Microsoft 365: configuracoes de seguranca essenciais

Por que a segurança do Microsoft 365 não vem pronta de fábrica

O Microsoft 365 é hoje a espinha dorsal de comunicação e produtividade de milhões de empresas — e, justamente por isso, tornou-se o alvo preferido de criminosos digitais. E-mails corporativos, arquivos no SharePoint e OneDrive, conversas no Teams: tudo isso concentra informação valiosa em um único ambiente. Um único login comprometido pode dar a um invasor acesso a contratos, dados financeiros, informações de clientes e à caixa de entrada do próprio diretor da empresa.

Existe um equívoco comum e perigoso: acreditar que, por ser um serviço da Microsoft, o ambiente já vem seguro por padrão. Na prática, o Microsoft 365 opera sob um modelo de responsabilidade compartilhada. A Microsoft garante a disponibilidade e a segurança da infraestrutura — os data centers, a plataforma, a criptografia em trânsito. Mas a configuração do ambiente, o controle de quem acessa o quê, a proteção das identidades e das informações que circulam ali dentro são responsabilidade de cada empresa cliente.

A boa notícia é que a maior parte dos incidentes envolvendo Microsoft 365 não explora vulnerabilidades sofisticadas. Explora configurações básicas que ficaram no padrão ou nunca foram ativadas. MFA desligado, políticas de acesso inexistentes, dados sensíveis circulando sem qualquer controle. Este artigo cobre exatamente esse fundamento: o básico bem feito, que elimina a esmagadora maioria do risco.

MFA: a configuração que bloqueia mais de 99% dos ataques a contas

A autenticação multifator (MFA) é, sem exagero, a medida de segurança de melhor custo-benefício disponível no Microsoft 365. A própria Microsoft afirma que a MFA bloqueia mais de 99% dos ataques automatizados de comprometimento de contas. O raciocínio é simples: mesmo que a senha do colaborador vaze — em um phishing, em um vazamento de outro serviço, em uma planilha esquecida — o invasor ainda precisa do segundo fator, que está no celular do usuário legítimo.

Ativar a MFA no Microsoft 365 pode ser feito de duas formas principais. A primeira, disponível em qualquer plano, são os security defaults (padrões de segurança), que exigem MFA para todos os usuários e bloqueiam protocolos de autenticação legados. A segunda, mais flexível, é via políticas de acesso condicional no Microsoft Entra ID (antigo Azure AD), disponível a partir dos planos Business Premium e E3. Para a maioria das PMEs, o caminho recomendado é:

• Priorizar o Microsoft Authenticator com notificações push e correspondência de número, em vez de SMS — o SMS é vulnerável a golpes de troca de chip (SIM swap);
• Cobrir 100% dos usuários, sem exceções "temporárias" para diretoria ou contas de serviço — contas privilegiadas sem MFA são exatamente o que o atacante procura;
• Bloquear a autenticação legada (POP, IMAP, SMTP básico), que não suporta MFA e é a porta de entrada clássica para ataques de força bruta;
• Registrar métodos de recuperação antes de forçar a exigência, para não travar usuários no processo.

Um ponto frequentemente ignorado: MFA ativada não é MFA à prova de tudo. Ataques de fadiga de MFA (bombardear o usuário com notificações até ele aprovar por cansaço) e phishing de sessão existem. Por isso a correspondência de número no Authenticator e o treinamento dos usuários complementam a configuração técnica. Ainda assim, o salto de segurança entre "sem MFA" e "com MFA" é o maior que sua empresa pode dar em uma única tarde de configuração.

Acesso condicional: o porteiro inteligente do seu ambiente

Se a MFA responde à pergunta "essa pessoa é quem diz ser?", o acesso condicional responde a uma pergunta mais sofisticada: "essa pessoa, neste dispositivo, neste local, neste horário, deveria acessar este recurso?". As políticas de acesso condicional do Microsoft Entra ID funcionam como um porteiro que avalia o contexto de cada tentativa de login e decide: permitir, exigir verificação adicional ou bloquear.

Isso resolve cenários que a MFA sozinha não cobre. Um exemplo prático: as credenciais de um colaborador foram roubadas e o invasor tenta acessar o e-mail a partir de outro país. Com acesso condicional configurado, esse login pode ser bloqueado automaticamente por vir de uma localização não autorizada — antes mesmo de qualquer dano. Algumas políticas fundamentais para começar:

1. Exigir MFA para todos os acessos externos à rede da empresa, mantendo a experiência fluida para quem está no escritório;
2. Bloquear logins de países onde a empresa não opera — se seu time todo está no Brasil, não há motivo para aceitar autenticações vindas do exterior;
3. Exigir dispositivos compatíveis ou registrados para acessar dados corporativos, impedindo que informações críticas sejam abertas em máquinas desconhecidas e sem proteção;
4. Aplicar regras mais rígidas para administradores, como MFA em toda sessão e bloqueio de acesso por dispositivos não gerenciados;
5. Restringir ou monitorar apps de terceiros que pedem consentimento para acessar dados do tenant — um vetor de ataque cada vez mais explorado.

Uma recomendação importante de implantação: toda política nova deve nascer em modo somente relatório (report-only). Nesse modo, o Microsoft 365 registra o que a política teria feito, sem bloquear ninguém. Depois de alguns dias analisando os relatórios e ajustando exceções legítimas, a política é ativada com confiança — sem travar a operação numa segunda-feira de manhã.

DLP: impedir que dados sensíveis saiam pela porta da frente

MFA e acesso condicional protegem contra invasores externos. Mas boa parte dos incidentes de segurança envolve dados saindo da empresa por descuido interno: uma planilha com CPFs de clientes anexada ao destinatário errado, dados de cartão colados numa conversa de Teams, um relatório confidencial compartilhado com "qualquer pessoa com o link". É esse risco que as políticas de prevenção contra perda de dados (DLP) endereçam.

O DLP do Microsoft Purview inspeciona o conteúdo que circula pelo Exchange, SharePoint, OneDrive e Teams em busca de padrões de informação sensível — CPF, CNPJ, números de cartão de crédito, dados bancários, informações de saúde — e aplica ações automáticas quando encontra: alertar o usuário com uma dica de política, exigir justificativa, notificar o administrador ou simplesmente bloquear o envio. Com a LGPD em vigor e sanções sendo aplicadas, demonstrar controle técnico sobre dados pessoais deixou de ser diferencial e virou obrigação.

O vazamento mais comum não é obra de um hacker sofisticado. É um e-mail enviado ao destinatário errado com um anexo que nunca deveria ter saído da empresa.

Para implantar DLP sem atrito, o caminho é gradual. Comece identificando quais tipos de dado sensível sua empresa realmente manipula — para a maioria das empresas brasileiras, CPF, CNPJ e dados financeiros são o ponto de partida. Crie as políticas em modo de teste com notificações, apenas registrando as ocorrências. Analise os resultados: você provavelmente vai se surpreender com o volume de dado sensível circulando sem controle. Só então ative as ações de bloqueio, começando pelos cenários de maior risco, como compartilhamento externo. E use as dicas de política como ferramenta de educação: quando o próprio Microsoft 365 avisa o usuário "este e-mail parece conter CPFs — confirme antes de enviar", o comportamento da equipe muda de forma orgânica.

Além do trio essencial: pontuação segura, auditoria e backup

Com MFA, acesso condicional e DLP no lugar, o fundamento está construído. Algumas medidas complementares elevam o nível sem grande esforço adicional. A primeira é acompanhar o Microsoft Secure Score, painel nativo que avalia a postura de segurança do tenant e recomenda melhorias priorizadas por impacto. Ele funciona como um checklist vivo: a cada configuração aplicada, a pontuação sobe e o risco residual fica visível para gestão e diretoria.

A segunda é garantir que a auditoria esteja ativada e retida. O log de auditoria unificado do Microsoft 365 registra quem acessou o quê, quando e de onde — informação indispensável para investigar um incidente ou responder a uma exigência da LGPD. Verifique também as regras de encaminhamento de e-mail: criar um redirecionamento silencioso da caixa da vítima para fora da empresa é uma das primeiras ações de um invasor após comprometer uma conta, e o bloqueio de encaminhamento externo automático fecha essa brecha.

Por fim, um alerta que evita sustos: o Microsoft 365 não é backup. A retenção nativa protege contra exclusões recentes, mas não substitui um backup independente contra ransomware, exclusão maliciosa ou corrupção de dados descoberta meses depois. A própria Microsoft recomenda, em seus termos de serviço, o uso de backup de terceiros. Uma rotina de backup dedicada para Exchange, SharePoint, OneDrive e Teams — com retenção longa e armazenamento fora do tenant — completa a estratégia.

Como a Duk implementa segurança no Microsoft 365 sem travar sua operação

Todas as configurações descritas neste artigo estão disponíveis no seu tenant hoje. O desafio raramente é técnico no sentido de "não existe a ferramenta" — é saber calibrar cada política para o contexto da empresa, implantar sem interromper o trabalho das equipes e manter tudo revisado à medida que a Microsoft evolui a plataforma e os atacantes mudam de tática. Uma política de acesso condicional mal dimensionada trava a operação; uma DLP agressiva demais ensina os usuários a contornar controles. O equilíbrio vem da experiência.

É exatamente esse trabalho que a Duk Informática & Cloud realiza há mais de 18 anos. Como Microsoft Gold Partner, a Duk já estruturou e protege ambientes Microsoft 365 de mais de 550 empresas, do diagnóstico inicial — com avaliação de Secure Score e levantamento de riscos — à implantação de MFA, acesso condicional e DLP em ondas planejadas, com comunicação aos usuários e suporte 24/7 com SLA para qualquer imprevisto. O monitoramento contínuo garante que alertas de login suspeito, tentativas de phishing e violações de política sejam tratados por especialistas, e não fiquem esquecidos num painel que ninguém abre.

Se sua empresa usa Microsoft 365 e você não sabe responder com certeza se a MFA cobre todos os usuários, se existe alguma política de acesso condicional ativa ou se dados de clientes podem sair por e-mail sem nenhum controle, esse é o sinal para agir. Fale com a equipe da Duk e solicite uma avaliação de segurança do seu ambiente Microsoft 365 — o básico bem feito, implementado por quem faz isso todos os dias.