Dia 4: Autenticação Moderna — MFA, Conditional Access e Passwordless

A autenticação moderna é o pilar fundamental de qualquer estratégia de Zero Trust no Microsoft 365. Neste quarto dia do curso de administração M365, vamos explorar como o Microsoft Entra ID (antigo Azure AD) protege as contas dos utilizadores através de múltiplos factores de autenticação, políticas de acesso condicional e métodos passwordless. Se veio do artigo sobre administração do M365, já conhece as funções administrativas — agora vamos ver como proteger quem tem esses privilégios.

1. Introdução à Autenticação Moderna

A autenticação tradicional baseada apenas em palavra-passe já não é suficiente. Mais de 99% dos ataques a contas Microsoft envolvem técnicas automatizadas que conseguem adivinhar ou reutilizar palavras-passe fracas. A autenticação moderna resolve este problema exigindo prova de identidade múltipla antes de conceder acesso aos recursos.

No contexto do Microsoft 365, a autenticação moderna assenta em três pilares:

• MFA (Multi-Factor Authentication): exige um segundo factor para além da palavra-passe — código OTP, notificação no telemóvel ou token de hardware.
• Conditional Access: avalia o contexto de cada início de sessão (localização, dispositivo, risco) antes de decidir quais controlos aplicar.
• Passwordless: elimina a palavra-passe substituindo-a por biometria (Windows Hello), chaves de segurança FIDO2 ou notificações no Microsoft Authenticator.

O Entra ID suporta o protocolo OAuth 2.0 para autorização e OpenID Connect (OIDC) para autenticação. Isto significa que cada pedido de acesso recebe um token com tempo de validade limitado, em vez de uma sessão persistente que pode ser interceptada. As aplicações modernas do M365 (Teams, Outlook na Web, SharePoint) usam sempre autenticação moderna; as aplicações legadas que dependem de autenticação básica (Basic Auth) foram desactivadas em Outubro de 2022.

Para quem administra uma PME, a transição para autenticação moderna não é opcional — é um requisito de segurança que o Microsoft 365 impõe por predefinição através dos Security Defaults (que veremos na secção 5).

2. MFA no Microsoft 365

O MFA no Microsoft 365 exige que os utilizadores provem a sua identidade através de dois ou mais factores de verificação. O Entra ID oferece vários métodos de segundo factor:

A Microsoft recomenda o Microsoft Authenticator com notificação push como método preferencial para a maioria das organizações. O SMS deve ser evitado sempre que possível devido a ataques de SIM swap, onde o atacante convence a operadora a transferir o número para um novo cartão.

Para verificar o estado do MFA nos seus utilizadores e identificar quem ainda não configurou um segundo factor, use o PowerShell com o módulo Microsoft Graph:

# Verificar estado MFA dos utilizadores
Connect-MgGraph -Scopes "User.Read.All","Policy.Read.All"
Get-MgUser -All | Select-Object DisplayName, UserPrincipalName, @{N="MFA";E={if($_.StrongAuthenticationMethods){"Configurado"}else{"Não configurado"}}}

Este comando lista todos os utilizadores e indica se já têm um método MFA registado. Os que aparecem como “Não configurado” devem ser prioridade para registo obrigatório.

3. Conditional Access — Políticas

O Conditional Access é o motor de políticas do Entra ID que avalia condições em tempo real e aplica controlos de acesso. Em vez de exigir MFA para todos os inícios de sessão, pode criar regras granulares que consideram:

• Utilizador ou grupo: aplicar regras diferentes a administradores vs utilizadores comuns.
• Aplicação na nuvem: exigir MFA para aceder ao Exchange Online mas não para aplicações internas de baixo risco.
• Localização de rede: dispensar MFA quando o utilizador está no IP do escritório (trusted location).
• Plataforma de dispositivo: exigir dispositivo compliant para acessos a partir de iOS/Android.
• Risco de início de sessão: bloquear ou exigir verificação adicional quando o Entra ID detecta sessões anómalas.
• Risco do utilizador: forçar redefinição de palavra-passe quando a conta apresenta comportamento suspeito.

A estrutura de uma política de Conditional Access segue o modelo If-Then: se as condições se verificarem (If), então aplicar os controlos (Then). Os controlos podem ser de concessão (grant) ou de sessão (session):

Para listar as políticas existentes e criar uma nova política que exige MFA quando o utilizador está fora do escritório:

# Verificar políticas de Conditional Access
Get-MgIdentityConditionalAccessPolicy | Select-Object DisplayName, State

# Criar política Conditional Access
$params = @{
    DisplayName = "Exigir MFA fora do escritório"
    State = "enabled"
    Conditions = @{
        Applications = @{ IncludeApplications = @("All") }
        Users = @{ IncludeUsers = @("All") }
        Locations = @{
            IncludeLocations = @("All")
            ExcludeLocations = @("trusted_ips_id")
        }
    }
    GrantControls = @{ Operator = "OR"; BuiltInControls = @("mfa") }
}
New-MgIdentityConditionalAccessPolicy -BodyParameter $params

Para que esta política funcione, precisa de definir as localizações confiáveis (trusted IPs) no portal Entra ID:

# Configurar trusted IPs
# Entra ID → Security → Conditional Access → Named locations

As named locations permidentificar os IPs do escritório, VPN ou redes parceiras. Ao excluir estas localizações da política de MFA, os utilizadores no escritório não são incomodados com notificações constantes, enquanto acessos externos são automaticamente protegidos. Pode consultar a documentação oficial completa no Microsoft Entra Conditional Access.

4. Passwordless — Windows Hello e Authenticator

A autenticação passwordless elimina a palavra-passe como factor de autenticação. Em vez de digitar uma palavra-passe, o utilizador prova a sua identidade através de biometria, PIN local ou chaves criptográficas. O Microsoft 365 suporta três métodos passwordless principais:

Windows Hello for Business

O Windows Hello for Business permite iniciar sessão no Windows e no Entra ID usando biometria (reconhecimento facial, impressão digital) ou um PIN. A chave privada fica armazenada no Trusted Platform Module (TPM) do dispositivo, tornando o roubo de credenciais muito mais difícil. O PIN não é transmitido para a nuvem — fica local no dispositivo e desbloqueia a chave criptográfica no TPM.

Microsoft Authenticator

A aplicação Microsoft Authenticator no telemóvel permite inícios de sessão passwordless. O utilizador introduz o nome de utilizador no portal e recebe uma notificação no telemóvel. Ao aprovar com biometria (impressão digital, Face ID), o início de sessão completa-se sem palavra-passe. Isto é particularmente útil para utilizadores que acedem ao M365 a partir de dispositivos partilhados ou quiosques.

Chaves de Segurança FIDO2

As chaves de segurança FIDO2 (Fast Identity Online) são dispositivos de hardware (USB, NFC ou Bluetooth) que armazenam chaves criptográficas. O utilizador insere a chave ou aproxima-a do leitor NFC e toca no botão para autenticar. São o método mais seguro disponível, recomendado para contas de administrador e utilizadores com acesso a dados sensíveis. O padrão FIDO2/WebAuthn está documentado em passkeys FIDO2 e WebAuthn (artigo em preparação).

Para verificar os registos de MFA de um utilizador específico e forçar o registo obrigatório quando necessário:

# Verificar registos de MFA
Get-MgUser -UserId "[email protected]" | Select-Object -ExpandProperty StrongAuthenticationMethods

# Forçar registo MFA
Set-MgUser -UserId "[email protected]" -StrongAuthenticationRequirements @{RelyingParty="*"; State="enabled"}

5. Security Defaults vs Conditional Access

O Entra ID oferece duas formas de proteger as contas sem configuração granular: Security Defaults (gratuito, simples) e Conditional Access (requer licença Entra ID P1 ou superior). A escolha entre os dois depende das necessidades da organização:

Os Security Defaults aplicam automaticamente as seguintes protecções: exigem MFA para todos os utilizadores (incluindo administradores), bloqueiam protocolos de autenticação legados (IMAP, POP, SMTP sem OAuth), exigem MFA para acesso ao portal Entra ID e protegem actividades privilegiadas. São ideais para PME que não precisam de personalizar condições.

O Conditional Access oferece controlo total mas requer uma licença Entra ID P1 ou superior. O M365 Business Premium inclui esta licença, tornando-o a opção recomendada para PME que pretendem políticas personalizadas. Ao activar Conditional Access, os Security Defaults são automaticamente desactivados — não podem coexistir.

6. Configuração Prática para PME

Para uma PME com M365 Business Premium, a configuração recomendada segue uma abordagem em camadas. O objectivo é maximizar a segurança sem comprometer a produtividade dos utilizadores.

Passo 1 — Desactivar Security Defaults

Aceda ao portal Entra ID → Properties → Manage Security defaults → Disabled. Isto libera o Conditional Access para ser configurado. Sem este passo, não é possível criar políticas de acesso condicional.

Passo 2 — Definir Named Locations

No portal Entra ID → Protection → Conditional Access → Named locations, adicione o IP público do escritório como uma localização confiável. Se a empresa usa VPN, adicione também o IP de saída da VPN. Estes IPs serão usados para excluir o escritório das políticas de MFA.

Passo 3 — Criar Políticas de Conditional Access

Crie no mínimo três políticas: (1) exigir MFA para todos os utilizadores quando fora das localizações confiáveis; (2) exigir MFA para administradores sempre, independentemente da localização; (3) bloquear acessos de países onde a empresa não opera. Use o comando PowerShell apresentado na secção 3 para automatizar a criação.

Passo 4 — Configurar Métodos MFA

No portal Entra ID → Protection → Authentication methods → Policies, defina as prioridades dos métodos MFA. Coloque o Microsoft Authenticator como prioritário, seguido de FIDO2 e SMS como última opção. Configure também a política de registration para exigir que os utilizadores registem o método MFA no próximo início de sessão.

Passo 5 — Promover Passwordless

Para utilizadores com Windows 10/11, active o Windows Hello for Business via Intune ou GPO. Para utilizadores móveis, incentive a configuração do Microsoft Authenticator em modo passwordless. Para contas de administrador, distribua chaves de segurança FIDO2.

A seguinte tabela resume a configuração recomendada por perfil de utilizador:

7. Erros Comuns e Lista de Verificação

Durante a implementação da autenticação moderna, surgem vários problemas recorrentes. Conhecer antecipadamente os mais comuns evita perdas de tempo e bloqueia o acesso dos utilizadores.

A conta break-glass é uma conta de emergência com palavra-passe forte e sem MFA configurada, excluída de todas as políticas de Conditional Access. Deve ser guardada num cofre seguro e usada apenas quando os administradores normais ficam bloqueados. Mantenha pelo menos duas contas break-glass em locais separados.

O modo report-only é uma funcionalidade do Conditional Access que permite testar o impacto de uma política antes de a activar. Em vez de bloquear ou exigir MFA, a polçtica regista o que teria acontecido. Consulte os resultados no portal Entra ID → Monitoring → Conditional Access insights para confirmar que nenhuma política bloqueia utilizadores legítimos antes de a activar em modo enabled.

No próximo dia do curso M365, abordaremos a gestão de dispositivos com Microsoft Intune — como garantir que apenas dispositivos compliant acedem aos dados da empresa. (Dia 5 — em breve)