Políticas de Password no Microsoft 365: SSPR e Password Protection

A gestão de passwords continua a ser um dos vectores de comprometimento mais frequentes em ambientes Microsoft 365. Ataques de password spray (uma password comum testada em muitas contas), brute-force e credential stuffing (uso de passwords vazadas em breaches anteriores) são diários e automatizados. O Microsoft Entra ID oferece três mecanismos complementares para endereçar este problema: SSPR (Self-Service Password Reset), Password Protection (lista de passwords banidas) e Smart Lockout.

Configurar estes três mecanismos correctamente reduz simultaneamente a carga no helpdesk (menos resets manuais) e a superfície de ataque — dois objectivos directamente alinhados com as exigências da NIS2 / DL 125/2025.

1. Política de password padrão do Entra ID

O Entra ID aplica uma política de password base a todas as contas cloud. A maioria das definições não é editável pelo administrador — são fixas pela Microsoft. As que são configuráveis estão assinaladas na tabela abaixo.

2. Expiração de passwords — a recomendação actual da Microsoft

A Microsoft recomenda desactivar a expiração periódica de passwords para utilizadores com MFA activo. A investigação mostrou que forçar mudanças frequentes leva os utilizadores a escolher passwords mais fracas e previsíveis (ex: Empresa2024! → Empresa2025!). Com MFA activo, mesmo que uma password seja comprometida, o atacante não consegue aceder sem o segundo factor.

Como desactivar a expiração de passwords

Via portal: Microsoft 365 Admin Center → Settings → Org settings → Security & privacy → Password expiration policy → marcar “Set passwords to never expire”

Via PowerShell (para utilizadores individuais):

Connect-MgGraph -Scopes "User.ReadWrite.All"

# Desactivar expiração para todos os utilizadores
Get-MgUser -All | ForEach-Object {
    Update-MgUser -UserId $_.Id -PasswordPolicies "DisablePasswordExpiration"
}

# Verificar estado de um utilizador
Get-MgUser -UserId "[email protected]" -Property "DisplayName,PasswordPolicies" | Select-Object DisplayName,PasswordPolicies

3. SSPR — Self-Service Password Reset

O SSPR permite que os utilizadores reponham a sua password sem contactar o helpdesk — autenticando-se através de métodos de verificação previamente registados. Reduz significativamente o volume de chamadas de suporte e é um requisito implícito da NIS2 para garantir continuidade operacional (utilizadores bloqueados = impacto na disponibilidade de serviço).

Requisitos de licença

Configurar SSPR — passo a passo

Caminho: entra.microsoft.com → Protection → Password reset

4. Password Protection — lista de passwords banidas

O Entra ID mantém automaticamente uma lista global de passwords banidas actualizada com base em telemetria de segurança da Microsoft — passwords fracas e comprometidas detectadas em ataques reais. Esta lista não é pública e é aplicada silenciosamente a todos os tenants sem necessidade de configuração.

Adicionalmente, podes definir uma lista personalizada com termos específicos da tua organização — nome da empresa, produtos, localidade, etc. — que os utilizadores tendem a usar como base de passwords previsíveis.

Como funciona a normalização

Antes de comparar com a lista banida, o Entra ID normaliza a password proposta — converte para minúsculas e substitui caracteres comuns. Isto permite que uma lista pequena bloqueie um conjunto muito maior de variações:

Configurar lista personalizada de passwords banidas

Caminho: entra.microsoft.com → Protection → Authentication methods → Password protection

5. Smart Lockout — bloqueio inteligente de ataques

O Smart Lockout distingue entre um utilizador legítimo que esqueceu a password e um atacante a tentar passwords em força bruta. Usa inteligência de localização, IP, padrões de tentativas e hash das últimas 3 passwords falhadas para tomar esta decisão — evitando bloquear utilizadores reais enquanto bloqueia automaticamente atacantes.

Comportamento por defeito vs. configurável

Configurar Smart Lockout (requer P1)

Caminho: entra.microsoft.com → Protection → Authentication methods → Password protection

Na mesma página da Password Protection, ajusta os campos Lockout threshold e Lockout duration in seconds. Guarda as alterações. As alterações entram em efeito imediatamente nas novas tentativas de autenticação.

6. Ambientes híbridos — AD on-premises + Entra ID

Em ambientes híbridos (AD on-premises sincronizado com Entra ID via Entra Connect), a política de password aplicada nas mudanças locais (Ctrl+Alt+Del → Alterar password, ou via ADUC) é a do Active Directory local — não a do Entra ID. Para estender a protecção do Entra ID ao AD local, é necessário instalar o Microsoft Entra Password Protection Agent nos Domain Controllers.

Modos de operação no AD

7. Comandos PowerShell úteis

Verificar registo SSPR dos utilizadores

Connect-MgGraph -Scopes "UserAuthenticationMethod.Read.All","User.Read.All"

# Listar utilizadores sem métodos de autenticação registados para SSPR
Get-MgUser -All -Filter "accountEnabled eq true" | ForEach-Object {
    $methods = Get-MgUserAuthenticationMethod -UserId $_.Id
    if ($methods.Count -le 1) {
        [PSCustomObject]@{
            DisplayName = $_.DisplayName
            UPN = $_.UserPrincipalName
            MetodosRegistados = $methods.Count
        }
    }
} | Format-Table -AutoSize

Verificar expiração de passwords

# Listar utilizadores COM expiração de password activa (que deviam ter "nunca")
Get-MgUser -All -Property "DisplayName,UserPrincipalName,PasswordPolicies" |
    Where-Object { $_.PasswordPolicies -notcontains "DisablePasswordExpiration" } |
    Select-Object DisplayName, UserPrincipalName, PasswordPolicies |
    Export-Csv "passwords-com-expiracao.csv" -NoTypeInformation

Forçar registo SSPR no próximo login

# Invalidar métodos de autenticação de um utilizador (força re-registo)
# ATENÇÃO: confirma com o utilizador antes de executar
Update-MgUser -UserId "[email protected]" -AdditionalProperties @{
    "strongAuthenticationRequirements" = @()
}

8. Checklist de configuração