Alguém do marketing precisa de agendar publicações: entra numa app SaaS com a conta do Microsoft 365, aceita o consentimento e a app fica a ler email, calendário e ficheiros. Ninguém no IT sabe. O Defender for Cloud Apps fecha esta janela: descobre as apps SaaS em uso, governa as apps OAuth e controla sessões de browser em tempo real.

É um CASB (cloud access security broker) no portal Microsoft Defender: cruza o tráfego real com um catálogo de 31 000+ cloud apps, atribui score de risco sobre 90+ factores e aplica políticas de acesso e sessão.

💡 TL;DR

Para bloquear downloads em dispositivos não geridos: Conditional Access App Control com Entra ID P1 por cima da licença. Fluxo curto: descobrir no Cloud Discovery, governar as apps OAuth e depois escrever as session policies das apps que ficam.

1. Dois produtos com nomes parecidos

O Defender for Cloud Apps protege o uso de apps SaaS: descoberta, sessões, apps OAuth e SSPM. O Defender for Cloud — nome quase igual, produto diferente — protege VMs, storage e Kubernetes na subscrição Azure, não no security.microsoft.com: abrir o portal errado custa horas.

Comparação Defender for Cloud Apps Defender for Cloud
O que protege Apps SaaS: shadow IT, apps OAuth, sessões de browser Subscrições cloud: VMs, storage, Kubernetes
Onde se gere Portal Defender (security.microsoft.com) Portal Azure; integração no Defender portal (security.microsoft.com) em expansão
Licença Standalone, EMS E5, Microsoft 365 E5/A5/G5, Defender Suite Plano base sem custo mais planos por serviço

Chamou-se Microsoft Cloud App Security (MCAS) até entrar na marca Defender a 1 de Novembro de 2021 — o sufixo .mcas.ms ainda carrega o nome antigo. A edição Office 365 Cloud App Security é o subconjunto que só liga o conector do Office 365: 750+ apps e upload manual, contra o produto completo.

O Defender for Cloud Apps compra-se standalone ou vem incluído no EMS E5, no Microsoft 365 E5/A5/G5 e no Defender Suite. Business Premium não aparece na tabela da Microsoft: o plano traz Defender for Business, Entra ID P1 e Intune, e o produto chega pelo add-on Microsoft Defender Suite for Business Premium (Endpoint P2, Office 365 P2, Identity, Entra ID P2 e Defender XDR — verificado na página Add Microsoft Defender Suite for Business Premium). As políticas de sessão pedem Entra ID P1 — o E3 e o Business Premium já a incluem.

2. Cloud Discovery: as apps que ninguém autorizou

O Cloud Discovery analisa logs de tráfego contra o catálogo e classifica cada app por score, certificações e volume de utilizadores. Fica sob Cloud apps → Cloud discovery, com dashboard, Discovered apps e actividade por utilizador e IP.

Dois modos: relatórios snapshot — upload manual de logs de firewall ou proxy — e relatórios contínuos, alimentados pelo Defender for Endpoint (o tráfego sai da própria máquina), por log collectors (Syslog, FTP) ou secure web gateways. Cada app fica sanctioned ou unsanctioned, e as unsanctioned bloqueiam-se com scripts de firewall. App fora do catálogo entra como custom app com o domínio a vigiar.

3. Governação de apps OAuth

Uma app OAuth autorizada entra com permissões de leitura e escrita sobre caixas de correio, OneDrive e Teams — e fica sem supervisão. A App governance, parte do produto, lista as apps com permissões, quem as autorizou, as credenciais e a actividade real, e apanha as combinações perigosas: privilégio elevado sem uso, credenciais antigas, consentimento fora do padrão. Bloquear a app, revogar permissões e alertar o gestor são acções directas sobre apps registadas no Entra ID, no Google Workspace e no Salesforce.

4. Políticas de sessão com Conditional Access

O Conditional Access App Control opera em sessões de browser: o Entra ID decide quem entra e de que dispositivo, o App Control decide o que sucede lá dentro. Configura-se em duas partes:

Entra ID > Protection > Conditional Access > New policy
  Session controls: Use Conditional Access App Control - Monitor only
Defender portal > Cloud apps > Policies > Policy management > Conditional Access
  Create policy > Session policy

Apps do Entra ID entram automaticamente, as de IdP externo pedem onboarding manual. O Microsoft Edge protege dentro do próprio browser, sem redirect. Chrome, Firefox e Safari passam pelo reverse proxy: uma app em app.exemplo.com aparece como app.exemplo.com.mcas.ms.

Uma session policy tem quatro tipos de controlo: Monitor only, Block activities, Control file download (with inspection) e Control file upload (with inspection). Para bloquear downloads em dispositivos não geridos: política com filtro por app e dispositivo, controlo de download e acção block — o utilizador continua a trabalhar, o ficheiro não sai. O modo protect on download, com Microsoft Purview, etiqueta e cifra o ficheiro em vez do bloqueio.

Três limites: as políticas aplicam-se por app, sem exclusão por ficheiro. Uma policy para o Teams ou o Exchange não cobre SharePoint nem OneDrive — resource apps pedem política própria. O desktop do Teams não aceita session controls — esse caminho corta-se com access policy contra clientes nativos.

5. Armadilhas

  • Shadow IT não é phishing. O Cloud Discovery vê apps, não email: a mensagem falsa do CEO é do anti-phishing do Defender for Office 365, produto separado.
  • Sem Conditional Access, sem App Control. As sessões exigem Entra ID P1 (ou IdP externo com SAML 2.0) e o session control ligado na política do Entra.
  • Três nomes para separar. MCAS é o nome antigo, a edição Office 365 o subconjunto, Defender for Cloud Apps o produto completo — e Defender for Cloud um produto Azure à parte.
  • Licenças. E5, EMS E5 e Defender Suite incluem o produto. Business Premium só com o add-on Defender Suite for Business Premium.
  • Catálogo. Sem custom app, as apps fora do catálogo não entram — a descoberta parece mais limpa do que a rede é.

6. Cenário: a app do marketing

Segunda-feira de manhã: alguém do marketing quer agendar posts e autoriza a app de social media com a conta do Microsoft 365, com leitura de email e ficheiros. Com o produto:

  • A integração com o Defender for Endpoint entrega o tráfego desde a máquina Windows: a app entra em Discovered apps com score, utilizadores e volumes, mesmo fora do escritório.
  • No painel de App governance, o consentimento OAuth aparece com as permissões e quem as concedeu.
  • A decisão: bloquear e revogar permissões se a app não pertence ao negócio, ou mantê-la controlada — script na firewall, ou session policy contra downloads em não geridos e access policy contra clientes nativos.
  • Os consentimentos ficam no Unified Audit Log: quem autorizou e quando.

Fontes Oficiais

Artigos Relacionados