Cyberpediapor Brain
PTDEENESFRITNL

Active Directory e Entra ID

O diretório da empresa decide quem é quem e quem acede a quê. O que faz o colaborador, o que faz o responsável e as armadilhas.

Em 30 segundos

Onde acontece
Em cada início de sessão, incluindo no Microsoft 365, porque todo o subscritor do Microsoft 365, do Azure ou do Dynamics CRM Online já utiliza o Entra ID2.
O que quer o atacante
Uma conta válida. O MITRE ATT&CK descreve contas visadas por força bruta, por phishing ou por outros meios3.
O reflexo
O reflexo: aceite um pedido de validação apenas se acabou de iniciar sessão e comunique qualquer pedido que não tenha provocado4.

Do que se trata

Um diretório empresarial mantém a lista de contas e define o que cada uma pode fazer. Nas instalações da empresa, é muitas vezes o Active Directory Domain Services (AD DS), que guarda informações sobre as contas de utilizador: nomes, palavras-passe, números de telefone1. Na nuvem, é o Microsoft Entra ID, um serviço de gestão de identidades e acessos que assegura a autenticação, a aplicação de regras e a proteção de utilizadores, dispositivos, aplicações e recursos2.

Para o colaborador, o diretório permanece invisível. Surge sob duas formas: o ecrã de início de sessão e o pedido de validação no telemóvel. Esta ficha explica o que o colaborador faz nesses dois momentos, o que faz o responsável pelo diretório e onde estão as armadilhas.

Perguntas diretas

Para que serve um diretório?

Um diretório é uma estrutura hierárquica que armazena informações sobre os objetos de uma rede. Um serviço de diretório como o AD DS disponibiliza esses dados a utilizadores e administradores1. Esses objetos incluem recursos partilhados (servidores, volumes, impressoras) e contas de utilizadores e de computadores1. A segurança está integrada através da autenticação no início de sessão e do controlo de acesso aos objetos do diretório1.

Qual é a diferença entre o Active Directory e o Entra ID?

O AD DS é o serviço de diretório do Windows Server1. O Entra ID é o seu equivalente em linha: cada tenant do Microsoft 365 é automaticamente um tenant Entra2. Os dois podem coexistir. Uma conta na nuvem pode ser híbrida, ou seja, sincronizada ou federada com um diretório local como o Active Directory3. Uma mesma palavra-passe serve então nos dois mundos, o que amplia os danos de um roubo3.

Porque é que uma palavra-passe sozinha não basta?

Segundo a Microsoft, uma palavra-passe isolada deixa um vetor de ataque desprotegido: se for fraca ou tiver sido exposta noutro local, um atacante pode usá-la5. A autenticação multifator exige pelo menos dois elementos entre três: algo que se sabe (tipicamente uma palavra-passe), algo que se possui (um telemóvel, uma chave física), algo que se é (uma impressão digital, um rosto)5. O segundo fator não é fácil de obter nem de duplicar por um atacante5.

A organização pode também definir regras de contexto. As políticas de acesso condicional do Microsoft Entra são instruções «se… então»: se um utilizador quiser aceder a uma aplicação como o Microsoft 365, tem de passar pela autenticação multifator6. Podem deixar o início de sessão normal na rede da empresa ou num dispositivo registado e exigir um fator adicional à distância ou a partir de um dispositivo pessoal5.

O que fazer perante um pedido de validação que não iniciei?

Recusá-lo e comunicá-lo. O MITRE ATT&CK descreve a técnica de geração de pedidos de MFA: um atacante que tem uma palavra-passe mas não o segundo fator desencadeia notificações push (Duo Push, Microsoft Authenticator, Okta ou equivalente) para que a vítima aceite4. Pode repetir as tentativas para inundar o utilizador de notificações, SMS e chamadas, até que aceite, o que a fonte designa por «MFA fatigue»4. Entre as medidas do MITRE: formar os utilizadores para aceitarem apenas pedidos resultantes de inícios de sessão que eles próprios iniciaram, para verificarem o local da tentativa e para comunicarem os pedidos suspeitos ou não solicitados4.

O que pode fazer um atacante com uma conta roubada?

Depende da conta. As contas de domínio são as geridas pelo AD DS e abrangem utilizadores, administradores e serviços7. Uma vez comprometidas, podem servir para o acesso inicial, a persistência, a escalada de privilégios ou a evasão das defesas7. Do lado da nuvem, uma conta muito privilegiada, federada, sincronizada ou exclusiva da nuvem, pode permitir saltar para o ambiente local3.

O que é o Kerberoasting?

Neste ataque, um adversário que possui um ticket Kerberos válido pede a um controlador de domínio tickets de serviço para nomes de principal de serviço (SPN)8. Parte desses tickets pode ser cifrada com o algoritmo RC4. O hash da conta de serviço serve então de chave e fica vulnerável a um ataque de força bruta offline, que pode revelar credenciais em claro8. Os hashes quebrados podem dar acesso a contas válidas, com persistência, escalada de privilégios e movimento lateral8. O colaborador nada tem a ver com isto: a defesa cabe a quem gere as contas de serviço.

1Como funciona1 min

O diretório AD DS inclui um esquema, que define as classes de objetos e os seus atributos, um catálogo global, um mecanismo de consulta e um serviço de replicação1. Todos os controladores de domínio de um domínio participam na replicação e contêm uma cópia completa das informações do seu domínio: uma alteração feita num é replicada em todos1.

O Entra ID é o produto de base da família Microsoft Entra2. Esta família inclui também o Entra ID Governance, que automatiza os pedidos de acesso, as atribuições e as revisões, e pode retirar os direitos a um colaborador que sai da empresa2. O Entra ID Protection deteta e assinala os riscos ligados às identidades2. Para as aplicações antigas que não sabem usar a autenticação moderna, o Entra Domain Services propõe serviços geridos como as políticas de grupo, o LDAP e a autenticação Kerberos/NTLM2.

O acesso condicional decide a partir de sinais: utilizador ou grupo, localização IP, dispositivo, aplicação, risco detetado6. As suas decisões vão do bloqueio ao acesso concedido sob condições: autenticação multifator, dispositivo conforme, alteração da palavra-passe6. Estas políticas aplicam-se depois da autenticação pelo primeiro fator6. As predefinições de segurança (security defaults) ativam rapidamente o Microsoft Authenticator para todos os utilizadores de um tenant5.

2O que faz2 min
  • Ative a autenticação multifator quando lhe for proposta. Entre os métodos disponíveis contam-se o Microsoft Authenticator, o Windows Hello for Business, as chaves de acesso (FIDO2), um token físico, o SMS e a chamada de voz5. Os métodos geridos em My Profile5.
  • Aprove apenas os pedidos que desencadeou. Se chegar um pedido sem que tenha tentado nada, recuse-o e comunique-o à equipa informática4.
  • Escolha uma palavra-passe única e complexa para cada serviço: o MITRE preconiza palavras-passe complexas e únicas para as contas na nuvem3.
  • Não reutilize a sua palavra-passe profissional noutro local. A fonte do MITRE sobre as contas de domínio cita a reutilização de palavras-passe entre os meios de comprometer contas7.

O que faz o responsável pelo diretório:

  • Limitar as contas de serviço ao mínimo de direitos necessários, incluindo a pertença a grupos privilegiados como Domain Administrators8.
  • Exigir palavras-passe longas para as contas de serviço (idealmente 25 carateres ou mais), renová-las e ponderar contas de serviço geridas de grupo ou um cofre de palavras-passe8.
  • Limitar o uso das contas com privilégios segundo os níveis de administração e não colocar contas de utilizadores ou de administradores de domínio nos grupos de administradores locais sem controlo estrito9.
  • Rever regularmente as permissões das contas privilegiadas na nuvem, como Global Administrator e Privileged Role Administrator, verificar que não foi criada nenhuma conta privilegiada não autorizada e ponderar um acesso privilegiado temporário (just-in-time) em vez de uma atribuição permanente3.
  • Passar em revista as contas inativas ou desnecessárias e eliminá-las3.
  • Desativar a autenticação legada, que não suporta a autenticação multifator3.
3As armadilhas2 min

Os administradores em excesso. Cada conta com privilégios é um alvo: o DCSync, por exemplo, permite extrair dados de palavras-passe do Active Directory simulando a replicação de um controlador de domínio9. Os membros dos grupos Administrators, Domain Admins e Enterprise Admins, ou as contas de máquina do controlador, podem executá-lo9. Os hashes obtidos, incluindo o da conta KRBTGT, servem depois para fabricar um Golden Ticket ou para alterar uma palavra-passe9.

O segundo fator ausente. O MITRE refere que o Storm-0501 utilizou uma conta Global Administrator da vítima sem qualquer método de MFA registado para aceder aos seus ambientes na nuvem3. O mesmo grupo explorou contas comprometidas para chegar ao Microsoft Entra Connect, que sincroniza as identidades locais e o Entra, de modo que os utilizadores iniciam sessão em ambos com a mesma palavra-passe3.

A notificação que acaba por ser aceite. A fadiga das notificações push é um meio documentado de contornar a autenticação multifator4. O MITRE aconselha substituir o simples push pela introdução de um código de utilização única apresentado no ecrã de início de sessão e limitar o número de pedidos enviados num período4.

As contas de serviço esquecidas. São elas que o Kerberoasting visa, inclusive com ferramentas como o Rubeus ou o comando Invoke-Kerberoast do PowerSploit8. O MITRE recomenda preferir a cifragem AES ao RC4 sempre que possível8.

O quadro de referência. O NIST publicou a versão final da SP 800-63B-4, dedicada à autenticação e à gestão dos autenticadores, a 31 de julho de 202510. O texto incide sobre a autenticação das pessoas que interagem com os sistemas de informação do governo norte-americano e define requisitos técnicos para cada um dos seus três níveis de garantia10. Substitui a versão SP 800-63B de março de 202010.

4Casos reais1 min

2025: ataques de destruição de dados na Polónia

O MITRE ATT&CK regista, para os ataques «2025 Poland Wiper Attacks», duas utilizações de credenciais no mesmo episódio. Os atacantes usaram contas privilegiadas para aceder à solução VPN FortiGate e às sub-redes seguintes7. Exploraram também credenciais roubadas em ambientes locais para aceder a serviços na nuvem3.

Ficha

Identificador
CP-199
Ala
3. Protocolos e defesa
Competência Brain
Controlar os acessos (control_access)
Reflexo Brain
cr-062
Esquema
G3 · Corte anatómico
Idiomas
de, en, es, fr, it, nl, pt
Fontes
10 fontes verificadas em 3 de novembro de 2026
Fontes10 fontes
  1. Microsoft, «Active Directory Domain Services overview». https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/get-started/virtual-dc/active-directory-domain-services-overview (consultado em 3 de novembro de 2026)
  2. Microsoft, «What is Microsoft Entra?». https://learn.microsoft.com/en-us/entra/fundamentals/what-is-entra (consultado em 3 de novembro de 2026)
  3. MITRE ATT&CK, «Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/004/ (consultado em 3 de novembro de 2026)
  4. MITRE ATT&CK, «Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1621/ (consultado em 3 de novembro de 2026)
  5. Microsoft, «How it works: Microsoft Entra multifactor authentication». https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mfa-howitworks (consultado em 3 de novembro de 2026)
  6. Microsoft, «What is Conditional Access?». https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview (consultado em 3 de novembro de 2026)
  7. MITRE ATT&CK, «Valid Accounts: Domain Accounts, Sub-technique T1078.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/002/ (consultado em 3 de novembro de 2026)
  8. MITRE ATT&CK, «Steal or Forge Kerberos Tickets: Kerberoasting, Sub-technique T1558.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1558/003/ (consultado em 3 de novembro de 2026)
  9. MITRE ATT&CK, «OS Credential Dumping: DCSync, Sub-technique T1003.006 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1003/006/ (consultado em 3 de novembro de 2026)
  10. NIST, «SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management», 31 de julho de 2025. https://csrc.nist.gov/pubs/sp/800/63/b/4/final (consultado em 3 de novembro de 2026)

Citar este artigo

Brain, «Active Directory e Entra ID», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/active-directory-entra-id-identidades/

BibTeX 
@misc{brain_cp199_pt_2026,
  author = {Brain},
  title = {Active Directory e Entra ID},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/active-directory-entra-id-identidades/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0