -Method POST `
    -Uri "beta/identity/conditionalAccess/policies" `
    -Body ($body | ConvertTo-Json -Depth 5)

7. Boas Práticas

A adoção do Entra Internet Access numa PME deve ser faseada. Começar por um piloto com o departamento de TI, expandir para um grupo alargado é só depois aplicar a toda a organização. As seguintes boas práticas resumem a experiência de implementações reais:

• Começar com report-only: Criar políticas em modo de relatório antes de as activar em modo de imposição. Isto permite identificar falsos positivos sem interromper o trabalho dos utilizadores.
• Segmentar por grupos: Nunca aplicar uma política a “Todos os utilizadores” na primeira implementação. Usar grupos de segurança do Entra ID para segmentar (TI, Financeiro, Comercial) e aplicar políticas distintas por segmento.
• Excluir contas de serviço: Contas de serviço que não suportam MFA devem ser excluídas das políticas de Acesso Condicional TCP para evitar interrupções de integrações.
• Monitorizar o registo de actividade: Usar o Microsoft Sentinel ou o Log Analytics para ingerir os logs do Entra Internet Access e criar alertas para tentativas de acesso bloqueadas.
• Revisão trimestral: Auditar as políticas e as excepções (allow-lists) a cada três meses para confirmar que não há regras obsoletas ou excessivamente permissivas.
• Comunicar com os utilizadores: Antes de bloquear categorias como Redes Sociais, informar os utilizadores e fornecer um canal para solicitar exceções legítimas (ex: Marketing precisa de aceder a redes sociais).

O Entra Internet Access é uma das capacidades mais subutilizadas do ecossistema Microsoft 365. Para uma PME que já paga as licenças, ativar esta camada de segurança baseada em identidade é um investimento de tempo baixo com retorno alto: protege contra C2, reduz o risco de exfiltração e substitui a necessidade de manter infraestrutura VPN on-premises.