Padrões de segurança da Microsoft estão recebendo uma atualização que impacta milhões de contas de usuários do Azure Active Directory

Para impedir roubos de senha e ataques de phishing, a Microsoft está lançando novos padrões de segurança para milhões de usuários do Azure Active Directory (conhecido como AD).

A empresa começou a implantar esses padrões de segurança – inicialmente focados em usuários recém-criados do Azure AD – em meados de outubro de 2019. Porém, não habilitou os padrões para usuários do Azure AD que criaram contas antes de outubro de 2019.

Hoje, os padrões de segurança do Azure AD são utilizados por cerca de 30 milhões de organizações, de acordo com a Microsoft, e no próximo mês a gigante da tecnologia expandirá seu alcance para outras milhares de empresas, o que deve resultar na proteção de mais de dezenas de milhões de contas.

“Quando concluído, esse lançamento protegerá mais 60 milhões de contas (aproximadamente a população do Reino Unido!) dos ataques mais comuns de roubo de dados, como o phishing”, declarou um diretor de segurança da Microsoft.

Os padrões de segurança do Azure Active Directory

O Azure AD é o serviço da Microsoft para lidar com identificação de usuários e autenticação para aplicativos locais e em nuvem. Foi a evolução dos Serviços de Domínio do Active Directory, presentes no Windows 2000.

Em 2019, a Microsoft introduziu padrões de segurança como um conjunto básico de mecanismos de autenticação para empresas com menos recursos para investir em segurança da informação, mas que queriam aumentar a defesa contra ataques de phishing.

Também foi destinado a organizações que usam o nível gratuito de licenciamento do Azure AD, permitindo que esses usuários apenas alternem suas medidas de segurança para “padrões de segurança” por meio do portal do Azure para se proteger desses ataques.

Os padrões de segurança, porém, não se destinavam a organizações maiores, ou àquelas que já usam controles mais avançados do Azure AD, como as políticas de acesso condicional.

Como a própria Microsoft esclarece, esses padrões de segurança foram introduzidos apenas para novos usuários a fim de garantir que eles tivessem uma “política de segurança básica”, sobretudo a autenticação multifator (MFA). A aplicação desses padrões independia da licença e da estrutura da organização.

Como resultado, as 30 milhões de organizações que se beneficiam da solução são muito menos propensas a violações.

“Essas organizações experimentam 80% menos comprometimento do que as demais organizações”, informa Alex Weinert, diretor de segurança da Microsoft.

Basicamente, os padrões de segurança sujeitam os usuários a um desafio de MFA “quando necessário”, com base na localização do dispositivo, função e tentativa de acesso do usuário. Os administradores da conta, no entanto, precisarão usar a autenticação multifator toda vez que fizerem login, como medida preventiva adicional.

Mais proteção para pequenas e médias empresas

A distribuição dos padrões de segurança ocorrerá primeiro para organizações que não estiverem usando o acesso condicional e que não têm medidas de segurança configuradas.

A Microsoft notificará os administradores globais dos usuários qualificados do Azure AD este mês sobre os padrões de segurança por meio de um e-mail, informa a empresa. No final de junho, esses administradores verão uma notificação do Outlook da Microsoft solicitando que eles cliquem em “habilitar padrões de segurança” e um aviso de que “os padrões de segurança serão habilitados automaticamente para suas organizações em 14 dias”.

Os administradores globais podem optar pelos padrões de segurança imediatamente ou esperar o fim desses 14 dias para que sejam habilitados. Eles também podem optar explicitamente por não aceitar os padrões de segurança, disse a Microsoft, embora não seja recomendado.

Uma vez habilitado, todos os usuários associados à organização serão solicitados a fazer um registro MFA usando o aplicativo Microsoft Authenticator. Os administradores globais também precisarão fornecer um número de telefone para recuperação de acesso, caso necessário.

E, sabendo que algumas organizações serão resistentes à solução, a Microsoft alerta: “quando analisamos as contas invadidas, mais de 99,9% não usam MFA, tornando-as especialmente vulneráveis a ataques de phishing e de reutilização de senha”.

Portanto, o recomendado é aderir aos novos padrões o quanto antes, se a sua organização fizer parte do grupo qualificado para a solução.

A Compugraf garante que sua empresa opere dentro das melhores políticas de segurança globais. Acesse nossas soluções e saiba como podemos te ajudar!