No artigo anterior, tratamos da distância entre o que uma empresa contrata em licenciamento Microsoft e o quanto disso está de fato em operação, com o Secure Score servindo de termômetro. Mas, por onde começar?
Entre as dezenas de recomendações que compõem o Secure Score, três proteções costumam concentrar o maior retorno quando saem do papel, e todas já estão incluídas nos planos E3 e E5: as regras de redução de superfície de ataque (ASR), o Windows LAPS e o Microsoft Defender for Identity. Cada uma delas atua em um momento distinto de um ataque, o que ajuda a entender por que a combinação das três tem efeito maior do que qualquer uma isolada.
ASR: interromper a execução, não apenas registrá-la
As regras de ASR fazem parte do Defender for Endpoint e bloqueiam comportamentos que aparecem com frequência em ataques reais, como um aplicativo do Office iniciando um processo filho ou uma tentativa de extrair credenciais da memória do LSASS. O detalhe que define se essa proteção funciona é o modo de operação. Em modo de auditoria, a regra observa o comportamento e o registra, mas deixa a ação seguir. Em modo de bloqueio, ela interrompe a execução no momento em que acontece.
A maioria dos ambientes que avaliamos mantém as regras em auditoria, e por uma razão legítima: ligar tudo de uma vez, sem calibrar, pode barrar fluxos de trabalho válidos. O trabalho aqui não é apertar um botão, e sim identificar quais regras já podem ir para bloqueio com segurança e quais exigem ajuste antes. É essa etapa de calibragem que costuma ficar para depois e mantém a proteção em modo de observação por tempo indeterminado.
Windows LAPS: impedir que uma senha abra o ambiente inteiro
Quando todas as estações compartilham a mesma senha de administrador local, comprometer uma máquina passa a significar comprometer todas. É um dos caminhos mais diretos para a movimentação lateral, a fase em que o atacante, já dentro, se espalha pelo ambiente usando credenciais válidas. O Verizon DBIR de 2025 mostra o peso desse elo: entre as vítimas de ransomware, 54% tinham credenciais expostas em logs de infostealer antes do ataque.
O Windows LAPS, hoje integrado ao próprio Windows, resolve esse ponto ao gerar uma senha de administrador local única por dispositivo e rotacioná-la automaticamente, com o armazenamento protegido no Entra ID ou no Active Directory. Na prática, a senha obtida em uma máquina não serve para nenhuma outra, e a propagação que dependia dela deixa de ser possível. É uma mudança de configuração de baixo custo com efeito direto sobre a fase mais silenciosa de um ataque.
Defender for Identity: enxergar o que acontece dentro do domínio
Existe um intervalo entre o acesso inicial e o impacto final em que o atacante faz reconhecimento, mapeia o Active Directory e testa caminhos de escalonamento. É a janela em que ele é mais discreto e também mais detectável, se houver quem esteja olhando. O Microsoft Defender for Identity cobre exatamente essa janela: seus sensores, instalados nos controladores de domínio, identificam padrões de reconhecimento, movimentação lateral e abuso de identidade que não aparecem no perímetro.
O padrão que encontramos é o produto presente no licenciamento, às vezes até instalado, mas sem os sensores ativos onde importa. Sem eles, essa fase intermediária do ataque acontece fora do radar. Ativar os sensores devolve visibilidade justamente ao trecho da cadeia em que uma detecção precoce muda o desfecho.
Por que as três juntas?
Vistas em conjunto, as três proteções cobrem momentos complementares: o ASR atua sobre a execução, o Windows LAPS contém a propagação e o Defender for Identity observa o movimento dentro do domínio. Não se trata de eleger a mais importante, e sim de reconhecer que fechar um vetor e deixar os outros dois abertos apenas desloca o problema. Como as três têm peso relevante nas recomendações do Secure Score e já estão contratadas, ativá-las tende a elevar o índice de forma expressiva sem nenhuma aquisição nova.
Vale a mesma ressalva do primeiro artigo. Ativar não é marcar uma caixa; é calibrar cada controle ao ambiente real e acompanhar o desvio ao longo do tempo, porque uma configuração correta hoje se degrada à medida que surgem exceções e mudanças. É trabalho humano, contínuo, e é justamente o que separa a capacidade contratada da proteção em operação.
Detalhamos esse percurso, percorrendo um ambiente Microsoft do ponto de vista de quem ataca, no nosso último RedTalks. A gravação completa está disponível abaixo:
E para quem quer ver onde essas três proteções estão no próprio ambiente, o nosso Security Health Check entrega, em até 48 horas, o Secure Score atual, os principais gaps organizados por criticidade e os três ajustes de maior retorno para começar esta semana, sempre com base no que você já tem licenciado. Para solicitar, acesse www.redbelt.com.br/contato.
