--- id: CP-198 slug: gestao-acessos-privilegiados-pam-contas-admin lang: pt title: Proteger as contas de administrador (PAM) description: Uma conta de administrador abre todas as portas. Veja como o PAM a protege e o que o colaborador e o seu responsável fazem no dia a dia. canonical_url: https://startbrain.io/cyberpedia/pt/articles/gestao-acessos-privilegiados-pam-contas-admin/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/gestao-acessos-privilegiados-pam-contas-admin.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Proteger as contas de administrador (PAM)», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/gestao-acessos-privilegiados-pam-contas-admin/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-030 schema: G3 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/gestao-acessos-privilegiados-pam-contas-admin/ fr: https://startbrain.io/cyberpedia/fr/articles/gestion-acces-privilegies-pam-comptes-admin/ en: https://startbrain.io/cyberpedia/en/articles/privileged-access-management-pam-admin-accounts/ de: https://startbrain.io/cyberpedia/de/articles/privilegierte-zugriffe-pam-admin-konten/ es: https://startbrain.io/cyberpedia/es/articles/gestion-acceso-privilegiado-pam-cuentas-admin/ it: https://startbrain.io/cyberpedia/it/articles/gestione-accessi-privilegiati-pam-account-admin/ nl: https://startbrain.io/cyberpedia/nl/articles/beheer-bevoorrechte-toegang-pam-beheerdersaccounts/ sources: - "n": 1 title: privileged account - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/privileged_account accessed: "2026-11-03" - "n": 2 title: privileged user - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/privileged_user accessed: "2026-11-03" - "n": 3 title: Secure system administration publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/secure-system-administration published: "2020-09-15" accessed: "2026-11-03" - "n": 4 title: Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/ accessed: "2026-11-03" - "n": 5 title: Best practices for securing Active Directory publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/plan/security-best-practices/best-practices-for-securing-active-directory accessed: "2026-11-03" - "n": 6 title: What is Privileged Identity Management? - Microsoft Entra ID Governance publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure accessed: "2026-11-03" - "n": 7 title: Privileged Account Management, Mitigation M1026 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1026/ accessed: "2026-11-03" - "n": 8 title: Multi-factor Authentication, Mitigation M1032 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1032/ accessed: "2026-11-03" - "n": 9 title: Deploying a privileged access solution - Privileged access publisher: Microsoft url: https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deployment accessed: "2026-11-03" - "n": 10 title: "Valid Accounts: Local Accounts, Sub-technique T1078.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/003/ accessed: "2026-11-03" --- # Proteger as contas de administrador (PAM) Uma conta privilegiada é uma conta de sistema que detém as autorizações de um utilizador privilegiado [1]. Um utilizador privilegiado é uma pessoa autorizada, e por isso considerada de confiança, a executar funções de controlo, supervisão, administração ou segurança que os utilizadores comuns não podem executar [2]. Esta conta não pertence necessariamente a um informático da empresa. O NCSC britânico usa a palavra «administrador» tanto para uma pessoa, como um administrador de bases de dados, como para uma conta de sistema encarregada de lançar uma tarefa agendada, e lembra que a administração é muitas vezes confiada a um fornecedor externo [3]. Todos têm permissões superiores às de um utilizador normal [3]. A gestão de acessos privilegiados, ou PAM (Privileged Access Management), reúne as regras e as ferramentas que enquadram estas contas. ## Em 30 segundos - Onde acontece: em qualquer sistema em que alguém tenha direitos de administração, no diretório da empresa, num posto de trabalho, num servidor ou num serviço em linha. - O que quer o atacante: obter as credenciais de uma conta existente, para agir sem chamar a atenção [4]. - O reflexo: usar uma conta de administrador apenas para administrar, nunca para o correio eletrónico, a web ou o trabalho de escritório, e pedir os direitos no momento em que são necessários. - Se já aconteceu: avise a equipa de segurança. ## Perguntas diretas ### O que é uma conta privilegiada? É uma conta cujos direitos ultrapassam os de um utilizador comum: criar um utilizador num domínio, ligar-se por SSH a um servidor web para alterar um ficheiro e configurar um alarme numa válvula industrial são três exemplos dados pelo NCSC [3]. Todas estas ações podem servir para causar danos, e por isso têm de ser protegidas [3]. ### Porque é que os atacantes visam estas contas em primeiro lugar? Credenciais roubadas permitem contornar os controlos de acesso. Servem também para manter um acesso duradouro a serviços expostos, como as VPN, o correio na web ou o ambiente de trabalho remoto [4]. Uma conta comprometida pode ainda dar um nível de privilégio mais elevado em certos sistemas ou o acesso a zonas reservadas da rede [4]. Com uma credencial legítima, o atacante pode dispensar software malicioso, o que torna a sua presença mais difícil de detetar [4]. A Microsoft descreve o mesmo mecanismo para o diretório Active Directory: o atacante extrai as credenciais das sessões abertas e procura em primeiro lugar as contas já elevadas, que depois imita [5]. Os alvos habituais são as contas com privilégios permanentes, as contas de dirigentes, as contas de diretório com privilégios e os controladores de domínio [5]. ### Pode ler-se o correio eletrónico com uma conta de administrador? Não. A Microsoft indica, entre os comportamentos que aumentam o risco de roubo de credenciais, navegar na internet com sessão iniciada numa conta privilegiada e iniciar sessão a partir de um computador não seguro [5]. O fabricante recomenda que as contas muito privilegiadas não sejam usadas em tarefas administrativas correntes quando isso puder ser evitado [5]. Os postos de administração seguros não executam aplicação de correio, navegador nem software de escritório [5]. ### O que quer dizer PAM, concretamente? O NCSC dá a linha orientadora: controlar com cuidado quem administra, onde, quando, porquê e como, conceder aos administradores o menor privilégio e retirar o acesso quando deixa de ser necessário [3]. Na Microsoft, o serviço Privileged Identity Management permite gerir, controlar e monitorizar o acesso a recursos importantes da organização [6]. A MITRE acrescenta a monitorização do uso das contas privilegiadas e a responsabilização garantida pelo registo de eventos e pela auditoria [7]. ## Como funciona Um PAM reúne vários elementos. Primeiro, um cofre de palavras-passe. A MITRE recomenda ferramentas de cofre para o armazenamento e a rotação das credenciais, e cita CyberArk, HashiCorp Vault ou KeePass como exemplos [7]. Para as palavras-passe dos administradores locais, a mesma ficha cita o Microsoft LAPS [7]. Segundo, a elevação temporária de direitos. No serviço Privileged Identity Management do Microsoft Entra, um colaborador pode ser «elegível» para uma função sem a ter de forma permanente. Quando precisa dela, ativa-a por um período limitado, dentro de um máximo fixado pelos administradores, indicando o motivo do pedido [6]. A ativação pode exigir uma verificação de autenticação multifator, uma justificação profissional ou a aprovação de um aprovador designado [6]. Passado o prazo, a função desativa-se: é o princípio do acesso «just in time», em que as permissões temporárias impedem um utilizador malicioso ou não autorizado de lhes aceder depois de expirarem [6]. O mesmo serviço envia uma notificação quando uma função privilegiada é ativada e permite revisões de acesso para verificar que cada pessoa ainda precisa da sua função [6]. Terceiro, a rastreabilidade. O NCSC pede que todas as atividades de administração sejam registadas e auditadas, para verificar que os administradores só realizam ações legítimas e aprovadas [3]. O serviço da Microsoft permite descarregar o histórico de auditoria [6]. A Microsoft recomenda também monitorizar o diretório para detetar sinais de ataque [5]. Quarto, a autenticação forte. Exige pelo menos duas provas de identidade: o que se sabe, o que se possui, o que se é [8]. A MITRE preconiza que seja imposta a todas as contas privilegiadas [7] e, em particular, às funções privilegiadas [8]. A Microsoft exige-a na utilização de contas privilegiadas ou nas tarefas de administração [5]. Por fim, a separação de contas. No seu modelo, a Microsoft cria uma conta de utilizador de posto seguro e uma conta distinta de administrador de dispositivos [9]. O NCSC recomenda uma administração por níveis, porque nem todas as administrações apresentam o mesmo risco [3]. ## O que faz Os gestos do colaborador resumem-se a quatro pontos. - Manter dois usos separados. A conta do dia a dia serve para o correio eletrónico, a web e o trabalho de escritório. A conta de administração só serve para administrar, num posto preparado para isso [5]. - Pedir os direitos quando são precisos. Se a sua função exige de vez em quando um acesso elevado, use o procedimento de ativação ou de pedido de aprovação da sua empresa, em vez de manter direitos permanentes [6]. A Microsoft vai no mesmo sentido: eliminar a pertença permanente a grupos muito privilegiados e conceder uma pertença temporária quando é necessária [5]. - Aceitar a autenticação forte. A Microsoft pede que seja imposta, pelo menos, aos administradores [9]. - Não manter direitos de administrador local no seu posto sem necessidade. A Microsoft prevê retirar esses direitos aos utilizadores dos seus postos privilegiados [9], e a MITRE recomenda retirar os utilizadores do grupo dos administradores locais [7]. Para um responsável, a tarefa é limitar o número de pessoas com acesso à informação sensível, o que reduz o risco de um agente malicioso lhe aceder e de um utilizador autorizado tocar por descuido num recurso sensível [6]. Um aprovador designado recebe uma notificação por correio eletrónico quando um pedido de função aguarda a sua aprovação [6]. ## As armadilhas - A palavra-passe de administrador reutilizada. A MITRE explica que a reutilização de palavras-passe pode permitir abusar de contas locais num conjunto de máquinas, para elevar privilégios e passar de um posto para outro [10]. A Microsoft inclui nas configurações de risco as contas privilegiadas locais com as mesmas credenciais em todos os sistemas [5]. - A conta dormente. O atacante pode abusar de contas inativas, por exemplo as de pessoas que saíram da organização, porque o utilizador de origem já não está lá para notar uma atividade anormal [4]. As revisões de acesso permitem verificar que os utilizadores ainda precisam da sua função [6]. - Demasiadas contas poderosas. Atribuir demasiados utilizadores aos grupos de domínio privilegiados incentiva o seu uso excessivo [5]. - O roubo de credenciais. Iniciar sessão com uma conta privilegiada num computador não seguro expõe essas credenciais [5]. - A sobreposição de direitos entre contas locais, de domínio e em linha. A MITRE preocupa-se com isto, porque o atacante pode passar de uma conta e de um sistema para outro até chegar a um nível de administrador de domínio ou de empresa [4]. ## Casos reais ### Ataque à rede elétrica ucraniana, 2015 Neste ataque, o grupo Sandworm Team usou contas válidas na rede da empresa para elevar os seus privilégios, deslocar-se lateralmente e instalar-se de forma duradoura nessa rede [4]. ## Fontes 1. NIST, «privileged account - Glossary | CSRC». https://csrc.nist.gov/glossary/term/privileged_account (consultado em 3 de novembro de 2026) 2. NIST, «privileged user - Glossary | CSRC». https://csrc.nist.gov/glossary/term/privileged_user (consultado em 3 de novembro de 2026) 3. NCSC (Royaume-Uni), «Secure system administration», 15 de setembro de 2020. https://www.ncsc.gov.uk/collection/secure-system-administration (consultado em 3 de novembro de 2026) 4. MITRE ATT&CK, «Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/ (consultado em 3 de novembro de 2026) 5. Microsoft, «Best practices for securing Active Directory». https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/plan/security-best-practices/best-practices-for-securing-active-directory (consultado em 3 de novembro de 2026) 6. Microsoft, «What is Privileged Identity Management? - Microsoft Entra ID Governance». https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure (consultado em 3 de novembro de 2026) 7. MITRE ATT&CK, «Privileged Account Management, Mitigation M1026 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/mitigations/M1026/ (consultado em 3 de novembro de 2026) 8. MITRE ATT&CK, «Multi-factor Authentication, Mitigation M1032 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/mitigations/M1032/ (consultado em 3 de novembro de 2026) 9. Microsoft, «Deploying a privileged access solution - Privileged access». https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deployment (consultado em 3 de novembro de 2026) 10. MITRE ATT&CK, «Valid Accounts: Local Accounts, Sub-technique T1078.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/003/ (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/gestao-acessos-privilegiados-pam-contas-admin/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.