O Microsoft Azure é o segundo maior provedor de cloud do mundo e, consequentemente, um alvo de alto valor para atacantes. Diferente da AWS — onde o IAM é o coração da segurança — o Azure tem sua própria anatomia de ataque, centrada no Entra ID (antigo Azure Active Directory), nas permissões de Microsoft Graph e nas Managed Identities.
Entra ID: a identidade é a nova fronteira
O Entra ID é o plano de controle de identidade do Azure. Em ambientes híbridos — que são a maioria das empresas brasileiras — ele sincroniza com o Active Directory on-premises, criando uma superfície de ataque que atravessa os dois mundos.
Os vetores mais explorados contra o Entra ID incluem password spray e credential stuffing, consent phishing com aplicações OAuth maliciosas e abuso de aplicações com permissões elevadas de Graph API.
Microsoft Graph API: o motor oculto do M365
A Microsoft Graph API é o acesso programático a praticamente todos os recursos do Microsoft 365: e-mails, calendários, arquivos do SharePoint, usuários do tenant, grupos, dispositivos. Um token de acesso com as permissões certas permite a um atacante ler todos os e-mails do CEO, exfiltrar arquivos do SharePoint e enumerar toda a estrutura organizacional.
Managed Identities: o vetor esquecido
Managed Identities permitem que VMs, Functions e outros recursos se autentiquem em serviços Azure sem credenciais explícitas. O problema é quando as permissões dessas identidades são excessivas. Um atacante que compromete uma aplicação rodando em uma VM com Managed Identity excessivamente permissiva pode usar aquela identidade para escalar privilégios no Azure — acessar Key Vaults, modificar outros recursos, ou até elevar-se a Global Admin do tenant.
Checklist de segurança Azure
- MFA habilitado para todos os usuários, especialmente administradores
- Privileged Identity Management (PIM) para acesso just-in-time a roles privilegiadas
- Conditional Access policies para acesso baseado em risco
- Revisão periódica de App Registrations e suas permissões de Graph API
- Managed Identities com principle of least privilege
- Defender for Cloud ativo com recomendações de segurança tratadas
Confira nosso serviço de Azure Pentest para uma avaliação completa do seu ambiente.