Analisar risco de login e acessos suspeitos no Microsoft Entra ID é uma das competências mais críticas para profissionais de segurança e administradores de infraestrutura moderna. Com o crescimento exponencial do trabalho remoto e da adoção de identidades na nuvem, as organizações enfrentam desafios cada vez maiores em detectar e responder a tentativas de acesso não autorizadas. O Entra ID, plataforma de gerenciamento de identidades da Microsoft, oferece ferramentas robustas para monitorar atividades de login, mas muitos profissionais ainda não dominam completamente como extrair inteligência desses dados para proteger seus ambientes.
A diferença entre uma violação de segurança detectada em segundos ou em meses frequentemente está na capacidade de interpretar corretamente os sinais de risco que o Entra ID fornece. Análises efetivas envolvem compreender logs de autenticação, reconhecer padrões anormais de comportamento, configurar políticas de acesso condicional e responder rapidamente a alertas. Profissionais que dominam essa habilidade se tornam ativos valiosos no mercado, capazes de proteger infraestruturas críticas e garantir conformidade com regulamentações de segurança cada vez mais rigorosas.
O que é análise de risco de login no Microsoft Entra ID e por que ela é essencial?
O Microsoft Entra ID (antigo Azure Active Directory) incorpora um mecanismo de avaliação de risco em tempo real que analisa cada tentativa de autenticação e atribui uma pontuação de risco com base em dezenas de sinais comportamentais, geográficos e de inteligência de ameaças. Essa capacidade é entregue pelo Microsoft Entra ID Protection, um serviço que monitora continuamente os acessos e identifica padrões anômalos antes que um comprometimento se consolide.
Para equipes de segurança e analistas que atuam no ecossistema Microsoft, compreender essa análise de risco é uma competência central. Ambientes corporativos modernos têm identidade como perímetro principal — não há firewall que substitua uma política de acesso inteligente baseada em contexto de risco.
Como o Entra ID classifica níveis de risco: baixo, médio e alto
O Entra ID Protection classifica os eventos de risco em três níveis: baixo, médio e alto. Essa classificação é calculada por modelos de machine learning da Microsoft que consomem trilhões de sinais diários da telemetria do Azure AD global.
- Baixo: atividade incomum, mas com probabilidade reduzida de comprometimento real. Exemplo: login em horário atípico sem outros indicadores.
- Médio: combinação de fatores suspeitos que aumenta a probabilidade de conta comprometida. Exemplo: login de IP anônimo com dispositivo não gerenciado.
- Alto: forte indicação de comprometimento ativo. Exemplo: credenciais encontradas em vazamento externo ou viagem impossível em curto intervalo de tempo.
Cada nível orienta diretamente a resposta automatizada: políticas de Acesso Condicional podem exigir MFA no nível médio e bloquear completamente no nível alto, sem intervenção manual.
Diferença entre risco de usuário e risco de entrada (sign-in risk)
O Entra ID trabalha com dois tipos distintos de risco que precisam ser tratados separadamente:
- Risco de entrada (sign-in risk): avalia a probabilidade de que aquela autenticação específica não seja legítima. É calculado no momento do login e considera IP, localização, dispositivo, método de autenticação e comportamento da sessão.
- Risco de usuário (user risk): avalia a probabilidade de que a identidade do usuário esteja comprometida de forma persistente. Acumula evidências ao longo do tempo — como múltiplos logins suspeitos ou credenciais detectadas em bases de dados vazadas.
Um usuário pode ter risco de entrada alto em um evento isolado (que pode ser resolvido com MFA) e risco de usuário alto quando há evidências acumuladas de comprometimento (que exige redefinição de senha e investigação mais profunda).
Como acessar e interpretar o painel do Microsoft Entra ID Protection
O painel do Entra ID Protection está disponível no portal entra.microsoft.com ou via portal.azure.com, na seção Microsoft Entra ID > Security > Identity Protection. O acesso requer licença Microsoft Entra ID P2 (ou equivalente via Microsoft 365 E5/E3 com add-on).
Navegando pelo dashboard: relatórios de entradas arriscadas e usuários em risco
O dashboard principal exibe três relatórios centrais:
- Risky sign-ins: lista todas as autenticações com nível de risco detectado, com filtros por nível, status e data.
- Risky users: exibe usuários com risco acumulado, permitindo ações como confirmação de comprometimento, reset de senha ou descarte do risco.
- Risk detections: detalha cada evento de detecção individual, com tipo de detecção, fonte (em tempo real ou offline) e nível de risco associado.
O fluxo de trabalho padrão começa pelos risky sign-ins para triagem imediata e avança para risky users quando há padrão recorrente no mesmo usuário.
Entendendo os detalhes de cada detecção de risco (risk detections)
Cada detecção de risco contém informações essenciais para a investigação: tipo de detecção, timestamp, endereço IP, localização geográfica, dispositivo, aplicativo acessado e se a detecção ocorreu em tempo real ou foi processada offline (o que indica uso de inteligência de ameaças externa, como feeds de credenciais vazadas).
Detecções em tempo real permitem bloqueio imediato via Acesso Condicional. Detecções offline chegam com atraso de horas ou dias, pois dependem de correlação com fontes externas — por isso políticas de risco de usuário são igualmente importantes.
Como filtrar e priorizar alertas de acesso suspeito no portal
No relatório de entradas arriscadas, utilize os filtros combinados para priorizar a investigação:
- Filtre por Risk level: High para tratar imediatamente os casos críticos.
- Combine com Risk state: At risk para excluir eventos já remediados ou descartados.
- Use o filtro de Detection timing: Real-time para identificar ameaças ativas.
- Ordene por Risk last updated para trabalhar os eventos mais recentes primeiro.
Essa triagem estruturada evita que analistas desperdicem tempo em alertas já resolvidos ou de baixa criticidade enquanto eventos ativos aguardam resposta.
Principais sinais de acesso suspeito detectados pelo Entra ID
O Entra ID Protection categoriza suas detecções em tipos específicos, cada um com lógica própria de avaliação. Conhecer cada tipo permite investigar com mais precisão e reduzir falsos positivos.
Login a partir de endereço IP anônimo ou rede Tor
Quando uma autenticação origina de um IP classificado como anônimo — proxies, VPNs suspeitas ou nós da rede Tor — o Entra ID gera uma detecção automática. O uso de Tor é um forte indicador de tentativa deliberada de ocultar a origem, especialmente em ambientes corporativos onde VPNs legítimas são gerenciadas e conhecidas. Investigue se o usuário tem histórico de uso de VPN e se o acesso ocorreu em horário compatível com sua rotina.
Viagem impossível (impossible travel) entre localizações geográficas
Essa detecção identifica dois logins do mesmo usuário em localizações geograficamente distantes dentro de um intervalo de tempo fisicamente impossível para deslocamento humano. Por exemplo: login em São Paulo às 10h e login em Moscou às 10h45. O algoritmo considera velocidade de deslocamento e tolerâncias para VPNs conhecidas. É uma das detecções mais confiáveis para identificar credential stuffing ou uso de credenciais por terceiros.
Credenciais vazadas detectadas em fontes externas
A Microsoft monitora continuamente fóruns da dark web, repositórios públicos e bases de dados de vazamentos. Quando um par de credenciais (e-mail + senha) de um usuário do tenant é encontrado nessas fontes, o risco de usuário é elevado para alto automaticamente. Essa detecção é sempre offline e exige resposta imediata: reset de senha e revisão de sessões ativas.
Pulverização de senhas (password spray): como identificar e investigar
O password spray é uma técnica em que o atacante testa uma senha comum contra muitas contas, evitando bloqueios por tentativas repetidas na mesma conta. O Entra ID detecta esse padrão ao identificar múltiplas falhas de autenticação distribuídas entre contas diferentes originando do mesmo IP ou range. Na investigação, cruze o IP suspeito com os logs de todas as contas afetadas e verifique se alguma autenticação foi bem-sucedida após as tentativas falhas.
Atividade em país ou região nunca antes utilizada pelo usuário
O Entra ID mantém o histórico de localizações de cada usuário e gera uma detecção quando há acesso de um país ou região sem precedente no perfil histórico. Diferente da viagem impossível, essa detecção não exige conflito de tempo — basta que a localização seja inédita. É especialmente relevante para contas administrativas, onde qualquer acesso geográfico fora do padrão deve ser investigado.
Como analisar logs de atividade de login com o Log Analytics
O painel do Entra ID Protection oferece visibilidade operacional, mas para investigações aprofundadas e correlação histórica, os logs precisam ser enviados ao Log Analytics Workspace no Azure Monitor.
Configurando o diagnóstico para enviar logs do Entra ID ao Log Analytics Workspace
Acesse Microsoft Entra ID > Monitoring > Diagnostic settings e crie uma nova configuração de diagnóstico. Selecione as categorias relevantes:
- SignInLogs: logs de todas as autenticações interativas.
- NonInteractiveUserSignInLogs: autenticações de serviços e tokens de refresh.
- AADRiskyUsers: estado de risco dos usuários.
- RiskyServicePrincipals: identidades de serviço com risco detectado.
- UserRiskEvents e SignInRiskEvents: detecções de risco detalhadas.
Direcione para o Log Analytics Workspace desejado. Os logs começam a fluir em minutos e ficam disponíveis para consulta KQL.
Consultas KQL essenciais para identificar acessos suspeitos
O Kusto Query Language (KQL) é a linguagem de consulta nativa do Log Analytics. Algumas queries fundamentais para análise de risco:
Listar todos os logins com risco alto nas últimas 24h:
SigninLogs | where TimeGenerated > ago(24h) | where RiskLevelDuringSignIn == "high" | project TimeGenerated, UserPrincipalName, IPAddress, Location, RiskDetail, AppDisplayName
Identificar IPs com múltiplas contas autenticadas (possível password spray):
SigninLogs | where TimeGenerated > ago(1h) | where ResultType != "0" | summarize FailedAttempts = count(), Accounts = dcount(UserPrincipalName) by IPAddress | where Accounts > 5 | order by FailedAttempts desc
Analisando SigninLogs e AADRiskyUsers com queries prontas para uso
Usuários com risco alto atual:
AADRiskyUsers | where RiskLevel == "high" and RiskState == "atRisk" | project UserPrincipalName, RiskLevel, RiskDetail, RiskLastUpdatedDateTime
Correlacionar usuário em risco com seus últimos logins:
let riskyUsers = AADRiskyUsers | where RiskLevel == "high" | project UserPrincipalName; SigninLogs | where UserPrincipalName in (riskyUsers) | where TimeGenerated > ago(7d) | project TimeGenerated, UserPrincipalName, IPAddress, Location, RiskLevelDuringSignIn, AppDisplayName | order by TimeGenerated desc
Criando alertas automáticos no Azure Monitor a partir dos logs de risco
No Azure Monitor, acesse Alerts > Create alert rule, selecione o Log Analytics Workspace como escopo e use uma query KQL como condição. Configure o threshold (ex: qualquer resultado > 0 para risco alto) e defina um Action Group para envio de e-mail, webhook ou integração com ITSM. Alertas baseados em KQL permitem granularidade que os alertas nativos do portal Entra ID não oferecem.
Usando o UEBA (Análise de Comportamento de Usuários e Entidades) para detectar anomalias
O Entra ID Protection cobre bem ameaças externas e credenciais comprometidas, mas ameaças internas — usuários legítimos com comportamento anômalo — exigem uma camada adicional: o UEBA (User and Entity Behavior Analytics).
Como o UEBA complementa o Entra ID Protection na detecção de ameaças internas
O UEBA constrói uma linha de base comportamental para cada usuário e entidade (dispositivos, aplicações, IPs) e gera alertas quando desvios significativos são detectados. Enquanto o Entra ID Protection reage a sinais conhecidos de ataque, o UEBA detecta padrões anômalos mesmo sem assinatura prévia — como um funcionário acessando volumes incomuns de dados sensíveis antes de uma demissão, ou um administrador executando operações fora do horário habitual.
Integrando Microsoft Sentinel com Entra ID para análise comportamental avançada
O Microsoft Sentinel é o SIEM/SOAR nativo do Azure e inclui capacidades de UEBA integradas. Para ativá-las, conecte o conector de dados do Microsoft Entra ID no Sentinel e habilite o UEBA nas configurações do workspace. O Sentinel consolida os logs do Entra ID com sinais de outras fontes (Microsoft 365 Defender, Defender for Endpoint, logs de rede) e aplica modelos analíticos para identificar cadeias de ataque completas. Para quem deseja iniciar uma carreira em cibersegurança defensiva com ferramentas Microsoft, dominar essa integração é um diferencial competitivo significativo.
Como configurar políticas de Acesso Condicional baseadas em risco
O Acesso Condicional é o mecanismo de resposta automatizada do Entra ID. Políticas baseadas em risco permitem que o sistema reaja a ameaças detectadas sem intervenção manual, aplicando controles proporcionais ao nível de risco identificado.
Criando política para exigir MFA em logins de risco médio e alto
No portal Entra ID, acesse Security > Conditional Access > New policy. Configure:
- Assignments > Users: todos os usuários ou grupos específicos.
- Conditions > Sign-in risk: selecione Medium e High.
- Access controls > Grant: selecione Require multifactor authentication.
- Ative a política em modo Report-only primeiro para avaliar o impacto antes de enforçar.
Bloqueando automaticamente acessos com risco de entrada alto
Para risco de entrada alto, a recomendação da Microsoft é bloquear o acesso completamente. Crie uma política separada com Sign-in risk: High e em Grant selecione Block access. Isso impede que autenticações com forte indicação de comprometimento avancem, mesmo que o atacante tenha a senha correta. Certifique-se de excluir contas de acesso emergencial (break-glass accounts) dessa política.
Configurando remediação automática para usuários em risco (self-service password reset)
Para risco de usuário médio e alto, configure uma política que exija MFA + alteração de senha. Em Conditions > User risk, selecione os níveis desejados e em Grant marque Require password change. Isso aciona o Self-Service Password Reset (SSPR) automaticamente, permitindo que o próprio usuário remedie o risco sem depender do helpdesk — desde que o SSPR esteja configurado e o usuário tenha métodos de autenticação registrados.
Passo a passo para investigar um incidente de acesso suspeito no Entra ID
Uma investigação estruturada reduz o tempo de resposta e garante que nenhuma evidência relevante seja ignorada. O fluxo abaixo segue a metodologia recomendada para analistas de SOC que trabalham com o ecossistema Microsoft.
1. Identificar o usuário e o evento de risco no painel do ID Protection
Acesse Identity Protection > Risky sign-ins ou Risky users e localize o evento. Registre: UPN do usuário, timestamp, IP de origem, localização, tipo de detecção e nível de risco. Verifique se o usuário tem outros eventos de risco recentes e qual é o estado atual do risco de usuário (at risk, confirmed compromised, dismissed, remediated).
2. Correlacionar o login suspeito com outros eventos no Log Analytics
Com o UPN e o timestamp em mãos, execute queries no Log Analytics para ampliar o contexto:
- Quais outros recursos o usuário acessou na mesma sessão?
- Houve alterações de configuração, criação de regras de e-mail ou exportação de dados?
- O mesmo IP tentou autenticar em outras contas do tenant?
- Houve logins bem-sucedidos a partir desse IP em outros usuários?
Essa correlação transforma um alerta isolado em um quadro completo do incidente.
3. Confirmar ou descartar o comprometimento e tomar ação de remediação
Com base na correlação, tome uma das ações disponíveis no painel do ID Protection:
- Confirm user compromised: eleva o risco de usuário para alto e registra o incidente para auditoria.
- Dismiss user risk: descarta o risco se a investigação confirmar que foi um falso positivo (ex: uso legítimo de VPN corporativa).
- Ações de remediação: reset de senha forçado via portal, revogação de todas as sessões ativas com Revoke sessions no perfil do usuário no Entra ID, e bloqueio temporário da conta se necessário.
4. Documentar o incidente e ajustar políticas para evitar recorrência
Toda investigação deve gerar documentação: timeline do incidente, evidências coletadas, ação tomada e justificativa para confirmação ou descarte. Além do registro, avalie se o incidente expõe lacunas nas políticas existentes. Se um ataque de password spray passou despercebido por horas, considere reduzir o threshold de alerta no Azure Monitor. Se credenciais vazadas foram detectadas tarde demais, revise a frequência de verificação do SSPR e a obrigatoriedade de MFA para todos os usuários.
Profissionais que desejam aprofundar essas competências de forma estruturada — cobrindo Entra ID Protection, Sentinel, KQL e Acesso Condicional — encontram na especialização em segurança Microsoft um caminho mais direto ao mercado do que uma formação generalista. Entender por que vale a pena se especializar no ecossistema Microsoft é um passo importante antes de escolher sua trilha de aprendizado.
