Monitoramento do Microsoft Entra ID: Detectando atividade suspeita

Os ataques baseados em identidade aumentaram 32% na primeira metade de 2025, e mais de 97% deles foram tentativas de password spray ou força bruta, de acordo com o Microsoft Digital Defense Report 2025. O Microsoft Entra ID já registra quase todas as ações que esses ataques atingem, desde cada login até cada alteração de função e cada concessão de consentimento, portanto, a falta de dados raramente é uma limitação.

O desafio é saber quais desses eventos merecem um alerta e se alguém pode conectá-los depois que forem registrados em locais diferentes. Uma atribuição de função, uma concessão de consentimento OAuth e uma ativação temporária de administrador parecem tarefas administrativas comuns.

Os níveis de licença, as visualizações do portal e os limites do diretório híbrido dividem as evidências entre os sistemas, de modo que a sequência só se torna um ataque depois que alguém as reconstrói.

A detecção depende de quais sinais têm peso, onde as ferramentas nativas falham e como correlacionar o que resta em sinais de postura de segurança de identidade.

O que é o monitoramento do Microsoft Entra ID?

Microsoft Entra ID é o serviço baseado em nuvem da Microsoft para gerenciamento de identidade e acesso. Ele autentica usuários, aplica políticas de acesso e emite tokens que permitem que pessoas e aplicativos acessem Microsoft 365, recursos do Azure e aplicativos SaaS conectados.

O monitoramento geral da infraestrutura Azure cobre o tempo de atividade, a saúde da sincronização do diretório e o status do serviço para confirmar que a plataforma está funcionando. O monitoramento do Entra ID focado em segurança é diferente: mantém visibilidade contínua dos logs de login, logs de auditoria e atividade de Privileged Access Management, monitorando padrões que indicam comprometimento ou alterações não autorizadas.

Qualquer profissional sabe que o monitoramento deve ser contínuo, não periódico. O que diferencia uma prática eficaz de um painel que ninguém lê é saber quais sinais do Entra ID realmente importam.

Essa lista é mais restrita do que parece. Cobre logins arriscados sinalizados pelo Identity Protection, Adicionar membro ao papel eventos fora do PIM, concessões de consentimento OAuth como Adicionar concessão de permissão delegada, e edições de Conditional Access que afrouxam silenciosamente uma política.

Por que as equipes de segurança monitoram o Microsoft Entra ID

Entra ID está no centro de tudo o que a organização gerencia, por isso monitorá-lo bem traz benefícios para todo o ambiente que controla.O Netwrix 2025 Cybersecurity Trends Report constatou que 46% dos entrevistados sofreram comprometimento de conta em 2025, em comparação com 16% em 2020

• Revela as pequenas mudanças que se encadeiam em ataques: A orientação de resposta da Microsoft sobre a Midnight Blizzard intrusão descreve um ataque de password spraying que comprometeu uma conta de teste legada, não produtiva, sem MFA. O ator então comprometeu uma aplicação OAuth de teste legada com acesso elevado e a usou para conceder a si mesmo o papel full_access_as_app do Office 365 Exchange Online para acesso à caixa de correio. Cada passo parecia uma atividade administrativa rotineira, e a intrusão ocorreu do final de novembro de 2023 até ser detectada pela Microsoft em 12 de janeiro de 2024.
• Unifica AD híbrido e Entra ID em uma única superfície de detecção: A maioria das organizações utiliza ambos os diretórios. Monitorá-los juntos detecta um atacante que se move entre eles, por exemplo, abusando do Entra Connect Sync, onde as duas partes seriam consideradas eventos não relacionados de baixa gravidade.
• Responde à pergunta após o fato: O monitoramento que exporta e retém logs mantém uma trilha de evidências com valores antes e depois disponíveis para auditores, liderança e respondedores a incidentes muito além dos limites nativos de retenção.

Onde o monitoramento nativo do Microsoft Entra ID é insuficiente

Entra ID fornece três fontes principais de logs. Os logs de auditoria registram o que mudou, os logs de entrada registram quem se autenticou, de onde e em qual nível de risco, e os logs PIM registram como um privilégio foi ativado. Tê-los é apenas o primeiro passo na detecção.

As janelas de retenção são mais curtas do que a maioria das equipes espera

Os logs de auditoria e de login permanecem por 30 dias com uma licença P1 ou P2 e apenas sete dias no nível gratuito, conforme a referência de retenção de dados da Microsoft. As atualizações de retenção não são retroativas, portanto, migrar do Free para o P1 não recupera nada que já tenha expirado. Se uma equipe investigar um evento um mês depois, pode não encontrar nada para consultar.

Detalhes do risco estão disponíveis apenas com licenças P1/P2

Políticas de risco, detalhes completos de usuários arriscados e Acesso Condicional baseado em risco exigem todos Entra ID P2, conforme a documentação do Identity Protection da Microsoft. Inquilinos Free e P1 podem acessar logs de login, mas detecções de risco, logins arriscados e o contexto detalhado de risco que torna as anomalias acionáveis exigem Entra ID P2. Equipes com licenças inferiores monitoram com um conjunto de dados reduzido.

Os logs ficam em visualizações separadas sem correlação integrada

As equipes revisam logins, eventos de auditoria, alterações de Conditional Access e atividade de PIM em diferentes visualizações, então conectá-los requer logs exportados ou consultas permanentes. Uma exclusão de Conditional Access adicionada às 2:14 e uma atribuição de função às 2:31 nunca aparecem na mesma tela. A referência cruzada manual não escala bem além de alguns incidentes.

A atividade de On-prem AD e Entra ID permanece separada por padrão

As visualizações nativas registram uma alteração na associação de grupo como Windows Event ID 4728 em um controlador de domínio, separada de uma atribuição de função no log de auditoria do Entra ID. On-prem AD e Entra ID usam identificadores diferentes, portanto até mesmo logs exportados exigem mapeamento deliberado de identidade para correlacioná-los. Um caminho de ataque entre diretórios permanece invisível por padrão.

Como detectar atividade suspeita no Microsoft Entra ID

Atividades suspeitas no Entra ID geralmente chegam como uma cadeia de ações administrativas individualmente legítimas. As categorias de detecção abaixo fornecem a maior relação sinal-ruído para equipes de identidade que precisam priorizar seu monitoramento.

Fique atento a viagens impossíveis e logins arriscados

Um login arriscado é o indicador mais rápido de comprometimento da conta. Acione nas detecções de risco nomeadas do Microsoft Entra ID Protection, não apenas nos sinais brutos. Viagens atípicas sinalizam locais geograficamente impossíveis. Endereço IP anônimo sinaliza nós de saída Tor e outros serviços de anonimização.

Propriedades de login desconhecidas sinalizam dispositivos e combinações de navegador novos ou desconhecidos. Também fique atento a protocolos de autenticação legados como Post Office Protocol (POP), Internet Message Access Protocol (IMAP) e Simple Mail Transfer Protocol authentication (SMTP AUTH), pois nenhum deles pode aplicar multifactor authentication (MFA).

Correlacione a geografia com sinais de dispositivo, navegador e número de sistema autônomo (ASN), pois os atacantes usam serviços de IP residencial para evitar a detecção apenas geográfica.

Detecte a escalada de privilégios antes que ela se consolide

Uma atribuição de função de diretório ou ativação de PIM é uma elevação direta de privilégios, portanto, acompanhe quando acontecer em vez de revisar periodicamente quem tem acesso.O Netwrix 2026 Data and Identity Security Report constatou que 76% das organizações não conseguem revogar imediatamente o acesso permanente assim que não é mais necessário, o que aumenta o valor de capturar cada evento de elevação no momento em que ocorre.

O mesmo trabalho de privilégio mínimo geralmente continua na access certification para que a propriedade e as aprovações de funções permaneçam atualizadas. Acione nas audit operations Adicionar membro à função e Adicionar membro à função concluído (ativação PIM) para Tier-0 roles, significando os ativos com privilégios mais altos, como Global Administrator e Privileged Role Administrator. Atribuições de funções feitas fora do PIM merecem escalonamento imediato; o Microsoft Sentinel inclui uma community rule que corresponde a "Add member to role" fora do PIM para exatamente este caso.

Sinalizar enfraquecimento da política de Conditional Access

Manipulação da política Conditional Access, mapeada para a técnica MITRE ATT&CK T1556.009, permite que invasores afrouxem os controles que normalmente os detectariam antes de agirem. Acione nas atividades de auditoria Atualizar política Conditional Access e Excluir política Conditional Access, depois inspecione as propriedades modificadas para uma mudança de estado de habilitado para apenas relatório, novas exclusões de usuários ou grupos e controles de concessão ou sessão afrouxados. A mudança específica está oculta dentro do evento genérico de atualização, então alertar apenas pelo nome do evento cobre apenas metade do risco.

Rastreie concessões de consentimento de aplicativos OAuth

Um aplicativo OAuth com consentimento mantém acesso que sobrevive a redefinições de senha e mudanças de MFA, o que o torna um mecanismo de persistência com mais alcance do que qualquer usuário comprometido individual, e que o monitoramento focado no usuário nunca vê.

Disparar em Consent to application, adicionar uma atribuição de função de aplicativo ao service principal, e adicionar concessão de permissão delegada eventos de auditoria, especialmente onde o consentimento do administrador cobre amplos escopos do Microsoft Graph. Como permissão de aplicativo, Mail.Read lê todas as caixas de correio, e Sites.FullControl.All concede controle total do SharePoint sem usuário conectado.

Monitore as alterações no método de autenticação e nas credenciais em contas privilegiadas

Muitas tomadas de conta começam ao assumir a capacidade de autenticar, não a conta em si. Disparado por informações de segurança registradas pelo usuário, informações de segurança excluídas pelo usuário, e redefinições de senha em contas privilegiadas.

A orientação da Microsoft para contas privilegiadas indica o registro de novas informações de segurança como possível sinal de que um invasor está garantindo acesso contínuo, e uma redefinição de senha seguida de reinscrição em MFA em curto período é um dos indicadores mais fortes de comprometimento no registro de auditoria.

Como criar um fluxo de trabalho prático para monitorar o Microsoft Entra ID

Padrões de detecção funcionam apenas dentro de um fluxo de trabalho ativo. Cada controle abaixo depende do anterior, e construí-los em ordem é o que transforma entradas de log isoladas em um programa de detecção funcional.

1. Centralize e retenha logs além dos limites nativos

Configure as configurações de diagnóstico do Entra para exportar as atividades de login, auditoria e PIM para uma plataforma de gerenciamento de informações e eventos de segurança (SIEM), um espaço de trabalho Log Analytics ou armazenamento de longo prazo antes que qualquer incidente ocorra.

Cada padrão de detecção acima depende de os dados ainda estarem disponíveis quando a investigação começar, e a Microsoft recomenda reter os dados por pelo menos 90 dias para análise de segurança. Inclua as categorias de login não interativo e service principal na exportação; elas capturam atividades fora dos logins interativos de usuários.

2. Defina linhas de base antes de configurar alertas

Cada categoria de detecção acima se torna ruído se disparar em toda ocorrência em vez de apenas no que é realmente anormal, e esse ruído enterra o único alerta que importa. Estabeleça o que é normal para cada administrador e função, cobrindo locais típicos de login, frequência de ativação do PIM e volume de consentimento.

Alerta sobre desvios dessa linha de base em vez de em cada ocorrência de um tipo de evento monitorado. Red Hound recomenda executar buscas em um histórico de 30 dias antes de converter os resultados em alertas. Quando ainda não existe uma linha de base, os padrões da Microsoft são quatro alterações em 60 minutos para usuários e duas para contas privilegiadas.

3. Correlacione eventos entre os logs de login, auditoria e PIM

Crie consultas permanentes para padrões em cadeia. Dois que valem a pena começar são uma política de Conditional Access enfraquecida e depois uma função atribuída em 30 minutos, e um principal de serviço criado e concedido consentimento administrativo em todo o tenant em uma hora, que as regras da comunidade do Microsoft Sentinel já implementam.

4. Estenda a correlação para incluir on-prem AD

Exporte eventos de segurança do AD local para a mesma ferramenta SIEM ou de monitoramento híbrido que os logs do Entra ID. Inclua alterações na associação a grupos (IDs de evento 4728, 4732 e 4756), modificações de objetos do diretório (5136) e eventos de replicação que indicam um DCSync attack (4662 junto com a série 4932-4934)

Correlacione por identidade e janela de tempo, normalizando entre SIDs locais e Entra Object IDs. A mesma conta de administrador atuando em ambos os diretórios dentro de uma janela curta é o padrão que vale a pena sinalizar; cada ação isoladamente parece rotineira. Uma visão única e correlacionada entre os dois diretórios transforma dois eventos de baixa gravidade em um sinal claro.

5. Crie um manual de investigação e resposta

Decida antecipadamente o que extrair primeiro, começando pelos detalhes do evento de auditoria, o histórico de login do iniciador e o raio de impacto, ou seja, quais contas, aplicações, caixas de correio e permissões a atividade pode afetar.

Preserve as evidências antes da contenção; o token theft playbook da Microsoft orienta os respondedores a registrar atribuições de função e regras suspeitas durante a investigação. Defina os passos de contenção, incluindo desativar o principal suspeito e revogar tokens de atualização, e lembre-se de que as concessões de consentimento OAuth exigem revogação separada porque as redefinições de senha nunca removem o acesso de um aplicativo. Atribua um responsável nomeado para cada etapa.

Detectar uma alteração e saber que ela foi autorizada são dois problemas diferentes. Uma atribuição de função ou edição de Conditional Access aparece da mesma forma no registro de auditoria, seja que change management a tenha aprovado antecipadamente ou que um administrador tenha decidido por conta própria.

Portanto, o playbook precisa de uma forma de verificar o evento em relação a um ticket de alteração aprovado ou janela de manutenção, não apenas confirmar que ocorreu. Equipes sem essa etapa de reconciliação acabam reavaliando mudanças rotineiras em cada investigação.

As equipes que reduzem a exposição persistente de administradores antes do próximo incidente também devem revisar quais funções ainda possuem acesso permanente em vez de elevação just-in-time, pois menos administradores permanentes significa um raio de impacto menor da próxima vez que este playbook for executado.

Como a Netwrix suporta o monitoramento do Microsoft Entra ID

O fluxo de trabalho acima precisa de duas coisas que as ferramentas nativas deixam de fora. A primeira são registros de alterações que duram mais que a janela de retenção da Microsoft; a segunda são detecções que analisam eventos de identidade locais e na nuvem juntos. Netwrix Auditor e Netwrix Threat Manager cobrem essas duas funções junto a um SIEM existente, sob a abordagem Data Security That Starts with Identity™.

Retenção do histórico de alterações de diretórios e permissões além do limite nativo

Netwrix Auditor monitora atribuições de funções, alterações na associação de grupos e mudanças de permissões tanto no Active Directory local quanto no Microsoft Entra ID. Netwrix Auditor é implantado em 30 minutos, com os primeiros relatórios acionáveis em poucas horas.

Netwrix Auditor captura os valores antes e depois e mantém os dados de auditoria além da janela nativa da Microsoft, com armazenamento de arquivo de longo prazo para investigações abertas tardiamente. As etapas de correlação e playbook acima dependem desses dados.

Enjoy.ing consolidou sua trilha de auditoria para AD local, Microsoft Entra ID e VMware em um só lugar antes dos trabalhos de GDPR e ISO 27001, e as investigações de incidentes que levavam horas agora levam minutos.

Detecção de escalonamento de privilégios e padrões suspeitos de login

Netwrix Threat Manager detecta nativamente vários dos padrões Entra ID acima, incluindo viagens impossíveis, alterações em funções sensíveis e mudanças nas permissões de aplicativos, complementando os sinais nativos da Microsoft e do Sentinel em vez de substituí-los.

Para equipes que reduzem a exposição persistente de administradores, Netwrix Privilege Secure substitui os direitos de administrador sempre ativos por contas efêmeras, sessões privilegiadas com escopo de tarefa que expiram quando o trabalho termina. É assim que o zero standing privilege é aplicado na prática.

Responder perguntas de auditoria e incidentes a partir de uma única pesquisa

First National Bank and Trust of Beloit substituiu a coleta manual de evidências em 17 locais pelos relatórios do Netwrix Auditor para conformidade com o Office of the Comptroller of the Currency (OCC), e a preparação de auditorias que antes levava uma semana agora leva uma hora. Para programas de governança mais amplos, ferramentas de identity governance transformam as constatações da auditoria em revisões de acesso e controles do ciclo de vida.

A detecção só funciona se alguém estiver assistindo

Entra ID já produz os logs; a maioria dos ambientes só precisa de uma prática constante que os transforme em evidências. As cinco categorias de detecção acima, aplicadas consistentemente em hybrid AD e Entra ID, ajudam as equipes a agir sobre sequências suspeitas em vez de eventos isolados. O fluxo de trabalho que conecta retenção, linhas de base, correlação e resposta torna isso rotineiro em vez de acionado por incidentes.

Uma implementação completa de SIEM pode vir depois. O próximo passo prático é tornar a correlação parte da rotina permanente, seja configurando exportações de diagnóstico esta semana ou revisando quais funções privilegiadas ainda mantêm acesso permanente.

Solicite uma demonstração para ver como a Netwrix pode ajudar você a monitorar a atividade híbrida do Entra ID e do Active Directory, correlacionar sinais de identidade entre fontes de log e manter evidências prontas para auditoria.