Privilégio mínimo e acesso Just-In-Time
O privilégio mínimo limita os direitos ao estritamente necessário, o acesso Just-In-Time concede-os por um tempo limitado. O que o colaborador faz.
Em 30 segundos
- Onde acontece
- Em qualquer posto de trabalho ou serviço onde existam direitos de administrador, por exemplo a administração do Microsoft 365 ou de um diretório empresarial2.
- O que o atacante quer
- Utilizar uma conta existente e os respetivos direitos, o que por vezes lhe evita recorrer a software malicioso e torna a sua presença mais difícil de detetar4.
- O reflexo
- Pedir um acesso elevado por um tempo limitado e com um motivo claro, nunca emprestar os seus direitos de administrador e assinalar os direitos que já não servem.
- Se já aconteceu
- Avisar o serviço informático, que pode retirar direitos que se tornaram desnecessários numa revisão de acessos3.
Do que se trata
O privilégio mínimo é um princípio de segurança: um sistema deve limitar os direitos de acesso dos utilizadores, ou dos programas que atuam em nome deles, ao mínimo necessário para realizar as tarefas atribuídas1. Um colaborador que só precisa de ler uma pasta não deve poder eliminá-la.
O acesso Just-In-Time (na hora certa) leva a ideia mais longe no caso dos direitos elevados. Os utilizadores recebem autorizações temporárias para executar tarefas privilegiadas, e o acesso é concedido apenas no momento em que são necessárias2. Terminado o prazo, o acesso privilegiado é removido automaticamente3.
Perguntas diretas
Porquê limitar os direitos de um colaborador de confiança?
As organizações limitam o número de pessoas com acesso a recursos sensíveis para reduzir dois riscos: que um utilizador malicioso aceda a esses dados e que um utilizador autorizado afete, por descuido, um recurso sensível2. A Microsoft acrescenta que, ao limitar as funções e os âmbitos, se limitam os recursos ameaçados caso a conta seja comprometida3.
O que significa «just-in-time» na prática?
O colaborador não tem direitos de administrador permanentes. É «elegível» para uma função e ativa-a quando tem de executar uma tarefa privilegiada. A ativação pode exigir uma verificação multifator, uma justificação profissional ou a aprovação de um aprovador designado2. Depois de ativada, a função fica utilizável durante um período predefinido, após o qual o utilizador tem de a ativar de novo2.
O privilégio mínimo diz respeito apenas aos administradores?
Não. A OWASP descreve-o como uma regra a aplicar a todos os níveis: um contabilista e um comercial ocupam o mesmo nível hierárquico, mas não precisam dos mesmos recursos. O contabilista não deveria aceder à base de dados de clientes, nem o comercial aos dados de salários5.
O que acontece se um pedido de acesso expirar?
Segundo a documentação da Microsoft, quando uma atribuição de função se aproxima do fim do prazo, o utilizador pode pedir uma prorrogação. Depois de expirada, pode pedir uma renovação. Os dois pedidos passam pela aprovação de um administrador global ou de um administrador de funções privilegiadas2.
1Como funciona2 min
O funcionamento descrito aqui segue a ferramenta Privileged Identity Management da Microsoft, um exemplo entre outros. Um administrador atribui uma função a um utilizador, a um grupo ou a uma identidade de serviço. A atribuição indica o âmbito (a função só vale para um conjunto de recursos determinado), o tipo (elegível ou ativa) e a duração, com datas de início e de fim ou sem limite2.
Para ativar uma função elegível, o utilizador escolhe uma duração de ativação dentro dos limites fixados pelos administradores e indica o motivo do pedido2. A ferramenta pode exigir uma aprovação, impor a autenticação multifator, enviar notificações na ativação e conservar um histórico de auditoria2. A MITRE refere também as funções efémeras de outros fornecedores de nuvem para conceder permissões elevadas limitadas no tempo6.
A Microsoft recomenda empilhar vários controlos, porque nenhuma funcionalidade isolada cobre todos os casos. O exemplo que dá: uma função personalizada limitada a uma unidade administrativa, para que um administrador do apoio regional só possa repor as palavras-passe da sua região. A ativação passa depois pelo PIM, com aprovação, e o acesso condicional exige então um dispositivo conforme e a autenticação multifator3.
O NCSC britânico define assim a abordagem «zero trust»: a confiança inerente à rede é retirada, a rede é presumida hostil e cada pedido é verificado segundo uma política de acesso7. A CISA associa-lhe decisões de acesso com privilégio mínimo, pedido a pedido8.
2O que faz1 min
- Peça o acesso no momento da necessidade, com uma duração adequada à tarefa e um motivo preciso. O motivo indicado na ativação serve para perceber por que razão a função foi utilizada2.
- Utilize a função restrita que corresponde à tarefa. A Microsoft desaconselha atribuir funções mais amplas ou em âmbitos maiores, mesmo que pareçam mais práticas3.
- Guarde os seus direitos de administrador para si. A ativação de uma função é feita por um utilizador e dá origem a uma notificação, e o histórico de auditoria conserva-a2. A OWASP observa que, sem um registo adequado, uma violação de acesso pode continuar impossível de atribuir a uma pessoa5.
- Se mudar de equipa ou de missão, peça a remoção dos direitos da função anterior. A Microsoft observa que, sem auditoria, as pessoas que mudam de equipa acumulam acessos desnecessários3.
- Responda às revisões de acessos: servem para verificar que os utilizadores ainda precisam das suas funções2.
- Ative a autenticação multifator nas contas de administração. A Microsoft indica que, segundo os seus estudos, uma conta tem 99,9 % menos probabilidade de ser comprometida com ela3.
3As armadilhas2 min
Os direitos que se acumulam. A OWASP chama «privilege creep» ao caso em que os privilégios dos utilizadores ultrapassam os definidos inicialmente. Recomenda uma revisão periódica e lembra que é mais fácil acrescentar permissões do que retirá-las5.
As contas de administração permanentes. O acesso privilegiado permanente é o que o PIM pretende eliminar para os utilizadores com função privilegiada3. A Microsoft recomenda atribuir a função de administrador global a menos de cinco pessoas e limitar as atribuições de funções privilegiadas a menos de 10, porque essas funções permitem uma elevação de privilégios3. Prevê uma exceção: duas contas de acesso de emergência, atribuídas de forma definitiva, não associadas a pessoas e reservadas para situações de «break glass»3.
As contas esquecidas. A MITRE assinala que os adversários podem abusar de contas inativas, por exemplo as de pessoas que saíram da organização, porque o antigo titular já não está lá para reparar numa atividade anormal4. A MITRE recomenda também desativar as contas após um período de inatividade (30 dias, a título de exemplo) e eliminar as contas sem proprietário durante as auditorias9.
As contas de serviço demasiado poderosas. As atribuições de funções podem visar principais de serviço ou identidades geridas, tal como pessoas2. Para os administradores, a Microsoft distingue três aspetos de uma atribuição de função: um conjunto específico de autorizações, num âmbito específico, durante um período específico3.
As mesmas credenciais em todo o lado. A MITRE preocupa-se com a sobreposição de permissões entre contas locais, de domínio e de nuvem: um adversário pode passar de uma conta para outra até um nível elevado de acesso, como administrador de domínio4.
4Casos reais1 min
2015: o ataque à rede elétrica ucraniana
Segundo a MITRE, no ataque de 2015 à rede elétrica ucraniana, o grupo Sandworm Team utilizou contas válidas na rede da empresa para elevar os seus privilégios, deslocar-se lateralmente e instalar-se aí de forma duradoura4. A fonte não detalha que direitos essas contas tinham.
Ficha
- Identificador
- CP-197
- Ala
- 3. Protocolos e defesa
- Competência Brain
- Controlar os acessos (control_access)
- Reflexo Brain
- cr-029
- Esquema
- G3 · Corte anatómico
- Idiomas
- de, en, es, fr, it, nl, pt
- Fontes
- 9 fontes verificadas em 3 de novembro de 2026
Fontes9 fontes
- NIST, «least privilege - Glossary | CSRC». https://csrc.nist.gov/glossary/term/least_privilege (consultado em 3 de novembro de 2026)
- Microsoft, «Qu’est-ce que Microsoft Entra Privileged Identity Management ?». https://learn.microsoft.com/fr-fr/entra/id-governance/privileged-identity-management/pim-configure (consultado em 3 de novembro de 2026)
- Microsoft, «Meilleures pratiques pour les rôles Microsoft Entra». https://learn.microsoft.com/fr-fr/entra/identity/role-based-access-control/best-practices (consultado em 3 de novembro de 2026)
- MITRE ATT&CK, «Valid Accounts, Technique T1078 - Enterprise». https://attack.mitre.org/techniques/T1078/ (consultado em 3 de novembro de 2026)
- OWASP, «Authorization - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/Authorization_Cheat_Sheet.html (consultado em 3 de novembro de 2026)
- MITRE ATT&CK, «Privileged Account Management, Mitigation M1026 - Enterprise». https://attack.mitre.org/mitigations/M1026/ (consultado em 3 de novembro de 2026)
- NCSC (Royaume-Uni), «Zero trust architecture design principles». https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles (consultado em 3 de novembro de 2026)
- CISA, «Zero Trust Maturity Model». https://www.cisa.gov/zero-trust-maturity-model (consultado em 3 de novembro de 2026)
- MITRE ATT&CK, «User Account Management, Mitigation M1018 - Enterprise». https://attack.mitre.org/mitigations/M1018/ (consultado em 3 de novembro de 2026)
Citar este artigo
Brain, «Privilégio mínimo e acesso Just-In-Time», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp197_pt_2026,
author = {Brain},
title = {Privilégio mínimo e acesso Just-In-Time},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pt/articles/minimo-privilegio-acesso-jit/},
note = {CC BY 4.0}
}