Existe uma alavanca de segurança pouco explorada em ambientes Microsoft, que é o quanto do licenciamento que a empresa já paga está, de fato, em operação. Em ambientes Microsoft, isso aparece com clareza no indicador Secure Score. Neste artigo, vamos mostrar como organizações com licenciamento E5 completo que muitas vezes operam com um Secure Score na casa dos 30% podem elevar esse número.
O investimento foi feito, as proteções estão contratadas e, ainda assim, boa parte delas nunca saiu do modo de observação.
Para entender por que isso importa, vale olhar de onde vêm os ataques hoje. O Verizon Data Breach Investigations Report de 2025 mostra que o abuso de credenciais é o vetor de acesso inicial mais comum, presente em 22% das violações analisadas, e que 88% dos ataques a aplicações web envolvem credenciais roubadas. O elemento humano aparece em 60% das violações. Em outras palavras, na maioria dos casos o acesso inicial acontece por autenticação: o atacante usa uma credencial válida, obtida por phishing, por um infostealer ou comprada em um mercado clandestino, e entra como se fosse um usuário legítimo.
É exatamente contra esse tipo de acesso que o licenciamento Microsoft já traz defesa. O ponto é que grande parte dessas defesas chega desativada ou em modo de auditoria, por uma razão compreensível: ligá-las sem critério pode quebrar fluxos de trabalho legítimos. Então elas ficam ali, registrando o que acontece, mas sem bloquear nada. O resultado é um ambiente que parece protegido no contrato e permanece exposto na prática.
Alguns exemplos que aparecem com frequência nos nossos diagnósticos:
- Regras de redução de superfície de ataque (ASR) configuradas apenas em modo de auditoria. Elas enxergam o comportamento malicioso e o anotam, mas não o interrompem.
- Microsoft Defender for Identity instalado, porém sem sensores ativos nos controladores de domínio, o que deixa a movimentação lateral fora do radar.
- Políticas de Acesso Condicional criadas pela metade, cobrindo parte dos usuários ou parte dos cenários de risco.
- Ausência de uma senha de administrador local única por máquina (Windows LAPS), o que permite que uma única credencial comprometida abra várias estações de uma vez.
Nenhum desses pontos é uma falha de produto. São lacunas de configuração e de governança. A licença entrega a capacidade; a decisão de ativá-la, ajustá-la ao ambiente e monitorá-la ao longo do tempo continua sendo um trabalho humano, e é justamente essa etapa que costuma ficar para depois.
É aqui que o Secure Score se torna útil, com uma ressalva importante. Ele funciona como ponto de partida: traduz em um número o quanto das configurações recomendadas está aplicado no seu tenant. Não é uma medida completa de risco, e uma pontuação alta não significa imunidade. Mas um Secure Score de 30% em um ambiente E5 é um sinal concreto de que existe muita capacidade contratada e pouca capacidade em uso, e serve como bússola para priorizar o que ajustar primeiro.
A boa notícia é que fechar essa distância costuma ser mais rápido e mais barato do que a próxima aquisição. O reflexo natural, diante de um incidente ou de uma auditoria, é comprar mais uma ferramenta. Só que elevar o Secure Score trabalha sobre recursos que já estão pagos, e em muitos casos os ajustes de maior impacto são de esforço moderado e efeito imediato sobre os vetores mais explorados: completar o Acesso Condicional, colocar as regras de ASR em modo de bloqueio, padronizar as senhas locais e desligar autenticação legada onde ela ainda persista.
O caminho que sugerimos tem três movimentos simples de enunciar e exigentes de executar: ativar o que está contratado, configurar de acordo com o ambiente real e acompanhar o desvio de postura de forma contínua, porque uma configuração correta hoje se degrada com o tempo, à medida que surgem exceções, mudanças e novos usuários.
Foi esse percurso que detalhamos no nosso último RedTalks, percorrendo um ambiente Microsoft do ponto de vista de quem ataca e mostrando, a cada etapa, qual controle já disponível teria interrompido a cadeia. A gravação completa está disponível abaixo:
Para quem quer sair do diagnóstico genérico e enxergar o próprio ambiente, o nosso Security Health Check foi desenhado para isso. Em até 48 horas, a análise entrega o seu Secure Score atual, um mapa dos principais gaps organizados por criticidade e os três ajustes de maior retorno para começar ainda esta semana, tudo com base no que você já tem licenciado. Para solicitar, converse com um de nossos especialistas.
