Proteção contra ransomware do Microsoft 365

O ransomware continua sendo uma das maiores ameaças aos ambientes do Microsoft 365. E-mails de phishing e links maliciosos continuam sendo os pontos de entrada mais comuns, dando aos invasores acesso às credenciais dos usuários e a capacidade de criptografar arquivos do SharePoint, conteúdo do OneDrive e caixas de correio do Exchange.

A Microsoft oferece recursos como Lixeira, histórico de versões e políticas básicas de retenção. Esses recursos são úteis em cenários limitados, mas não suportam a recuperação completa de dados em grande escala. As ferramentas nativas também carecem de automação, e a restauração de grandes volumes de dados pode levar dias devido aos limites de restrição da API.
De acordo com pesquisas do setor, 80% das organizações sofreram ataques de ransomware em 2024, e 93% desses ataques tinham como alvo os backups. Operações críticas dos negócios podem ser adiadas ou interrompidas completamente.

Uma estratégia de backup gerenciado oferece às equipes de TI o controle necessário para responder rapidamente e limitar os danos.

Existem várias etapas simples que você pode seguir para avaliar se há vulnerabilidades em seu ambiente. Você deve:

1. Auditar pontos de acesso: identifique como os usuários acessam os serviços do M365, incluindo navegadores, dispositivos móveis e integrações de terceiros. Preste atenção especial ao acesso de convidados e à autenticação legada.
2. Analisar os resultados dos testes de phishing: use os resultados de simulações internas de phishing para medir o risco dos usuários. Altas taxas de cliques podem indicar pontos fracos na conscientização dos usuários ou na postura de segurança.
3. Verificar as configurações de retenção: analise as políticas de retenção no Exchange, OneDrive e SharePoint. Alinhe-as aos requisitos legais e operacionais.
4. Simule uma restauração: execute um teste de Recovery para verificar quais dados podem ser recuperados, quanto tempo isso leva e onde existem lacunas. Isso ajuda a validar seu plano de recuperação.
5. Avalie as limitações da API: os limites da API do Microsoft Graph podem retardar restaurações de grande porte. Entenda como esses limites afetam seu tempo de Recovery.

Uma estratégia focada em Backup and Recovery para o M365 ajuda a preencher as lacunas deixadas pelas proteções nativas. Ela oferece às organizações maior controle sobre seus dados, melhora o tempo de Recovery e oferece suporte à retenção de longo prazo e à conformidade.

Aqui estão algumas ações que você pode realizar para ajudar a proteger seu ambiente do M365:

1. Habilite a autenticação em duas etapas (MFA) para todos os usuários.
   Use o Entra ID para exigir a autenticação em duas etapas em todas as contas, incluindo contas de administradores e de serviço. Crie políticas de acesso condicional para aplicar essa exigência em toda a organização.
2. Configure Links Seguros e Anexos Seguros.
   No Microsoft 365, habilite Links Seguros para verificar e reescrever URLs. Ative Anexos Seguros para analisar arquivos em uma área isolada antes da entrega.
3. Restrinja as funções de administrador global.
   Revise as atribuições de funções de administrador no Entra ID. Use os princípios de privilégios mínimos e habilite o acesso “just-in-time” por meio do Privileged Identity Management para tarefas confidenciais.
4. Configure políticas de acesso condicional.
   Exija dispositivos confiáveis, bloqueie a autenticação legada e aplique restrições baseadas na localização. Essas políticas ajudam a controlar o acesso com base no risco em tempo real.
5. Utilize apenas autenticação moderna.
   Desative protocolos legados, como POP e IMAP. Eles são vulneráveis a ataques do tipo “password spray” e não oferecem suporte à autenticação multifatorial (MFA).
6. Monitore os registros de acesso e de logon.
   Verifique regularmente os registros no Centro de Segurança e Conformidade do Microsoft 365. Procure por padrões como tentativas de logon malsucedidas, endereços IP incomuns ou atividade anômala de arquivos.

Reduzir o risco de ransomware no Microsoft 365 exige mais do que apenas backup. Uma vez dentro do sistema, os invasores costumam se mover lateralmente e ter como alvo dados compartilhados e contas com privilégios. Segmentar as cargas de trabalho por função e nível de confidencialidade ajuda a conter o impacto e limita o acesso a sistemas críticos para os negócios.

A segmentação de rede ajuda a isolar dados de alto valor, como conteúdo financeiro, de RH ou jurídico, do tráfego geral dos usuários. Essa abordagem ajuda a reduzir a chance de que o malware se espalhe além do ponto inicial de comprometimento.

Ferramentas avançadas de proteção contra ameaças ajudam a detectar comportamentos suspeitos precocemente, analisando atividades de login, acesso a arquivos e comportamento do usuário. Essas ferramentas se baseiam em inteligência contra ameaças e detecção de anomalias para identificar sinais de comprometimento que filtros e regras padrão podem deixar passar.

1. Analise os registros de login do Entra ID.
   Filtre por tentativas de login malsucedidas, endereços IP desconhecidos e dispositivos não identificados. Procure padrões que possam indicar ataques de força bruta ou preenchimento de credenciais.
2. Audite funções privilegiadas.
   Liste todas as contas com permissões de administrador global ou de alto nível. Remova quaisquer atribuições desnecessárias e configure o acesso “just-in-time” para tarefas confidenciais.
3. Verifique as políticas de acesso condicional.
   Confirme se há políticas em vigor para exigir autenticação multifatorial (MFA), bloquear protocolos legados e restringir o acesso com base na localização ou na conformidade do dispositivo.
4. Inspecione as configurações de compartilhamento do SharePoint e do OneDrive.
   Identifique quaisquer arquivos ou pastas compartilhados por meio de links anônimos ou com usuários externos. Remova acessos que não sejam mais necessários.
5. Analise as regras da caixa de correio e as configurações de encaminhamento.
   Procure regras que encaminhem e-mails para fora da organização ou excluam mensagens automaticamente. Isso pode ser um sinal de invasão de conta.
6. Teste as políticas de prevenção contra perda de dados (DLP).
   Simule ações que deveriam acionar as proteções de DLP e verifique se os alertas são gerados. Confirme se as ações de aplicação funcionam conforme configuradas.
7. Documente as descobertas e atribua ações de acompanhamento.
   Acompanhe os problemas identificados, designe responsáveis e estabeleça prazos claros. Isso ajuda a manter a prestação de contas entre as equipes e apoia a melhoria contínua.

A Yedioth Information Technologies (yit), uma editora líder de mercado, enfrentava desafios para proteger seu crescente ambiente do Microsoft 365. Com 1.000 caixas de correio a serem protegidas e planos de expansão para 1.500, a empresa precisava de uma solução que pudesse ser dimensionada e, ao mesmo tempo, atendesse aos rigorosos requisitos de retenção de dados para seus negócios editoriais.

Após utilizar com sucesso o Commvault para proteção local, a yit implementou o Commvault Cloud Backup and Recovery para o Microsoft 365. A implementação foi extremamente eficiente: em apenas três horas após a instalação, a equipe já havia iniciado o backup das caixas de correio.

“É fundamental contar com uma solução confiável e flexível de gerenciamento de dados como serviço que possa dar suporte ao nosso negócio editorial”, disse Eytan Molle, gerente de sistemas da yit. “O Commvault Cloud Backup and Recovery para Microsoft 365 é seguro, confiável e prático. Podemos recuperar dados facilmente, sem nenhum problema.”

Os resultados foram transformadores. Antes de implementar a solução, a recuperação de conteúdo arquivado podia levar dias e, muitas vezes, exigia localizar e transportar fitas físicas de um depósito. Esse processo era particularmente desafiador quando os editores precisavam acessar artigos publicados há anos.

“Agora, com o Commvault Cloud Backup and Recovery para Microsoft 365, podemos recuperar totalmente os dados do Office 365 em apenas alguns minutos, em vez de dias”, explicou Molle.

A solução também reduziu as despesas operacionais. Em vez de exigir dois funcionários para gerenciar os backups, agora basta apenas uma pessoa. O trabalho nos finais de semana foi eliminado, e a equipe ganhou tranquilidade ao saber que havia proteção para seus dados contra ameaças de ransomware, seja no local ou na nuvem.

Com um painel integrado, a equipe de TI pode monitorar facilmente os backups locais e na nuvem a partir de uma única interface, simplificando o gerenciamento e ajudando a manter a continuidade dos negócios. “Eu
recomendaria a Commvault e o Commvault Cloud Backup and Recovery for Microsoft 365 sem qualquer hesitação”, disse Molle. “Você pode esquecer os backups e dormir melhor à noite.”