Cyberpediapor Brain
PTDEENESFRITNL

Proteger as contas de administrador (PAM)

Uma conta de administrador abre todas as portas. Veja como o PAM a protege e o que o colaborador e o seu responsável fazem no dia a dia.

Em 30 segundos

Onde acontece
Em qualquer sistema em que alguém tenha direitos de administração, no diretório da empresa, num posto de trabalho, num servidor ou num serviço em linha.
O que quer o atacante
Obter as credenciais de uma conta existente, para agir sem chamar a atenção4.
O reflexo
Usar uma conta de administrador apenas para administrar, nunca para o correio eletrónico, a web ou o trabalho de escritório, e pedir os direitos no momento em que são necessários.
Se já aconteceu
Avise a equipa de segurança.

Do que se trata

Uma conta privilegiada é uma conta de sistema que detém as autorizações de um utilizador privilegiado1. Um utilizador privilegiado é uma pessoa autorizada, e por isso considerada de confiança, a executar funções de controlo, supervisão, administração ou segurança que os utilizadores comuns não podem executar2.

Esta conta não pertence necessariamente a um informático da empresa. O NCSC britânico usa a palavra «administrador» tanto para uma pessoa, como um administrador de bases de dados, como para uma conta de sistema encarregada de lançar uma tarefa agendada, e lembra que a administração é muitas vezes confiada a um fornecedor externo3. Todos têm permissões superiores às de um utilizador normal3. A gestão de acessos privilegiados, ou PAM (Privileged Access Management), reúne as regras e as ferramentas que enquadram estas contas.

Perguntas diretas

O que é uma conta privilegiada?

É uma conta cujos direitos ultrapassam os de um utilizador comum: criar um utilizador num domínio, ligar-se por SSH a um servidor web para alterar um ficheiro e configurar um alarme numa válvula industrial são três exemplos dados pelo NCSC3. Todas estas ações podem servir para causar danos, e por isso têm de ser protegidas3.

Porque é que os atacantes visam estas contas em primeiro lugar?

Credenciais roubadas permitem contornar os controlos de acesso. Servem também para manter um acesso duradouro a serviços expostos, como as VPN, o correio na web ou o ambiente de trabalho remoto4. Uma conta comprometida pode ainda dar um nível de privilégio mais elevado em certos sistemas ou o acesso a zonas reservadas da rede4. Com uma credencial legítima, o atacante pode dispensar software malicioso, o que torna a sua presença mais difícil de detetar4.

A Microsoft descreve o mesmo mecanismo para o diretório Active Directory: o atacante extrai as credenciais das sessões abertas e procura em primeiro lugar as contas já elevadas, que depois imita5. Os alvos habituais são as contas com privilégios permanentes, as contas de dirigentes, as contas de diretório com privilégios e os controladores de domínio5.

Pode ler-se o correio eletrónico com uma conta de administrador?

Não. A Microsoft indica, entre os comportamentos que aumentam o risco de roubo de credenciais, navegar na internet com sessão iniciada numa conta privilegiada e iniciar sessão a partir de um computador não seguro5. O fabricante recomenda que as contas muito privilegiadas não sejam usadas em tarefas administrativas correntes quando isso puder ser evitado5. Os postos de administração seguros não executam aplicação de correio, navegador nem software de escritório5.

O que quer dizer PAM, concretamente?

O NCSC dá a linha orientadora: controlar com cuidado quem administra, onde, quando, porquê e como, conceder aos administradores o menor privilégio e retirar o acesso quando deixa de ser necessário3. Na Microsoft, o serviço Privileged Identity Management permite gerir, controlar e monitorizar o acesso a recursos importantes da organização6. A MITRE acrescenta a monitorização do uso das contas privilegiadas e a responsabilização garantida pelo registo de eventos e pela auditoria7.

1Como funciona2 min

Um PAM reúne vários elementos.

Primeiro, um cofre de palavras-passe. A MITRE recomenda ferramentas de cofre para o armazenamento e a rotação das credenciais, e cita CyberArk, HashiCorp Vault ou KeePass como exemplos7. Para as palavras-passe dos administradores locais, a mesma ficha cita o Microsoft LAPS7.

Segundo, a elevação temporária de direitos. No serviço Privileged Identity Management do Microsoft Entra, um colaborador pode ser «elegível» para uma função sem a ter de forma permanente. Quando precisa dela, ativa-a por um período limitado, dentro de um máximo fixado pelos administradores, indicando o motivo do pedido6. A ativação pode exigir uma verificação de autenticação multifator, uma justificação profissional ou a aprovação de um aprovador designado6. Passado o prazo, a função desativa-se: é o princípio do acesso «just in time», em que as permissões temporárias impedem um utilizador malicioso ou não autorizado de lhes aceder depois de expirarem6. O mesmo serviço envia uma notificação quando uma função privilegiada é ativada e permite revisões de acesso para verificar que cada pessoa ainda precisa da sua função6.

Terceiro, a rastreabilidade. O NCSC pede que todas as atividades de administração sejam registadas e auditadas, para verificar que os administradores só realizam ações legítimas e aprovadas3. O serviço da Microsoft permite descarregar o histórico de auditoria6. A Microsoft recomenda também monitorizar o diretório para detetar sinais de ataque5.

Quarto, a autenticação forte. Exige pelo menos duas provas de identidade: o que se sabe, o que se possui, o que se é8. A MITRE preconiza que seja imposta a todas as contas privilegiadas7 e, em particular, às funções privilegiadas8. A Microsoft exige-a na utilização de contas privilegiadas ou nas tarefas de administração5.

Por fim, a separação de contas. No seu modelo, a Microsoft cria uma conta de utilizador de posto seguro e uma conta distinta de administrador de dispositivos9. O NCSC recomenda uma administração por níveis, porque nem todas as administrações apresentam o mesmo risco3.

2O que faz1 min

Os gestos do colaborador resumem-se a quatro pontos.

  • Manter dois usos separados. A conta do dia a dia serve para o correio eletrónico, a web e o trabalho de escritório. A conta de administração só serve para administrar, num posto preparado para isso5.
  • Pedir os direitos quando são precisos. Se a sua função exige de vez em quando um acesso elevado, use o procedimento de ativação ou de pedido de aprovação da sua empresa, em vez de manter direitos permanentes6. A Microsoft vai no mesmo sentido: eliminar a pertença permanente a grupos muito privilegiados e conceder uma pertença temporária quando é necessária5.
  • Aceitar a autenticação forte. A Microsoft pede que seja imposta, pelo menos, aos administradores9.
  • Não manter direitos de administrador local no seu posto sem necessidade. A Microsoft prevê retirar esses direitos aos utilizadores dos seus postos privilegiados9, e a MITRE recomenda retirar os utilizadores do grupo dos administradores locais7.

Para um responsável, a tarefa é limitar o número de pessoas com acesso à informação sensível, o que reduz o risco de um agente malicioso lhe aceder e de um utilizador autorizado tocar por descuido num recurso sensível6. Um aprovador designado recebe uma notificação por correio eletrónico quando um pedido de função aguarda a sua aprovação6.

3As armadilhas1 min
  • A palavra-passe de administrador reutilizada. A MITRE explica que a reutilização de palavras-passe pode permitir abusar de contas locais num conjunto de máquinas, para elevar privilégios e passar de um posto para outro10. A Microsoft inclui nas configurações de risco as contas privilegiadas locais com as mesmas credenciais em todos os sistemas5.
  • A conta dormente. O atacante pode abusar de contas inativas, por exemplo as de pessoas que saíram da organização, porque o utilizador de origem já não está lá para notar uma atividade anormal4. As revisões de acesso permitem verificar que os utilizadores ainda precisam da sua função6.
  • Demasiadas contas poderosas. Atribuir demasiados utilizadores aos grupos de domínio privilegiados incentiva o seu uso excessivo5.
  • O roubo de credenciais. Iniciar sessão com uma conta privilegiada num computador não seguro expõe essas credenciais5.
  • A sobreposição de direitos entre contas locais, de domínio e em linha. A MITRE preocupa-se com isto, porque o atacante pode passar de uma conta e de um sistema para outro até chegar a um nível de administrador de domínio ou de empresa4.
4Casos reais1 min

Ataque à rede elétrica ucraniana, 2015

Neste ataque, o grupo Sandworm Team usou contas válidas na rede da empresa para elevar os seus privilégios, deslocar-se lateralmente e instalar-se de forma duradoura nessa rede4.

Ficha

Identificador
CP-198
Ala
3. Protocolos e defesa
Competência Brain
Controlar os acessos (control_access)
Reflexo Brain
cr-030
Esquema
G3 · Corte anatómico
Idiomas
de, en, es, fr, it, nl, pt
Fontes
10 fontes verificadas em 3 de novembro de 2026
Fontes10 fontes
  1. NIST, «privileged account - Glossary | CSRC». https://csrc.nist.gov/glossary/term/privileged_account (consultado em 3 de novembro de 2026)
  2. NIST, «privileged user - Glossary | CSRC». https://csrc.nist.gov/glossary/term/privileged_user (consultado em 3 de novembro de 2026)
  3. NCSC (Royaume-Uni), «Secure system administration», 15 de setembro de 2020. https://www.ncsc.gov.uk/collection/secure-system-administration (consultado em 3 de novembro de 2026)
  4. MITRE ATT&CK, «Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/ (consultado em 3 de novembro de 2026)
  5. Microsoft, «Best practices for securing Active Directory». https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/plan/security-best-practices/best-practices-for-securing-active-directory (consultado em 3 de novembro de 2026)
  6. Microsoft, «What is Privileged Identity Management? - Microsoft Entra ID Governance». https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure (consultado em 3 de novembro de 2026)
  7. MITRE ATT&CK, «Privileged Account Management, Mitigation M1026 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/mitigations/M1026/ (consultado em 3 de novembro de 2026)
  8. MITRE ATT&CK, «Multi-factor Authentication, Mitigation M1032 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/mitigations/M1032/ (consultado em 3 de novembro de 2026)
  9. Microsoft, «Deploying a privileged access solution - Privileged access». https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deployment (consultado em 3 de novembro de 2026)
  10. MITRE ATT&CK, «Valid Accounts: Local Accounts, Sub-technique T1078.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/003/ (consultado em 3 de novembro de 2026)

Citar este artigo

Brain, «Proteger as contas de administrador (PAM)», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/gestao-acessos-privilegiados-pam-contas-admin/

BibTeX 
@misc{brain_cp198_pt_2026,
  author = {Brain},
  title = {Proteger as contas de administrador (PAM)},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/gestao-acessos-privilegiados-pam-contas-admin/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0