Você Deve Ativar ou Desativar a 'Sincronização de Senha' no Microsoft Office 365?

Se você estiver administrando uma empresa, provavelmente sentirá uma dor de cabeça no momento em que ouvir a palavra "senha". É difícil manter as senhas pessoais; portanto, lidar com várias senhas corporativas é um grande desafio. Para facilitar, as empresas contam com serviços em nuvem como o Microsoft Office 365 para gerenciar suas contas de email.

No entanto, esses serviços não são à prova de falhas. Gostaríamos de chamar sua atenção para o relatório de análise de segurança divulgado pela Agência de Segurança em Cibersegurança e Infraestrutura (CISA) do Departamento de Segurança Interna dos EUA. Examinaremos todas as vulnerabilidades apontadas no relatório e focaremos no problema de sincronização de senha do Office 365.

Desafios de Segurança do Microsoft Office 365

A migração de serviços de email para a nuvem está se tornando cada vez mais comum entre as organizações. Eles podem migrar o serviço individualmente, se tiverem departamentos de TI separados e competentes, ou podem empregar empresas de terceiros para ajudá-los a fazer isso. A CISA apontou em seu relatório que existem certos riscos de segurança envolvidos na transição para serviços em nuvem, e as organizações, juntamente com seus parceiros terceirizados, devem definitivamente estar cientes deles. A maioria dos riscos está nas vulnerabilidades de configuração do serviço em nuvem, incluindo as configurações de senha.

Autenticação Multifatorial

Falamos sobre a autenticação multifatorial muitas vezes antes, embora talvez estivéssemos mais focados no aspecto da segurança de dados individuais. No entanto, não deve surpreender que a autenticação multifatorial seja extremamente importante também para as organizações. De fato, é um entendimento comum que a autenticação multifator é o primeiro passo para se livrar completamente das senhas, e o Microsoft Office 365 a incentiva fortemente.

No entanto, o problema de segurança no Microsoft Office 365 e no Azure Active Directory (Azure AD) é que a autenticação multifator para contas de administrador não está habilitada por padrão. O Azure AD possui Administradores Globais no ambiente do Office 365 e essas contas existem para configurar seu inquilino e migrar os usuários. Em outras palavras, os Administradores Globais têm muitos direitos. Se a autenticação multifator não estiver ativada por padrão, o ataque a essas contas também poderá causar danos automaticamente aos usuários comuns.

Auditoria de Caixa de Correio

Dependendo de quando sua organização migrou para o serviço de nuvem do Office 365, a auditoria da caixa de correio pode estar ativada ou desativada por padrão. As configurações que habilitam a auditoria por padrão foram introduzidas no Office 365 em janeiro de 2019. Se o seu ambiente do Office 365 foi criado antes disso, seu administrador deve habilitar a auditoria da caixa de correio manualmente. A CISA sugere manter o log de auditoria ativado, pois todas as ações executadas pelos proprietários da caixa de correio, administradores e outros usuários do sistema são registradas.

Protocolos Antigos Herdados

Os clientes de email mais antigos usam vários protocolos que não oferecem suporte a métodos modernos de autenticação. Esses protocolos incluem IMAP (Internet Message Access Protocol), POP3 (Post Office Protocol) e SMTP (Simple Mail Transport Protocol). Normalmente, esses protocolos estão desativados, mas se uma organização precisar de clientes de email mais antigos, os protocolos permanecerão funcionais. Como resultado, para esses clientes, a senha continua sendo o método de autenticação principal, o que reduz o nível de segurança da conta.

É possível mitigar esse risco mantendo uma lista de usuários que ainda exigem protocolos herdados. A CISA também sugere o emprego de políticas de Acesso Condicional do Azure AD para monitorar e restringir o número de usuários que empregam métodos de autenticação de protocolo herdados. Além disso, como as senhas para esses usuários são o principal método de autenticação, eles devem considerar o uso de ferramentas do gerenciador de senhas para melhorar a segurança.

Sincronização de Senha do Office 365

O problema da sincronização de senha do Office 365 está intimamente relacionado às identidades do Azure AD. As identidades do Azure AD podem ser criadas antecipadamente ou "no local". Quando os ambientes locais são integrados ao Azure AD por meio do Azure AD Connect, é possível combinar uma identidade do AD criada anteriormente com a identidade do AD local. Se as identidades forem correspondidas, a identidade local se tornará a identidade autorizada. É aqui que a sincronização de senha ativada automaticamente pode se tornar problemática. Imagine a identidade local sendo comprometida: o hacker passaria automaticamente para o ambiente em nuvem assim que a senha do Office 365 fosse sincronizada.

Note-se que em outubro de 2018, a Microsoft exibiu a capacidade de corresponder a determinadas contas. Além disso, a CISA diz que, se a sincronização de senha do Azure AD Office 365 for cuidadosamente planejada e configurada antes das organizações migrarem usuários, o risco poderá ser atenuado. Portanto, as empresas e seus departamentos de TI (ou parceiros de terceiros) devem definitivamente analisar esse possível problema de segurança antes de migrar seus serviços de email para a nuvem.

Dependendo das suas preferências, você pode optar por ativar ou desativar a sincronização de senha do Office 365. Abaixo, você encontrará as diretrizes para as duas ações. Observe que, como a sincronização de senha é ativada automaticamente pela Microsoft em certos casos, nossas diretrizes de sincronização de senha incluirão a ferramenta de gerenciamento AdSelfService Plus, que é um dos programas de terceiros mencionados anteriormente que podem ser usados para gerenciar contas do Microsoft Office 365.

Habilitar sincronização de senha do Office 365

1. Faça login na conta de administrador do AdSelfService Plus.
2. Abra Configuração e vá para Autoatendimento.
3. Selecione Sincronizador de Senhas.
4. Clique no link Office 365 / Azure.
5. Selecione o módulo Password Synchronizer na página de configuração.
6. Digite o nome de domínio para sua conta do Office 365/Azure.
7. Digite o nome de usuário e a senha da sua conta do Office 365/Azure.
8. Digite uma descrição da configuração.
9. Escolha as políticas de autoatendimento e clique em Salvar.

Desabilitar a sincronização de senha do Office 365

1. Inicie o Azure AD Connect e clique em Configurar.
2. Escolha Personalizar opções de sincronização.
3. Vá para os recursos opcionais.
4. Desmarque a caixa de seleção Sincronização de senha.
5. Salve as alterações.

O ponto principal é que o nível de segurança da sua organização depende fortemente de esforços mútuos. Pode haver certos riscos de segurança associados ao Microsoft Office 365 e à migração dos serviços de email para a nuvem, mas esses riscos podem ser resolvidos por meio de ações imediatas e abrangentes.

Por fim, cabe a você tomar decisões como sincronizar sua senha do Office 365 ou não. No entanto, é altamente recomendável que você chegue a essas decisões após uma análise de segurança completa. Se você sentir que seu departamento de TI pode estar perdendo aspectos importantes ao analisar esses recursos, também pode consultar um especialista independente.