--- id: CP-199 slug: active-directory-entra-id-identidades lang: pt title: Active Directory e Entra ID description: O diretório da empresa decide quem é quem e quem acede a quê. O que faz o colaborador, o que faz o responsável e as armadilhas. canonical_url: https://startbrain.io/cyberpedia/pt/articles/active-directory-entra-id-identidades/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/active-directory-entra-id-identidades.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Active Directory e Entra ID», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/active-directory-entra-id-identidades/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-062 schema: G3 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/active-directory-entra-id-identidades/ fr: https://startbrain.io/cyberpedia/fr/articles/active-directory-entra-id-identites/ en: https://startbrain.io/cyberpedia/en/articles/active-directory-entra-id-identity/ de: https://startbrain.io/cyberpedia/de/articles/active-directory-entra-id-identitaten/ es: https://startbrain.io/cyberpedia/es/articles/active-directory-entra-id-identidades/ it: https://startbrain.io/cyberpedia/it/articles/active-directory-entra-id-identita/ nl: https://startbrain.io/cyberpedia/nl/articles/active-directory-entra-id-identiteiten/ sources: - "n": 1 title: Active Directory Domain Services overview publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/get-started/virtual-dc/active-directory-domain-services-overview accessed: "2026-11-03" - "n": 2 title: What is Microsoft Entra? publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/fundamentals/what-is-entra accessed: "2026-11-03" - "n": 3 title: "Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/004/ accessed: "2026-11-03" - "n": 4 title: Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1621/ accessed: "2026-11-03" - "n": 5 title: "How it works: Microsoft Entra multifactor authentication" publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mfa-howitworks accessed: "2026-11-03" - "n": 6 title: What is Conditional Access? publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview accessed: "2026-11-03" - "n": 7 title: "Valid Accounts: Domain Accounts, Sub-technique T1078.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/002/ accessed: "2026-11-03" - "n": 8 title: "Steal or Forge Kerberos Tickets: Kerberoasting, Sub-technique T1558.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1558/003/ accessed: "2026-11-03" - "n": 9 title: "OS Credential Dumping: DCSync, Sub-technique T1003.006 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1003/006/ accessed: "2026-11-03" - "n": 10 title: "SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management" publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/63/b/4/final published: "2025-07-31" accessed: "2026-11-03" --- # Active Directory e Entra ID Um diretório empresarial mantém a lista de contas e define o que cada uma pode fazer. Nas instalações da empresa, é muitas vezes o Active Directory Domain Services (AD DS), que guarda informações sobre as contas de utilizador: nomes, palavras-passe, números de telefone [1]. Na nuvem, é o Microsoft Entra ID, um serviço de gestão de identidades e acessos que assegura a autenticação, a aplicação de regras e a proteção de utilizadores, dispositivos, aplicações e recursos [2]. Para o colaborador, o diretório permanece invisível. Surge sob duas formas: o ecrã de início de sessão e o pedido de validação no telemóvel. Esta ficha explica o que o colaborador faz nesses dois momentos, o que faz o responsável pelo diretório e onde estão as armadilhas. ## Em 30 segundos - Onde acontece: em cada início de sessão, incluindo no Microsoft 365, porque todo o subscritor do Microsoft 365, do Azure ou do Dynamics CRM Online já utiliza o Entra ID [2]. - O que quer o atacante: uma conta válida. O MITRE ATT&CK descreve contas visadas por força bruta, por phishing ou por outros meios [3]. - O reflexo: O reflexo: aceite um pedido de validação apenas se acabou de iniciar sessão e comunique qualquer pedido que não tenha provocado [4]. ## Perguntas diretas ### Para que serve um diretório? Um diretório é uma estrutura hierárquica que armazena informações sobre os objetos de uma rede. Um serviço de diretório como o AD DS disponibiliza esses dados a utilizadores e administradores [1]. Esses objetos incluem recursos partilhados (servidores, volumes, impressoras) e contas de utilizadores e de computadores [1]. A segurança está integrada através da autenticação no início de sessão e do controlo de acesso aos objetos do diretório [1]. ### Qual é a diferença entre o Active Directory e o Entra ID? O AD DS é o serviço de diretório do Windows Server [1]. O Entra ID é o seu equivalente em linha: cada tenant do Microsoft 365 é automaticamente um tenant Entra [2]. Os dois podem coexistir. Uma conta na nuvem pode ser híbrida, ou seja, sincronizada ou federada com um diretório local como o Active Directory [3]. Uma mesma palavra-passe serve então nos dois mundos, o que amplia os danos de um roubo [3]. ### Porque é que uma palavra-passe sozinha não basta? Segundo a Microsoft, uma palavra-passe isolada deixa um vetor de ataque desprotegido: se for fraca ou tiver sido exposta noutro local, um atacante pode usá-la [5]. A autenticação multifator exige pelo menos dois elementos entre três: algo que se sabe (tipicamente uma palavra-passe), algo que se possui (um telemóvel, uma chave física), algo que se é (uma impressão digital, um rosto) [5]. O segundo fator não é fácil de obter nem de duplicar por um atacante [5]. A organização pode também definir regras de contexto. As políticas de acesso condicional do Microsoft Entra são instruções «se… então»: se um utilizador quiser aceder a uma aplicação como o Microsoft 365, tem de passar pela autenticação multifator [6]. Podem deixar o início de sessão normal na rede da empresa ou num dispositivo registado e exigir um fator adicional à distância ou a partir de um dispositivo pessoal [5]. ### O que fazer perante um pedido de validação que não iniciei? Recusá-lo e comunicá-lo. O MITRE ATT&CK descreve a técnica de geração de pedidos de MFA: um atacante que tem uma palavra-passe mas não o segundo fator desencadeia notificações push (Duo Push, Microsoft Authenticator, Okta ou equivalente) para que a vítima aceite [4]. Pode repetir as tentativas para inundar o utilizador de notificações, SMS e chamadas, até que aceite, o que a fonte designa por «MFA fatigue» [4]. Entre as medidas do MITRE: formar os utilizadores para aceitarem apenas pedidos resultantes de inícios de sessão que eles próprios iniciaram, para verificarem o local da tentativa e para comunicarem os pedidos suspeitos ou não solicitados [4]. ### O que pode fazer um atacante com uma conta roubada? Depende da conta. As contas de domínio são as geridas pelo AD DS e abrangem utilizadores, administradores e serviços [7]. Uma vez comprometidas, podem servir para o acesso inicial, a persistência, a escalada de privilégios ou a evasão das defesas [7]. Do lado da nuvem, uma conta muito privilegiada, federada, sincronizada ou exclusiva da nuvem, pode permitir saltar para o ambiente local [3]. ### O que é o Kerberoasting? Neste ataque, um adversário que possui um ticket Kerberos válido pede a um controlador de domínio tickets de serviço para nomes de principal de serviço (SPN) [8]. Parte desses tickets pode ser cifrada com o algoritmo RC4. O hash da conta de serviço serve então de chave e fica vulnerável a um ataque de força bruta offline, que pode revelar credenciais em claro [8]. Os hashes quebrados podem dar acesso a contas válidas, com persistência, escalada de privilégios e movimento lateral [8]. O colaborador nada tem a ver com isto: a defesa cabe a quem gere as contas de serviço. ## Como funciona O diretório AD DS inclui um esquema, que define as classes de objetos e os seus atributos, um catálogo global, um mecanismo de consulta e um serviço de replicação [1]. Todos os controladores de domínio de um domínio participam na replicação e contêm uma cópia completa das informações do seu domínio: uma alteração feita num é replicada em todos [1]. O Entra ID é o produto de base da família Microsoft Entra [2]. Esta família inclui também o Entra ID Governance, que automatiza os pedidos de acesso, as atribuições e as revisões, e pode retirar os direitos a um colaborador que sai da empresa [2]. O Entra ID Protection deteta e assinala os riscos ligados às identidades [2]. Para as aplicações antigas que não sabem usar a autenticação moderna, o Entra Domain Services propõe serviços geridos como as políticas de grupo, o LDAP e a autenticação Kerberos/NTLM [2]. O acesso condicional decide a partir de sinais: utilizador ou grupo, localização IP, dispositivo, aplicação, risco detetado [6]. As suas decisões vão do bloqueio ao acesso concedido sob condições: autenticação multifator, dispositivo conforme, alteração da palavra-passe [6]. Estas políticas aplicam-se depois da autenticação pelo primeiro fator [6]. As predefinições de segurança (security defaults) ativam rapidamente o Microsoft Authenticator para todos os utilizadores de um tenant [5]. ## O que faz - Ative a autenticação multifator quando lhe for proposta. Entre os métodos disponíveis contam-se o Microsoft Authenticator, o Windows Hello for Business, as chaves de acesso (FIDO2), um token físico, o SMS e a chamada de voz [5]. Os métodos geridos em My Profile [5]. - Aprove apenas os pedidos que desencadeou. Se chegar um pedido sem que tenha tentado nada, recuse-o e comunique-o à equipa informática [4]. - Escolha uma palavra-passe única e complexa para cada serviço: o MITRE preconiza palavras-passe complexas e únicas para as contas na nuvem [3]. - Não reutilize a sua palavra-passe profissional noutro local. A fonte do MITRE sobre as contas de domínio cita a reutilização de palavras-passe entre os meios de comprometer contas [7]. O que faz o responsável pelo diretório: - Limitar as contas de serviço ao mínimo de direitos necessários, incluindo a pertença a grupos privilegiados como Domain Administrators [8]. - Exigir palavras-passe longas para as contas de serviço (idealmente 25 carateres ou mais), renová-las e ponderar contas de serviço geridas de grupo ou um cofre de palavras-passe [8]. - Limitar o uso das contas com privilégios segundo os níveis de administração e não colocar contas de utilizadores ou de administradores de domínio nos grupos de administradores locais sem controlo estrito [9]. - Rever regularmente as permissões das contas privilegiadas na nuvem, como Global Administrator e Privileged Role Administrator, verificar que não foi criada nenhuma conta privilegiada não autorizada e ponderar um acesso privilegiado temporário (just-in-time) em vez de uma atribuição permanente [3]. - Passar em revista as contas inativas ou desnecessárias e eliminá-las [3]. - Desativar a autenticação legada, que não suporta a autenticação multifator [3]. ## As armadilhas Os administradores em excesso. Cada conta com privilégios é um alvo: o DCSync, por exemplo, permite extrair dados de palavras-passe do Active Directory simulando a replicação de um controlador de domínio [9]. Os membros dos grupos Administrators, Domain Admins e Enterprise Admins, ou as contas de máquina do controlador, podem executá-lo [9]. Os hashes obtidos, incluindo o da conta KRBTGT, servem depois para fabricar um Golden Ticket ou para alterar uma palavra-passe [9]. O segundo fator ausente. O MITRE refere que o Storm-0501 utilizou uma conta Global Administrator da vítima sem qualquer método de MFA registado para aceder aos seus ambientes na nuvem [3]. O mesmo grupo explorou contas comprometidas para chegar ao Microsoft Entra Connect, que sincroniza as identidades locais e o Entra, de modo que os utilizadores iniciam sessão em ambos com a mesma palavra-passe [3]. A notificação que acaba por ser aceite. A fadiga das notificações push é um meio documentado de contornar a autenticação multifator [4]. O MITRE aconselha substituir o simples push pela introdução de um código de utilização única apresentado no ecrã de início de sessão e limitar o número de pedidos enviados num período [4]. As contas de serviço esquecidas. São elas que o Kerberoasting visa, inclusive com ferramentas como o Rubeus ou o comando Invoke-Kerberoast do PowerSploit [8]. O MITRE recomenda preferir a cifragem AES ao RC4 sempre que possível [8]. O quadro de referência. O NIST publicou a versão final da SP 800-63B-4, dedicada à autenticação e à gestão dos autenticadores, a 31 de julho de 2025 [10]. O texto incide sobre a autenticação das pessoas que interagem com os sistemas de informação do governo norte-americano e define requisitos técnicos para cada um dos seus três níveis de garantia [10]. Substitui a versão SP 800-63B de março de 2020 [10]. ## Casos reais ### 2025: ataques de destruição de dados na Polónia O MITRE ATT&CK regista, para os ataques «2025 Poland Wiper Attacks», duas utilizações de credenciais no mesmo episódio. Os atacantes usaram contas privilegiadas para aceder à solução VPN FortiGate e às sub-redes seguintes [7]. Exploraram também credenciais roubadas em ambientes locais para aceder a serviços na nuvem [3]. ## Fontes 1. Microsoft, «Active Directory Domain Services overview». https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/get-started/virtual-dc/active-directory-domain-services-overview (consultado em 3 de novembro de 2026) 2. Microsoft, «What is Microsoft Entra?». https://learn.microsoft.com/en-us/entra/fundamentals/what-is-entra (consultado em 3 de novembro de 2026) 3. MITRE ATT&CK, «Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/004/ (consultado em 3 de novembro de 2026) 4. MITRE ATT&CK, «Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1621/ (consultado em 3 de novembro de 2026) 5. Microsoft, «How it works: Microsoft Entra multifactor authentication». https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mfa-howitworks (consultado em 3 de novembro de 2026) 6. Microsoft, «What is Conditional Access?». https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview (consultado em 3 de novembro de 2026) 7. MITRE ATT&CK, «Valid Accounts: Domain Accounts, Sub-technique T1078.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/002/ (consultado em 3 de novembro de 2026) 8. MITRE ATT&CK, «Steal or Forge Kerberos Tickets: Kerberoasting, Sub-technique T1558.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1558/003/ (consultado em 3 de novembro de 2026) 9. MITRE ATT&CK, «OS Credential Dumping: DCSync, Sub-technique T1003.006 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1003/006/ (consultado em 3 de novembro de 2026) 10. NIST, «SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management», 31 de julho de 2025. https://csrc.nist.gov/pubs/sp/800/63/b/4/final (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/active-directory-entra-id-identidades/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.