Como operacionalizar a segurança Zero Trust

Zero Trust é um modelo de segurança baseado no princípio “nunca confie, sempre verifique”, que parte do pressuposto de que violações são inevitáveis. Por isso, toda solicitação de acesso precisa ser verificada. É um modelo poderoso, mas a execução malfeita cria atrito desnecessário para os usuários. A meta é construir proteções condicionais e sensíveis ao contexto, que funcionem discretamente em segundo plano e deem aos administradores controle e visibilidade totais.

Este guia apresenta métodos para operacionalizar a segurança Zero Trust com mais supervisão e controle. Para ver o tema explicado em vídeo, assista a Como operacionalizar a segurança Zero Trust.

Métodos para operacionalizar a segurança Zero Trust

Antes de começar, garanta que os itens a seguir estejam prontos.

📌 Pré-requisitos gerais:

• Microsoft Entra ID (antigo Azure AD) Premium P1 ou P2 (P1 é necessário para Acesso Condicional; P2 para Identity Protection)
• Microsoft Defender para Endpoint (para avaliação de risco do dispositivo)
• PowerShell 5.1 ou superior (7+ recomendado) com o módulo Microsoft.Graph
• GPO e acesso de administrador local
• Plataforma de RMM (por exemplo, NinjaOne) para implantar políticas por tags e validar endpoints

Método 1 (controles de identidade): crie políticas de Acesso Condicional baseadas em contexto

O Acesso Condicional (CA) é o motor central do Zero Trust. É um recurso essencial do Microsoft Entra ID que aplica regras (conceder, restringir, bloquear) com base em sinais como nível de risco, conformidade do dispositivo, localização e outros. Esse método ajuda a montar a primeira linha de defesa da sua estratégia Zero Trust.

📌 Casos de uso: ideal quando é preciso bloquear o acesso de dispositivos arriscados ou não gerenciados e liberar acesso fluido a endpoints confiáveis e em conformidade.

📌 Pré-requisitos:

• Licença Microsoft Entra ID P1 ou P2 (para Acesso Condicional e Identity Protection)
• Dispositivos registrados/sincronizados no Entra ID
• Acesso de administrador ao centro de administração do Microsoft Entra
• Opcional: PowerShell 5.1 ou superior (7+ recomendado) com o módulo Microsoft.Graph para automação e relatórios

Passo a passo:

1. Acesse o centro de administração do Microsoft Entra.
2. Entre com uma conta que tenha direitos de administrador de Acesso Condicional.
3. No menu à esquerda, selecione Entra ID > Acesso Condicional.
4. Clique em + Criar nova política.
5. Dê um nome claro e descritivo.
6. Em Atribuições, selecione os usuários/grupos que serão incluídos.
7. Clique em Recursos de destino (antigo Aplicativos de nuvem) e selecione os aplicativos ou recursos aos quais a política se aplica.
8. Clique em Condições e defina os sinais de contexto.

💡 Dica: evite regras amplas que bloqueiem todo mundo. Em vez disso, use as opções disponíveis em Condições (plataformas de dispositivo, locais, aplicativos cliente, filtros de dispositivo ou fluxos de autenticação) para aplicar controles só quando riscos específicos forem detectados.

9. Conceda ou bloqueie em Controles de acesso.
10. Defina como Somente relatório > Criar > valide em Insights e relatórios > e então mude para Ativado. (Leia o item 1 em ⚠️ Pontos de atenção .)

Opcional: use PowerShell para listar usuários de risco

Para identificar usuários de risco, use o PowerShell:

Connect-MgGraph -Scopes "IdentityRiskEvent.Read.All"

Get-MgRiskyUser | Where-Object { $_.RiskLevel -eq "high" } | Select-Object UserPrincipalName, RiskLevel

📌 Observação: esse comando retorna apenas usuários marcados como de risco alto. Ajuste o filtro para incluir risco médio ou baixo, se precisar.

Exemplo de lógica para uma política de Acesso Condicional

• Bloquear o acesso de dispositivos desconhecidos com nível de risco = Alto.
• Exigir MFA apenas em acessos de IPs não gerenciados ou não confiáveis.
• Permitir acesso fluido de dispositivos conhecidos, em conformidade e com ingresso híbrido.

Método 2 (controles de identidade): simplifique MFA, SSO e controles de sessão

Este método reforça a segurança de identidade ao simplificar MFA, SSO e controles de sessão, reduzindo o atrito sem enfraquecer a proteção. É o equilíbrio que uma abordagem Zero Trust precisa.

📌 Casos de uso: use para exigir MFA em aplicativos sensíveis, habilitar SSO, ajustar a duração das sessões e melhorar a experiência em dispositivos confiáveis.

📌 Pré-requisitos:

• Licença Microsoft Entra ID P1 ou P2 (para Acesso Condicional e risco adaptativo)
• Dispositivos registrados/sincronizados no Entra ID
• Acesso de administrador ao centro de administração do Microsoft Entra
• Opcional: PowerShell 5.1 ou superior (7+ recomendado) com o módulo Microsoft.Graph para automação

Passo a passo:

Evite atrito alinhando a autenticação ao acesso adaptativo e à confiança do dispositivo:

1. Crie uma política de Acesso Condicional que exija MFA em Controles de acesso

1. 1. Acesse o centro de administração do Microsoft Entra.
   2. No menu à esquerda, selecione Entra ID > Acesso Condicional.
   3. Crie ou edite uma política.
   4. Em Controles de acesso, escolha Conceder acesso.
   5. Selecione Exigir autenticação multifator.

2. Habilite o logon único (SSO)

1. 1. Acesse o centro de administração do Microsoft Entra > Aplicativos Empresariais.
   2. Selecione o aplicativo.
   3. Em Logon Único, escolha SAML ou OIDC conforme o aplicativo.
   4. Configure as opções do aplicativo.
   5. Atribua usuários/grupos ao aplicativo.
   6. Teste a configuração para garantir um login sem interrupções.

📌 Observação: OIDC/OAuth2 costuma ser configurado em Registros de aplicativo (ou em aplicativos da galeria compatíveis com OIDC), não só em Aplicativos Empresariais.

3. Configure os controles de sessão

1. 1. Na mesma política de Acesso Condicional, vá até Controles de sessão.
   2. Configure: (leia o item 2 em ⚠️ Pontos de atenção.)
      • Frequência de entrada
      • Sessão persistente do navegador

Ajustar a duração das sessões ajuda a equilibrar segurança e usabilidade.

Registro opcional: armazene a confirmação de MFA do usuário/dispositivo

📌 Observação: execute o PowerShell como administrador.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\TrustFlags" -Name "MFAApproved" -Value "True"

📌 Se o caminho do registro não existir, use o comando a seguir para criá-lo antes de definir a propriedade:

New-Item -Path "HKLM:\SOFTWARE\Org" -Name "TrustFlags" -Force

Combine isso com filtros de Acesso Condicional para limitar os prompts de MFA a dispositivos sem tag ou não gerenciados.

Dica profissional: implemente acesso Just-In-Time (JIT) Com o Entra ID P2, vá além das atribuições estáticas de administrador. Use o Privileged Identity Management (PIM) para exigir que administradores “ativem” seus papéis com justificativa e MFA. Assim, mesmo que uma conta de administrador seja comprometida, a “confiança” vale apenas por uma janela limitada (por exemplo, 4 horas).

Método 3 (linha de base do dispositivo): use GPO para aplicar a linha de base sem atrapalhar o usuário

Os objetos de política de grupo (GPOs) são uma solução confiável para gerenciar configurações de dispositivos de forma centralizada. Este método usa GPOs para criar uma linha de base Zero Trust local nos endpoints Windows, evitando desvios de configuração e fechando lacunas de política no nível do dispositivo.

📌 Casos de uso: garantir que todos os dispositivos ingressados no domínio atendam aos padrões mínimos de segurança da linha de base.

📌 Pré-requisitos:

• Os dispositivos precisam estar ingressados no domínio ou em ingresso híbrido
• Privilégios de administrador de domínio para criar/editar GPOs

Passo a passo:

1. Pressione Win + R, digite gpmc.msc e pressione Enter para abrir o Console de Gerenciamento de Política de Grupo.
2. Clique com o botão direito no domínio ou em uma unidade organizacional (UO).
3. Selecione Criar um GPO neste domínio e fornecer um link para ele aqui. (Leia o item 3 em ⚠️ Pontos de atenção .)
4. Dê um nome a ele.
5. Clique com o botão direito no novo GPO e clique em Editar.
6. Configurações de GPO a definir:

• • Ativar o Microsoft Defender Antivírus

Configuração do Computador > Políticas > Modelos Administrativos > Componentes do Windows > Microsoft Defender Antivírus

📌 Defina Desativar o Microsoft Defender Antivírus como Desativado (isso garante que o Defender fique ativo).

• • Ativar o SmartScreen

Configuração do Computador > Modelos Administrativos > Componentes do Windows > Explorador de Arquivos

📌 Defina Configurar o Windows Defender SmartScreen como Ativado e selecione Avisar e impedir ignorar.

• • Exigir criptografia BitLocker

Configuração do Computador > Modelos Administrativos > Componentes do Windows > Criptografia de Unidade de Disco BitLocker

• • Ative as políticas correspondentes para:
    • Unidades de Dados Fixas: exigir BitLocker
    • Unidades do Sistema Operacional: exigir BitLocker
    • Unidades de Dados Removíveis: exigir BitLocker

• • Desativar compartilhamentos anônimos

Configuração do Computador > Configurações do Windows > Configurações de Segurança > Políticas Locais > Opções de Segurança

📌 Não se aplica às edições modernas do Windows Server, substituídas por padrões mais rígidos.

• • Forçar a área de trabalho segura em prompts de elevação

Configuração do Computador > Configurações do Windows > Configurações de Segurança > Políticas Locais > Opções de Segurança

📌 Localize Controle de Conta de Usuário: alternar para a área de trabalho segura ao solicitar elevação e defina como Ativado.

Opcional: forçar a atualização do GPO

Para aplicar a política imediatamente em um dispositivo cliente, execute: gpupdate /force

Caminho moderno: migre para o catálogo de configurações do Intune Em organizações cloud-first, replique as linhas de base de GPO com os perfis de configuração do Microsoft Intune. Isso permite aplicar a “linha de base do dispositivo” pela internet aberta, sem exigir VPN — um requisito central do modelo Zero Trust “sem perímetro”.

Método 4 (confiança e aplicação no dispositivo): marque dispositivos pelo registro para gerenciar o estado de confiança

Em ambientes Zero Trust, a marcação via registro permite definir e acompanhar localmente o estado de confiança de um dispositivo. Este método usa entradas de registro para dar suporte à lógica de scripts, à auditoria e ao mapeamento de políticas.

📌 Casos de uso: ideal para marcar dispositivos como confiáveis/gerenciados e filtrar no Acesso Condicional, deixar o RMM varrer e atribuir políticas conforme as flags e habilitar automações por scripts.

📌 Pré-requisitos:

• Privilégios de administrador para modificar o registro
• RMM ou ferramenta de gerenciamento de endpoints (opcional, mas recomendado)
• Acesso ao PowerShell ou CMD para scripts e validação

Passo a passo:

1. Abra o PowerShell como administrador.
2. Crie o caminho do registro para as flags de confiança: New-Item -Path "HKLM:\SOFTWARE\Org\TrustFlags" -Force
3. Defina as flags de confiança: (leia o item 4 em ⚠️ Pontos de atenção.)

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\TrustFlags" -Name "DeviceTrusted" -Value "True"
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\TrustFlags" -Name "ManagedByRMM" -Value "NinjaOne"

4. Valide as chaves do registro:
   • Abra o Prompt de Comando e execute: reg query HKLM\SOFTWARE\Org\TrustFlags

A saída deve ser parecida com esta:

HKEY_LOCAL_MACHINE\SOFTWARE\Org\TrustFlags
DeviceTrusted REG_SZ True
ManagedByRMM REG_SZ NinjaOne

Use o RMM para varrer essas tags e atribuir scripts ou políticas de acordo.

📌 Observação: o Acesso Condicional não lê valores do registro diretamente. Use a conformidade personalizada do Intune para mapear flag de registro > conformidade do dispositivo > Acesso Condicional e integrar com o CA.

📌 Observação para usuários NinjaOne: em ambientes Windows sem RMM, a marcação pelo registro serve para sinalizar dispositivos confiáveis. Se você usa NinjaOne, esse passo é desnecessário. NinjaOne já inclui marcação de dispositivos, monitoramento do registro e atribuição de políticas, então os estados de confiança são aplicados automaticamente, sem edições manuais no registro.

Método 5 (confiança e aplicação no dispositivo): use PowerShell para aplicar políticas locais em tempo real

Este método usa o PowerShell para aplicar políticas de segurança na hora em dispositivos Windows, sem a latência típica dos GPOs. Ele detecta configurações fora de conformidade, corrige em tempo real e envia o status ao seu RMM ou CI para gerar alertas.

📌 Casos de uso: ideal para aplicar configurações de segurança durante o onboarding e rodar verificações de conformidade e scripts de correção sob demanda.

📌 Pré-requisitos:

• PowerShell 5.1 ou mais recente
• Privilégios de administrador para executar comandos no nível do sistema
• Opcional: RMM ou ferramenta de gerenciamento de endpoints para execução remota

Passo a passo:

1. Abra o PowerShell como administrador.
2. Ative o Firewall do Windows:

Set-NetFirewallProfile -Profile Domain,Private,Public -Enabled True

3. Desative o SMBv1 (protocolo legado):

Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol -NoRestart

4. Audite o último login de cada usuário:

Get-LocalUser | ForEach-Object {
[PSCustomObject]@{
 User = $_.Name
LastLogon = $_.LastLogon
}
}

5. Inclua essas verificações nos scripts de onboarding ou de conformidade.

⚠️ Pontos de atenção

Considerações adicionais

Leve em conta os fatores a seguir ao operacionalizar a segurança Zero Trust:

Não bloqueie comportamentos legítimos

As políticas de Acesso Condicional (CA) valem para todas as contas, a menos que haja exceções definidas. Sem as exceções certas, fluxos críticos podem quebrar. Contas de serviço, por exemplo, muitas vezes não suportam MFA e falham se forem incluídas. Da mesma forma, IPs seguros talvez não precisem de desafios de autenticação repetidos.

Inclua contas de serviço, IPs seguros e aplicativos críticos para o negócio na sua lógica de exceções para evitar interrupções. Assim, os controles Zero Trust continuam fortes sem atrapalhar a operação do dia a dia.

Monitore entradas com falha e bloqueios de política

Zero Trust exige monitoramento contínuo. Use os logs de entrada do Microsoft 365 e consultas à Graph API para analisar tendências de autenticação, acompanhar o impacto das políticas nos usuários e identificar onde os riscos estão surgindo. Esses dados ajudam a refinar as regras de acesso e ajustar o nível de aplicação.

Treine os usuários para resolverem problemas com segurança

Os funcionários são a linha de frente da estratégia Zero Trust. Ensine-os a lidar sozinhos com situações comuns, como novo registro de MFA ou o procedimento para dispositivos perdidos. Isso reduz tickets no help desk, diminui o tempo de inatividade e incentiva os usuários a proteger ativamente suas contas e dispositivos.

Use o RMM para testar políticas condicionais e reverter mudanças

Antes de implantar políticas de Acesso Condicional em toda a organização, use sua ferramenta de monitoramento e gerenciamento remoto (RMM) para testá-las em um grupo piloto pequeno. Assim, dá para detectar atrito cedo, acompanhar a experiência do usuário e reverter mudanças rapidamente, se preciso.

Solução de problemas

Veja os problemas mais comuns ao operacionalizar a segurança Zero Trust e como resolvê-los:

Usuários bloqueados nos aplicativos

Os filtros de Acesso Condicional (CA) podem bloquear usuários legítimos quando eles não atendem às condições definidas. Revise as atribuições da política e os filtros (conformidade do dispositivo, localização, risco do usuário) para entender por que o acesso foi negado.

Dispositivo marcado como fora de conformidade

Um dispositivo pode aparecer como fora de conformidade quando faltam recursos de segurança ou eles estão mal configurados. As causas mais comuns envolvem Microsoft Defender Antivírus, TPM, BitLocker ou desvio das políticas de linha de base. Confirme se o Defender Antivírus está em execução, se há TPM disponível, se o BitLocker está ativo e se as políticas de linha de base foram aplicadas corretamente.

GPO não é aplicado

Um GPO pode não ser aplicado quando o vínculo está errado ou o escopo está desalinhado. Execute: gpresult /h report.html para gerar um relatório das políticas aplicadas e negadas.

📌 Observação:

Start-Process .\report.html

Isso abre o arquivo report.html no navegador padrão, permitindo revisar os GPOs aplicados e negados em um formato claro e legível.

Depois, confirme se o GPO está vinculado à UO correta, se o escopo está certo e se as configurações de processamento de loopback estão adequadas.

Loop de prompts de MFA

Os loops de MFA costumam vir de sessões mal configuradas ou de problemas na renovação de tokens. Verifique as configurações de sessão do Acesso Condicional (frequência de entrada e sessão persistente do navegador) e o comportamento de renovação de tokens nos aplicativos afetados. Garanta que os aplicativos suportem autenticação moderna para evitar pedidos repetidos de MFA.

Serviços NinjaOne

NinjaOne ajuda a operacionalizar o Zero Trust com:

Com NinjaOne, MSPs centralizam a validação de confiança dos dispositivos e automatizam a aplicação do Zero Trust em vários tenants, sem criar atrito para administradores ou usuários.

Operacionalize a segurança Zero Trust e reforce a proteção de identidades e endpoints

Dá para construir um ambiente Zero Trust sem irritar usuários nem sobrecarregar técnicos. Acesso Condicional, PowerShell, GPO e marcação no registro, somados a uma automação inteligente, permitem que MSPs apliquem controles de segurança fortes com o mínimo de interrupção.

Este guia cobriu os principais métodos para operacionalizar a segurança Zero Trust: criar políticas de Acesso Condicional adaptativas, aplicar GPOs e configurações de registro para endpoints confiáveis e usar o PowerShell para aplicar e auditar as medidas de Zero Trust. Também mostrou como NinjaOne simplifica a marcação de confiança, a aplicação de políticas e a automação entre tenants, fortalecendo a abordagem Zero Trust.

Tópicos relacionados:

• Como implementar o Zero Trust para reforçar a cibersegurança: um guia prático
• Como configurar políticas de Acesso Condicional no Azure AD
• O que é arquitetura Zero Trust: o principal modelo de segurança de TI explicado