Pontos principais
- Mudanças não autorizadas em funções de administrador no Microsoft 365 estão entre os primeiros sinais de uma invasão ou de uma ameaça interna.
- O Log de Auditoria Unificado no Microsoft Purview precisa ser ativado explicitamente antes que qualquer método de monitoramento deste guia funcione.
- O PowerShell com Search-UnifiedAuditLog oferece um método leve para consultar mudanças recentes de função em ambientes pequenos de clientes; a API do Microsoft Graph é a abordagem preferida para ambientes corporativos e MSPs que gerenciam vários tenants em escala.
- Chaves de registro que armazenam o carimbo de data e hora de cada auditoria bem-sucedida funcionam como mecanismo de verificação persistente.
- Contas de serviço que fazem mudanças de função legítimas devem ser marcadas e excluídas dos filtros de alerta, não retiradas do monitoramento por completo.
- O acesso Just-In-Time pelo Microsoft Entra Privileged Identity Management (PIM) é a estratégia de longo prazo mais eficaz contra o acúmulo de privilégios.
Monitorar mudanças em funções de administrador no Microsoft 365 é essencial para qualquer organização, principalmente para MSPs. Isso ajuda a evitar alterações não autorizadas, consideradas sinais precoces de uma invasão ou de uma ameaça interna.
Quando um administrador eleva por engano os privilégios de um usuário sem a devida aprovação, expõe a organização a atividades maliciosas sem perceber. Pior: essas elevações inesperadas podem gerar violações de conformidade com normas como NIST, CIS e ISO 27001.
Acontece que acompanhar manualmente as notificações de mudança de função em vários tenants é trabalhoso e consome muito tempo. Automatizar os alertas é a única forma de rastrear essas mudanças com eficiência em diversos ambientes.
Neste guia, mostramos como automatizar as notificações de mudança de função no Microsoft 365 usando diferentes ferramentas nativas do Windows. Continue a leitura para conhecer as melhores práticas de monitoramento de mudanças de função.
Para uma explicação visual do tema, assista a Como automatizar notificações de mudança de função no Microsoft 365 para supervisão administrativa.
Como configurar notificações automáticas de mudança de função no Microsoft 365
Antes de começar, confirme se os requisitos abaixo estão atendidos:
Pré-requisitos:
- Tenant do Microsoft 365 com direitos de administrador global ou de gerenciamento de funções privilegiadas
- Microsoft Graph PowerShell SDK instalado
- Log de Auditoria Unificado ativado no Microsoft Purview
- Permissões de auditoria do Exchange Online para leitura de eventos de auditoria
- Acesso ao registro e ferramentas de RMM, como NinjaOne, para marcação de confirmação (opcional)
- Power Automate para entrega low-code (opcional)
Método 1: ative e verifique o log de auditoria
Caso de uso: garante que o log de auditoria centralizado esteja ativo em todos os serviços do Microsoft 365.
- Verifique se o Log de Auditoria Unificado está ativado
Connect-ExchangeOnline
Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true
- Confira o status
Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled
Essa funcionalidade precisa estar ativa para coletar eventos de mudança de função do Microsoft 365.
Método 2: use o PowerShell para consultar mudanças de atribuição de função
Caso de uso: verificar rapidamente mudanças recentes de função no Microsoft 365 de um tenant. É o método ideal para administradores de TI que atendem poucos clientes.
- Consulte os logs de auditoria em busca de mudanças de função
Connect-ExchangeOnline
$startDate = (Get-Date).AddDays(-1)
$endDate = Get-Date
$results = Search-UnifiedAuditLog `
-StartDate $startDate `
-EndDate $endDate `
-RecordType AzureActiveDirectory `
-Operations "Add member to role." `
-ResultSize 1000
$results | Select-Object CreationDate, UserIds, Operations, AuditData
- Filtre a saída
$results | Select-Object CreationDate, UserIds, Operations, AuditData
Agende essa execução pelo Agendador de Tarefas ou pela sua plataforma de RMM para disparar alertas sempre que uma mudança de função for detectada.
Método 3: use a API do Microsoft Graph para monitorar atribuições de função
Caso de uso: verificar rapidamente mudanças recentes de função no Microsoft 365 de um tenant. É o método ideal para administradores de TI que atendem poucos clientes.
- Autentique-se no Microsoft Graph
Connect-MgGraph -Scopes "RoleManagement.Read.Directory",
"AuditLog.Read.All"
- Consulte as atribuições de função
Get-MgRoleManagementDirectoryRoleAssignment
- Compare com o estado anterior salvo em um arquivo local ou no registro para detectar novas atribuições
# Export current state
$assignments = Get-MgRoleManagementDirectoryRoleAssignment | Select Id, PrincipalId, RoleDefinitionId
$assignments | Export-Csv "C:\Logs\CurrentRoles.csv" -NoTypeInformation
Automatize a comparação entre os dois estados e envie notificações se detectar qualquer mudança.
Método 4: use chaves de registro para rastrear a última verificação de auditoria
Caso de uso: rastrear a última auditoria bem-sucedida para garantir que os scripts agendados estão rodando.
- Para armazenar o carimbo de data e hora da última verificação bem-sucedida
New-Item -Path "HKLM:\SOFTWARE\Org\RoleChangeAudit" -Force
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\RoleChangeAudit" `
-Name "LastAuditRun" -Value (Get-Date).ToString("u")
- Para verificar
reg query HKLM\SOFTWARE\Org\RoleChangeAudit
Dica: use as chaves de registro para rastrear a auditoria mais recente e configure a ferramenta de RMM para disparar alertas caso o último carimbo de data e hora não tenha sido atualizado recentemente. Esse passo ajuda a monitorar se os scripts estão rodando corretamente.
Método 5: use a Política de Grupo para restringir a elevação local de funções nos dispositivos
Caso de uso: aplicar restrições de função por Política de Grupo e impedir mudanças não autorizadas no grupo de administradores locais em dispositivos híbridos ou cogerenciados.
Caminho da GPO
Configuração do Computador > Configurações do Windows > Configurações de Segurança > Grupos Restritos
Defina quem deve e quem não deve fazer parte dos grupos de administradores locais. Assim, você evita de forma proativa que usuários locais façam mudanças não autorizadas nos grupos.
Pontos de atenção
Fique atento a estas armadilhas ao seguir o guia:
| Riscos | Possíveis consequências | Como reverter |
| Logs de auditoria ausentes | As mudanças de função passam despercebidas e não há trilha de auditoria das configurações. | Use o PowerShell para verificar se o log de auditoria está totalmente ativado e se a ingestão está ativa. |
| Erros na API do Graph | O monitoramento pode falhar e as mudanças de função passam despercebidas. | Execute gpupdate /force antes de rodar gpresult /h. Inclua a saída do status da GPO nas notas de escalonamento para validação do Nível 2. |
| Falsos positivos | Fadiga de alertas por sinalizar mudanças de função autorizadas. | Refine os filtros da consulta e exclua dos resultados as contas de serviço conhecidas e o processo de provisionamento. |
| Scripts com falha | Detecções perdidas. | Registre em arquivo e adicione lógica de captura de erros com Try/Catch. |
| Alertas mal configurados | Mudanças críticas podem passar batido. | Use um fluxo do Power Automate com um conector de log de auditoria para garantir alertas em tempo real. |
Guia de início rápido
NinjaOne ajuda a automatizar as notificações de mudança de função no Microsoft 365 para supervisão administrativa, embora atue principalmente como painel centralizado e plataforma de automação integrada ao Microsoft 365 por APIs ou scripts.
Como NinjaOne ajuda:
1. Políticas de automação
- Crie políticas de automação que disparam ações (como notificações) quando eventos específicos acontecem no Microsoft 365.
- Use a integração com PowerShell do NinjaOne para rodar scripts personalizados que monitoram mudanças em funções de administrador.
2. Integração com o Microsoft 365
- NinjaOne se conecta diretamente aos tenants do Microsoft 365, o que permite monitorar funções de administrador e receber alertas por e-mail ou no painel do NinjaOne.
3. Scripts personalizados
- Escreva scripts com a API do Microsoft Graph ou PowerShell dentro do NinjaOne para consultar mudanças de função e notificar os administradores.
Melhores práticas para monitorar mudanças de função no Microsoft 365
Veja algumas boas práticas para acompanhar mudanças de função no Microsoft 365:
Exclua ou marque as contas de serviço de forma diferente
Administradores de TI costumam usar contas de serviço para automação ou integração, ou seja, essas contas podem fazer mudanças de função legítimas. Se o sistema de alertas não excluir essas contas das buscas, os logs vão acumular centenas de falsos positivos.
Por isso, o melhor é listar todas as contas de serviço confiáveis e excluí-las dos alertas. Também dá para criar uma marcação específica para as atividades delas, assim você continua acompanhando essas ações sem gerar alarmes falsos.
Crie políticas de expiração de funções
Nem toda função deve ser permanente. Algumas empresas concedem acesso elevado temporário para projetos específicos e depois esquecem completamente dessas permissões.
Para impedir que atribuições desatualizadas virem riscos de segurança ocultos, crie uma lógica que expire ou remova funções automaticamente após um período determinado.
Use acesso Just-In-Time (JIT) sempre que possível
Use ferramentas de gerenciamento de acesso privilegiado (PAM) como o Microsoft Entra PIM para aplicar acesso JIT sempre que possível. Esse recurso permite que usuários solicitem permissões elevadas quando precisarem e as revoga automaticamente depois do uso.
Padronize o monitoramento de mudanças de função em todos os tenants
Se você gerencia vários ambientes do Microsoft 365, use os mesmos scripts ou fluxos de monitoramento em todos os tenants para garantir consistência.
Não perca nenhuma notificação crítica de mudança de função com a ajuda do NinjaOne
NinjaOne ajuda a acompanhar mudanças de função no Microsoft 365 em todos os clientes ao:
- Agendar e executar scripts de auditoria em PowerShell nos tenants
- Armazenar chaves de registro com carimbo de data e hora que confirmam se as auditorias de função estão funcionando
- Disparar alertas sempre que mudanças de função forem detectadas ou intervalos de auditoria forem perdidos
- Gerar relatórios entre clientes com as atribuições de função atuais e anteriores
- Sinalizar endpoints de risco com violações de atribuição de função ou de privilégios
Com NinjaOne, você identifica possíveis riscos de segurança antes que eles cresçam.
Bloqueie acessos não autorizados automatizando as notificações de mudança de função no Microsoft 365
As funções administrativas estão entre os recursos mais sensíveis de uma empresa. Agentes maliciosos podem explorar essas permissões com facilidade para roubar informações confidenciais ou, pior, provocar invasões sem serem detectados.
Diante desses riscos, monitorar mudanças de função no Microsoft 365 deveria ser obrigatório para qualquer MSP.
Criar um sistema de notificação garante que você rastreie, avalie e revise cada elevação de função que acontece em todos os ambientes de tenants.
Temas relacionados:
