Entra ID: Como Impedir Ataques ao MFA e Proteger Contas de Usuários

Visualize a seguinte situação: ao iniciar o dia, você tenta entrar na sua conta e simplesmente não consegue. A senha que sempre funcionou é rejeitada, e rapidamente fica claro que alguém tomou posse do seu acesso. Esse comprometimento pode ter ocorrido por credenciais expostas, tentativas automatizadas de adivinhação de senha ou até por manipulação para contornar a verificação em duas etapas (MFA). Depois de obter acesso, o atacante registra um novo método de MFA em nome próprio, assumindo o controle definitivo e impedindo que você recupere a conta.

Pode parecer um pouco preocupante, mas essa é uma estratégia comum nos ataques atuais. Criminosos digitais se aproveitam de configurações frágeis no processo de registro de MFA no Microsoft Entra ID para garantir persistência em contas já comprometidas. Por esse motivo, não basta apenas habilitar o MFA é fundamental proteger também a etapa de cadastramento dos métodos de autenticação.

Neste artigo, você verá medidas práticas para impedir registros indevidos de MFA no ambiente do Entra e reforçar a segurança das contas da sua organização.

De que forma é possível fortalecer a segurança das contas de usuário e evitar ataques relacionados à autenticação multifator (MFA) no ambiente do Microsoft 365?

Depois que um atacante consegue invadir uma conta, ele passa a operar com as mesmas permissões do usuário legítimo. Caso o processo de registro de MFA esteja desprotegido, é possível incluir um novo número de telefone, configurar um aplicativo autenticador ou associar uma chave FIDO2 em poucos instantes. Com isso, o invasor estabelece um acesso persistente e pode até impedir que o verdadeiro proprietário recupere o controle da conta.

A resposta é direta, reforce a segurança do fluxo de cadastramento de MFA no Microsoft Entra ID e implemente controles adicionais para qualquer novo método de autenticação registrado. Assim, terceiros mal-intencionados não conseguirão sequer chegar à etapa de inscrição do MFA, mantendo as contas do Microsoft 365 protegidas contra acessos indevidos.

Tornar obrigatória a autenticação multifator antes de permitir o cadastro ou alteração de informações de segurança.

Na ausência de medidas de proteção, um invasor que obtenha acesso a uma conta pode registrar o próprio método de autenticação multifator, garantindo persistência e impedindo que o verdadeiro usuário recupere o acesso.

Para reduzir esse risco, é possível configurar uma política de Acesso Condicional que obrigue a validação por meio de um MFA já previamente confiável. Isso significa que, antes de cadastrar um novo método, o usuário deverá confirmar sua identidade utilizando um fator existente como telefone, aplicativo autenticador ou métodos resistentes a phishing, como FIDO2 e passkeys.

Somente após essa confirmação bem-sucedida será permitido adicionar um novo método de MFA, assegurando que a conta continue sob controle legítimo.

Atenção: As implementações apresentadas em nossos artigos foram desenvolvidas com base em documentações oficiais e nas boas práticas recomendadas pela Microsoft. Entretanto, enfatizamos que qualquer implementação deve ser previamente testada em ambientes de homologação ou testes para garantir a segurança e a estabilidade do ambiente de produção

Pré-requisitos

Os administradores que interagem com o Acesso Condicional precisam de uma das seguintes atribuições de função, dependendo das tarefas que estão executando. Para seguir o princípio de Confiança Zero de privilégios mínimos, considere usar o PIM (Privileged Identity Management) para ativar atribuições de função privilegiadas bem a tempo.

O uso desse recurso requer licenças P1 do Microsoft Entra ID. Para encontrar a licença certa para seus requisitos, confira Comparar recursos do Microsoft Entra ID com disponibilidade geral.

Os clientes com licenças do Microsoft 365 Business Premium também podem usar recursos de Acesso Condicional.

Quando as licenças necessárias para Acesso Condicional expiram, as políticas não são automaticamente desabilitadas ou excluídas. Esse estado gradual permite que os clientes migrem das políticas de Acesso Condicional sem uma mudança repentina na sua postura de segurança. Você pode exibir e excluir as políticas restantes, mas não pode atualizá-las.

Os padrões de segurança ajudam na proteção contra ataques relacionados à identidade e estão disponíveis para todos os clientes, tem esse artigo que pode ajuda entender os padrões de segurança

Hands-On, Vamos configurar a verificação MFA para registrar informações de segurança

Vá para o Portal do Microsoft Entra ID

1. Expanda a opção Entra ID
2. Clique em Conditional Access
3. Em Overview
4. Clique em Create new policy

1. Em name, defina um nome para sua Conditional Access
2. Em Users or agents selecione como vai aplicar, se e para usuários/grupos, tem um artigo completo sobre como proteger agentes de IA com Conditiional Access
3. Aqui selecionei todos os usuário, mas pode ser aplicado a um grupo especifico de usuários.
4. Em exclude e aonde você seleciona quem deseja excluir da sua política.

Aqui no exclude adicionei meu usuário, mas o ideal e adicionar também uma conta Break Glass.

Em seguida, na seção Target resources, na lista suspensa Select what this policy applies to , escolha User actions e selecione 
Register security information. 

Em seguida, em Access Control, selecione Grant access

Ative a caixa de seleção Require multifactor autentication, Isso assegura que o usuário tenha que validar sua identidade por meio de um dos fatores de autenticação multifator previamente configurados na conta.

Caso deseje elevar ainda mais o nível de segurança, é possível habilitar a configuração Require multifactor autentication e definir como Pishing-resistant MFA por exemplo, chaves de segurança FIDO2 ou passkeys ou até mesmo criar uma força de autenticação personalizada conforme a política da sua organização.

Agora, defina a política em modo Rerport-only isso ajuda a analisar o impacto da política como se ela tivesse ativo, depois você pode deixar em ON e depois em Create.

De que maneira essa política será aplicada na prática?

Depois que essa política estiver habilitada, sempre que alguém tentar cadastrar um novo método de MFA, será necessário primeiro validar a identidade utilizando um fator já existente.

Em outras palavras, apenas os métodos previamente configurados como chamadas telefônica ou aplicativo autenticador poderão ser utilizados para confirmar que o acesso é legítimo antes de permitir qualquer novo registro.

Impedir o cadastro de novos métodos de MFA quando a solicitação vier de locais desconhecidos ou considerados não confiáveis.

Mesmo quando o MFA já está habilitado, ainda existem cenários em que invasores conseguem manipular usuários para burlar essa proteção. Por isso, aplicar camadas adicionais de segurança é essencial.

Um exemplo comum é a tentativa de cadastrar um novo método de MFA a partir de uma rede desconhecida, como um Wi-Fi externo ou até mesmo de outro país. Caso essa ação seja concluída com sucesso, o atacante pode consolidar o acesso à conta ao incluir seu próprio fator de autenticação. Parece improvável, mas acontece com mais frequência do que se imagina.

Para mitigar esse risco, é recomendável limitar o cadastro de novos métodos de MFA apenas a redes ou locais previamente definidos como confiáveis. Dessa forma, o processo de registro acontece exclusivamente em ambientes monitorados e considerados seguros pela organização.

Vamos Implementar políticas de Acesso Condicional no Microsoft Entra ID para restringir o registro de MFA a locais não confiáveis ​​e impedir registros não autorizados, seguindo estas etapas.

No portal do Microsoft Entra ID

O processo de configuração e bem parecido com oque fizemos no começo, vá para portal do Microsoft Entra ID

Na seção de Conditional Access, Clique em New Policy e de uma nome a ela, selecione todos os usuário ou grupos, no exclude se desejar excluir alguém, ideial que coloque pelos menos um usuário administrador.

Em seguida, na seção Target resources, na lista suspensa Select what this policy applies to , escolha User actions e selecione 
Register security information. 

Na seção de Conditional Access, selecione Named Locations, em Ip ranges location, de um nome a sua localização, cliquem no sinal de ”+” ira abrir um caixa para você adicionar seus Ips como confiáveis.

Em seguida, no bloco Network , em configure marque YES Configurar, depois, inclua Any Network location.

Um detalhe fundamental: para configurar as localizações confiáveis, o ideal é criar primeiro uma Named Location (Localidade Nomeada) e marcá-la como ‘Trusted’.

Ao selecionar a opção ‘All trusted networks and locations’ na sua política, o Microsoft Entra ID irá incluir automaticamente todas as redes que possuem esse selo de confiança, inclusive IPs legados do portal de MFA antigo. Caso você queira um controle mais restrito e segmentado, utilize a opção ‘Selected networks’ para escolher manualmente apenas as redes específicas (como a que você acabou de criar), garantindo que o acesso seja liberado exclusivamente para o perímetro desejado.

E em Exclude All trusted networks and locations. Aqui selecionando ALL, o Entra ID entende que todas as localizações nomeadas marcadas como confiáveis será selecionada, mas você pode segmentar e selecionar uma especifica clicando em Selected neworks and locations

Em seguida, em Access Control -> Block Access -> Pode deixar marcado a opção Require all the selected controls, pois nesse política ela não terá efeito, selecione Select, depois em Report-only ou ON, se quiser ver o impacto da política como se ela já tivesse ativo e report-only.

Depois que essa política estiver habilitada:

• Um usuário que acessar a conta a partir de uma rede confiável como a do escritório corporativo conseguirá cadastrar ou atualizar seus métodos de MFA normalmente.
• Já um invasor tentando registrar um novo método de autenticação a partir de um local não reconhecido como outro país ou uma rede pública terá a ação automaticamente bloqueada. Nesse caso, será exibida uma mensagem informando que o acesso não atende às exigências da política de segurança.

Próximo passo e restringir o registro de métodos de MFA apenas a dispositivos em conformidade e a redes previamente definidas como confiáveis.

Já implementamos bloqueios para impedir o registro de MFA a partir de redes não confiáveis, mas precisamos analisar do ponto de vista Zero Trust, o que acontece se o atacante conseguir agir a partir de um local considerado seguro?

É comum que administradores classifiquem os IPs do escritório como confiáveis para reduzir solicitações de MFA, embora isso traga conveniência, pode enfraquecer a estratégia de Zero Trust e aumentar o risco caso essa rede seja comprometida.

Nesses cenários, basear a proteção exclusivamente na localização não oferece segurança suficiente é necessário adicionar outras camadas de validação.

Para elevar o nível de proteção, é essencial adotar uma abordagem em camadas, a prática recomendada é permitir o cadastro de métodos de MFA apenas quando a solicitação vier de dispositivos em conformidade e conectados a redes previamente confiáveis esse reforço pode ser implementado por meio de uma estratégia em duas etapas, que contempla.

Criar políticas de conformidade de dispositivos no Microsoft Intune

Aqui vamos, definir as regras que determinam quando um dispositivo é considerado compatível, para isso, você pode 
configurar uma política de conformidade de dispositivo do Intune seguindo estas etapas.

Vá para o portal do de Administração do Intune

1. Clique em Device
2. Depois em Compliance
3. Create policy
4. Em Plataform selecione Windows 10 and later
5. Profile type selecione Windows 10/11 compliance policy, depois em create

Na guia Compliance Settings , em System Security, desça até a seção Device Security

Defina o Firewall, o Antivírus e o Antispyware como Require. Você também pode adicionar outros configurações que faz mais sentido para sua organização.

Aqui em Assignments, você vai atribuir a todos os dispositivos, ou criar um grupo especifico até mesmo para fazer testes, aqui nesse artigo marquei para todos os dispositivos. Depois você pode avançar e criar a sua política.

Impor o registro de MFA a partir de locais confiáveis ​​e dispositivos compatíveis

Vamos agora criar uma política de Acesso Condicional para proteger o processo de registro de MFA, garantindo que ele ocorra apenas em dispositivos compatíveis e redes confiáveis.

A configuração segue mesmo principio da qual já configuramos aqui nesse tutorial, vamos em Conditional Access -> Selecione os usuário e grupos que, no exclude selecione uma conta pelos menos, ideal que seja uma conta Break Glass.

Em Access control, Grant access, selecione Require device to be marked as compliant,

Atenção: Aqui se o seu ambiente for híbrido (com Active Directory local integrado ao Microsoft Entra ID), habilite também a opção Require Microsoft Entra hybrid joined device, essa configuração garante que apenas dispositivos ingressados no domínio local e sincronizados com o Entra ID possam registrar métodos de MFA.

Após a ativação da política

• Um usuário legítimo que estiver em uma rede confiável e utilizando um dispositivo em conformidade conseguirá concluir o registro de MFA normalmente. Por exemplo, um equipamento corporativo no escritório, atendendo aos requisitos de segurança como firewall ativo, antivírus e antispyware atualizados, passará pela validação sem impedimentos.
• Por outro lado, se um atacante tentar cadastrar um novo método de MFA a partir de um local confiável, mas utilizando um dispositivo que não esteja em conformidade com as políticas da organização, a tentativa será automaticamente bloqueada

Como controlar o cadastro de métodos de MFA por meio da Política de Risco do Usuário no Microsoft Entra ID.

Até aqui, abordamos como limitar o cadastro de MFA com base em rede e conformidade do dispositivo, no entanto, surge uma questão crítica: e se a conta já estiver comprometida?

Quando uma identidade apresenta sinais de risco, o cenário se torna mais delicado. Atacantes que assumem uma conta frequentemente tentam registrar um novo método de MFA o quanto antes, caso consigam, podem impedir o acesso do usuário legítimo e estabelecer persistência no ambiente por um período prolongado.

É nesse ponto que as políticas de Risco do Usuário se tornam essenciais, elas permitem detectar identidades sinalizadas como arriscadas por exemplo, devido a credenciais expostas ou comportamentos incomuns e bloquear o registro de novos métodos de MFA até que o risco seja tratado.

Ao implementar essa camada de proteção, apenas usuários considerados confiáveis poderão alterar configurações de autenticação, evitando que atacantes estabeleçam acesso persistente.

A seguir, veja como configurar a política de Risco do Usuário para impedir o cadastro de MFA em contas classificadas como suspeitas.

Atenção; As políticas de Risco de usuário fazem parte do Entra ID Protection que requem um licenciamento Entra ID Premium P2. Clique aqui para ver artigo completo sobre ID Protection.

Vá para portal do Microsoft Entra ID

Navegue até Conditional Access, depois em New Policy, de um nome a sua policy, em Assignments selecione usuário ou grupos, em exclude lembre-se da conta Break Glass.

Conta Break Glass é uma conta administrativa de emergência mantida fora dos mecanismos normais de controle de acesso.
Ela é utilizada apenas em cenários críticos, como falhas em políticas de acesso condicional, problemas de autenticação ou indisponibilidade de provedores de identidade, garantindo que administradores ainda possam acessar o ambiente para restaurar o controle do sistema.

Em Target resources, selecione All resouces (formerly ‘All coud apps’)

Em Conditions, selecione User Risk, depois em configure marque YES, e selecione High, Medium e Low, e clique em Done

Se você preferir adotar uma abordagem menos restritiva, pode configurar a política para abranger apenas os níveis de risco Alto (High) e Médio (Medium), deixando o nível Baixo (Low) desmarcado, essa estratégia reduz impactos operacionais causados por detecções de baixo risco que muitas vezes representam apenas comportamentos incomuns enquanto ainda bloqueia contas com forte indicação de comprometimento, assim, você mantém um equilíbrio entre segurança e usabilidade, concentrando a restrição nos casos com maior probabilidade de invasão real.

Na seção, Grant, selecione Block Access, e selecione Select, pode ativar ele clicando em ON, ou em modo report-only

Depois de ativada, essa política assegura que somente usuários considerados sem risco possam realizar o cadastro de métodos de autenticação multifator (MFA).

Caso uma conta seja sinalizada como arriscada por exemplo, devido a comportamentos suspeitos ou indícios de comprometimento a regra é acionada automaticamente. Nesse cenário, a tentativa de registro de MFA é interrompida e bloqueada, sendo exibida ao usuário uma mensagem de erro semelhante à apresentada abaixo.

Monitore os relatórios de atividades relacionadas ao cadastro de MFA no Microsoft Entra.

Depois de implementar controles baseados em localização, conformidade de dispositivo, risco do usuário e métodos resistentes a phishing, o próximo passo estratégico é garantir monitoramento contínuo. Políticas reduzem a superfície de ataque, mas é a visibilidade operacional que permite identificar desvios comportamentais antes que se tornem incidentes. Acompanhar os registros de inscrição de MFA no Microsoft Entra possibilita detectar padrões anormais, como tentativas fora do horário padrão, variações geográficas inesperadas ou múltiplas tentativas de cadastro em curto intervalo de tempo.

Além disso, o monitoramento regular dos logs valida se as camadas de proteção estão funcionando conforme planejado. Ele permite correlacionar eventos de risco, alterações de métodos de autenticação e sinais de comprometimento, fortalecendo a postura de resposta proativa. Segurança eficaz não é apenas bloquear é observar, analisar tendências e agir rapidamente diante de qualquer indício de abuso no processo de registro de MFA.

User registrations details: Permitem identificar quais contas já concluíram o registro de autenticação multifator (MFA) e quais ainda não configuraram métodos de MFA necessários.

Registration and reset events: Os eventos de cadastro e redefinição disponibilizam logs detalhados de cada operação realizada. Neles, é possível consultar informações como data e hora, UPN do usuário, tipo de atividade executada, método de autenticação utilizado e o resultado de cada tentativa de registro.

Com base nos relatórios de registro e redefinição, o monitoramento contínuo torna-se uma etapa essencial da estratégia de proteção implementada. Ao analisar esses eventos em tempo real, é possível identificar comportamentos fora do padrão, como múltiplas tentativas de cadastro, alterações inesperadas de métodos de autenticação ou atividades originadas de locais incomuns. Essa visibilidade permite agir de forma proativa, bloqueando possíveis tentativas de abuso e validando que as políticas de Acesso Condicional, risco do usuário e conformidade de dispositivo estão funcionando conforme o esperado para proteger o ambiente do Microsoft 365.

Conclusão

Proteger o processo de registro de autenticação multifator é uma etapa essencial para evitar que invasores assumam o controle de contas comprometidas. Ao aplicar controles baseados em localização, exigir dispositivos em conformidade, utilizar políticas de risco do usuário e adotar métodos de autenticação mais robustos, como chaves resistentes a phishing, você cria múltiplas camadas de defesa para impedir registros maliciosos de MFA. No entanto, a proteção não termina na configuração das políticas. O monitoramento contínuo dos eventos de registro e das atividades de autenticação é fundamental para identificar comportamentos suspeitos, validar a eficácia das políticas aplicadas e responder rapidamente a possíveis tentativas de comprometimento. Essa combinação de prevenção, controle e visibilidade fortalece significativamente a postura de segurança do Microsoft 365 e reduz o risco de acesso persistente por agentes mal-intencionados.

Links de referência: MFA resistente a phishing (Iniciativa Secure Future)
Links de referência: What is Conditional Access?
Link de rederência: Configure and enable risk policies

Chegamos ao final de mais um artigo, e você já tinha configurado alguma dessas políticas no Microsoft Entra ID? Compartilhe sua experiência, quais desafios encontrou?… faça parte dessa jornada você também.