Caro leitor, antes de tudo seja bem-vindo ao Blog Jefferson Castilho.
Neste artigo vou explicar como funciona e como configurar o Azure AD Password Protection na nuvem: a lista global de senhas banidas, a lista personalizada da sua empresa e o Smart Lockout. O Azure AD hoje se chama Microsoft Entra ID, mas o recurso e a lógica continuam os mesmos.
Este é o primeiro de dois artigos. Aqui fica o conceito e a configuração no portal. A instalação dos agentes no Active Directory local (servidor proxy e Domain Controllers) está no artigo Implementando Azure AD Password Protection Proxy.
O que o Azure AD Password Protection resolve
Política de complexidade sozinha não impede senha fraca. Empresa@2021 tem maiúscula, minúscula, número e símbolo, e mesmo assim é uma das primeiras senhas que um ataque de password spray testa.
O Password Protection bloqueia esse tipo de senha no momento em que o usuário tenta criá-la ou trocá-la, com base em listas de termos proibidos:
- Lista global de senhas banidas: mantida pela Microsoft a partir dos ataques que ela observa. Vale automaticamente para todos os usuários da nuvem e não pode ser editada nem desligada.
- Lista personalizada de senhas banidas: termos da sua organização, como nome da empresa, produtos, cidade, time de futebol e siglas internas. Aceita até 1.000 termos, cada um com 4 a 16 caracteres.
Como a senha é avaliada
A comparação não é literal, e é isso que torna o recurso útil:
- Normalização: a senha vai para minúsculas e as substituições comuns são desfeitas (
@→a,0→o,$→s,1→l). Assim,Empre$@é lido comoempresa. - Correspondência aproximada: variações a uma letra de distância de um termo banido também contam.
- Pontuação: cada termo banido encontrado vale 1 ponto e cada caractere restante vale 1 ponto. A senha precisa somar pelo menos 5 pontos para ser aceita.
Na prática, juntar o nome da empresa com o ano e um símbolo não passa mais. O usuário é empurrado para uma frase-senha de verdade.
Configurando no portal
No portal do Azure AD, abra Overview e depois Security. No Microsoft Entra admin center atual, o caminho é Protection > Authentication methods > Password protection.
Selecione Authentication methods.
Em Password protection ficam todas as opções:
- Lockout threshold: quantas tentativas erradas de senha bloqueiam a conta (Smart Lockout). O padrão é 10.
- Lockout duration in seconds: por quanto tempo a conta fica bloqueada. O padrão é 60 segundos, e o tempo aumenta a cada novo bloqueio.
- Enforce custom list: liga a lista personalizada de senhas banidas.
- Custom banned password list: os termos da sua organização, um por linha.
- Enable password protection on Windows Server Active Directory: estende as listas para as trocas de senha feitas no AD local. Só funciona com os agentes instalados, o que é assunto do artigo do Proxy.
- Mode: Audit só registra em log as senhas que seriam bloqueadas. Enforced bloqueia de fato no AD local.
No meu exemplo, as opções do Active Directory aparecem desabilitadas porque o tenant não tinha licença Azure AD Premium P1 ou P2.
Licenciamento
- Usuários só de nuvem: a lista global funciona sem licença adicional.
- Lista personalizada e integração com o AD local: exigem Microsoft Entra ID P1 ou P2 (antigo Azure AD Premium).
Como colocar em produção sem susto
- Monte a lista personalizada com a área de negócio, não só com TI. Nome da empresa, marcas, produtos e cidades são os termos que mais aparecem em senha fraca.
- Se for usar no AD local, comece em Audit e acompanhe os logs por algumas semanas para medir quantas trocas seriam recusadas.
- Avise os usuários antes de mudar para Enforced e oriente o uso de frase-senha.
- A regra vale na próxima troca de senha. Senhas que já existem não expiram por causa do recurso.
Com a nuvem configurada, o próximo passo para ambientes híbridos é instalar o serviço proxy e o agente nos Domain Controllers: Implementando Azure AD Password Protection Proxy.
Fonte: Microsoft Learn: Eliminate bad passwords using Microsoft Entra Password Protection
🚀 Vamos nos conectar?
Não perca nenhuma oportunidade! Cadastre-se nas minhas redes e no canal do YouTube para receber conteúdos de TI, Cloud, Azure, Kubernetes e DevOps em primeira mão.
Dica: No Facebook, todos os artigos do blog são publicados automaticamente. Vale a pena curtir!
💬 Dúvidas ou Problemas?
Com o intuito de ajudar a comunidade, caso você tenha dúvidas ou encontre problemas na configuração deste artigo, deixe um comentário abaixo. Responderei o mais breve possível!
Muito obrigado pela visita e até o próximo post!
Jefferson Castilho
Especialista em Cloud & DevOps.
1 comentário em “Implementando Azure AD Password Protection”