diff --git a/src/pentesting-cloud/azure-security/az-basic-information/README.md b/src/pentesting-cloud/azure-security/az-basic-information/README.md index 4d2154e72..7d532d8a8 100644 --- a/src/pentesting-cloud/azure-security/az-basic-information/README.md +++ b/src/pentesting-cloud/azure-security/az-basic-information/README.md @@ -50,7 +50,7 @@ Para uma máquina virtual chamada myVM em um grupo de recursos `myResourceGroup` ### Azure -Azure é a **plataforma de computação em nuvem abrangente da Microsoft, oferecendo uma ampla gama de serviços**, incluindo máquinas virtuais, bancos de dados, inteligência artificial e armazenamento. Ela atua como a base para hospedar e gerenciar aplicativos, construir infraestruturas escaláveis e executar cargas de trabalho modernas na nuvem. O Azure fornece ferramentas para desenvolvedores e profissionais de TI criarem, implantarem e gerenciarem aplicativos e serviços de forma contínua, atendendo a uma variedade de necessidades, desde startups até grandes empresas. +Azure é a **plataforma de computação em nuvem abrangente da Microsoft, oferecendo uma ampla gama de serviços**, incluindo máquinas virtuais, bancos de dados, inteligência artificial e armazenamento. Atua como a base para hospedar e gerenciar aplicativos, construir infraestruturas escaláveis e executar cargas de trabalho modernas na nuvem. O Azure fornece ferramentas para desenvolvedores e profissionais de TI criarem, implantarem e gerenciarem aplicativos e serviços de forma contínua, atendendo a uma variedade de necessidades, desde startups até grandes empresas. ### Entra ID (anteriormente Azure Active Directory) @@ -58,7 +58,7 @@ Entra ID é um serviço de **gerenciamento de identidade e acesso baseado em nuv ### Serviços de Domínio do Entra (anteriormente Azure AD DS) -Os Serviços de Domínio do Entra estendem as capacidades do Entra ID, oferecendo **serviços de domínio gerenciados compatíveis com ambientes tradicionais do Active Directory do Windows**. Ele suporta protocolos legados como LDAP, Kerberos e NTLM, permitindo que as organizações migrem ou executem aplicativos mais antigos na nuvem sem implantar controladores de domínio locais. Este serviço também suporta Política de Grupo para gerenciamento centralizado, tornando-o adequado para cenários onde cargas de trabalho legadas ou baseadas em AD precisam coexistir com ambientes modernos de nuvem. +Os Serviços de Domínio do Entra estendem as capacidades do Entra ID, oferecendo **serviços de domínio gerenciados compatíveis com ambientes tradicionais do Active Directory do Windows**. Suporta protocolos legados como LDAP, Kerberos e NTLM, permitindo que as organizações migrem ou executem aplicativos mais antigos na nuvem sem implantar controladores de domínio locais. Este serviço também suporta Política de Grupo para gerenciamento centralizado, tornando-o adequado para cenários onde cargas de trabalho legadas ou baseadas em AD precisam coexistir com ambientes modernos de nuvem. ## Principais do Entra ID @@ -99,7 +99,7 @@ Você pode verificá-las em [https://learn.microsoft.com/en-us/entra/fundamental - Restringir acesso ao portal de administração do Microsoft Entra: Padrão **Não** - Isso não restringe o acesso à API do portal (apenas web) - Permitir que os usuários conectem contas de trabalho ou escolares com o LinkedIn: Padrão **Sim** -- Manter o usuário conectado: Padrão **Sim** +- Mostrar manter usuário conectado: Padrão **Sim** - Restringir usuários de recuperar a(s) chave(s) do BitLocker para seus dispositivos de propriedade: Padrão Não (verifique nas Configurações do Dispositivo) - Ler outros usuários: Padrão **Sim** (via Microsoft Graph) - **Convidados** @@ -165,8 +165,8 @@ Um **Registro de Aplicativo** é uma configuração que permite que uma aplicaç - Todos os usuários podem consentir para permissões classificadas como "baixo impacto", para aplicativos de editores verificados ou aplicativos registrados nesta organização. - **Permissões de baixo impacto padrão** (embora você precise aceitar para adicioná-las como baixo): - User.Read - fazer login e ler o perfil do usuário -- offline_access - manter acesso a dados que os usuários deram acesso -- openid - fazer login de usuários +- offline_access - manter acesso aos dados que os usuários deram acesso +- openid - fazer login dos usuários - profile - visualizar o perfil básico do usuário - email - visualizar o endereço de e-mail do usuário - **Permitir consentimento do usuário para aplicativos (Padrão)** @@ -205,7 +205,7 @@ Exemplo: - Implementação: - Criar Unidades Administrativas para cada região (por exemplo, "AU América do Norte", "AU Europa"). - Preencher AUs com usuários de suas respectivas regiões. -- AUs podem **contener usuários, grupos ou dispositivos** +- AUs podem **conter usuários, grupos ou dispositivos** - AUs suportam **associações dinâmicas** - AUs **não podem conter AUs** - Atribuir Funções Administrativas: @@ -231,18 +231,18 @@ Dependendo do escopo ao qual a função foi atribuída, a **função** pode ser | **Proprietário** | | Todos os tipos de recursos | | ------------------------------- | ---------------------------------------------------------------------------------------------------- | -------------------------- | -| **Contribuidor** | | Todos os tipos de recursos | -| **Leitor** | • Visualizar todos os recursos | Todos os tipos de recursos | +| **Contribuidor** | | Todos os tipos de recursos | +| **Leitor** | • Visualizar todos os recursos | Todos os tipos de recursos | | **Administrador de Acesso do Usuário** | | Todos os tipos de recursos | ### Funções Integradas [Dos docs: ](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles)[O controle de acesso baseado em função do Azure (Azure RBAC)](https://learn.microsoft.com/en-us/azure/role-based-access-control/overview) tem várias **funções integradas do Azure** que você pode **atribuir** a **usuários, grupos, principais de serviço e identidades gerenciadas**. As atribuições de função são a maneira de controlar **o acesso aos recursos do Azure**. Se as funções integradas não atenderem às necessidades específicas de sua organização, você pode criar suas próprias [**funções personalizadas do Azure**](https://learn.microsoft.com/en-us/azure/role-based-access-control/custom-roles)**.** -As funções **integradas** se aplicam apenas aos **recursos** para os quais são **destinadas**, por exemplo, verifique estes 2 exemplos de **funções integradas sobre recursos de Computação**: +As funções **Integradas** se aplicam apenas aos **recursos** para os quais são **destinadas**, por exemplo, verifique esses 2 exemplos de **Funções Integradas sobre recursos de Computação**: | [Leitor de Backup de Disco](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles#disk-backup-reader) | Fornece permissão ao cofre de backup para realizar backup de disco. | 3e5e47e6-65f7-47ef-90b5-e5dd4d455f24 | -| ----------------------------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------- | ------------------------------------ | +| ----------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------- | ------------------------------------ | | [Login de Usuário de Máquina Virtual](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles#virtual-machine-user-login) | Visualizar Máquinas Virtuais no portal e fazer login como um usuário regular. | fb879df8-f326-4884-b1cf-06f3ad86be52 | Essas funções também podem **ser atribuídas sobre contêineres lógicos** (como grupos de gerenciamento, assinaturas e grupos de recursos) e os principais afetados as terão **sobre os recursos dentro desses contêineres**. @@ -303,53 +303,46 @@ Exemplo de JSON de permissões para uma função personalizada: ### Administrador Global -Administrador Global é um papel do Entra ID que concede **controle total sobre o locatário do Entra ID**. No entanto, ele não concede nenhuma permissão sobre recursos do Azure por padrão. +O Administrador Global é um papel do Entra ID que concede **controle total sobre o locatário do Entra ID**. No entanto, ele não concede nenhuma permissão sobre recursos do Azure por padrão. -Usuários com o papel de Administrador Global têm a capacidade de '**elevar' para o papel de Administrador de Acesso de Usuário do Azure no Grupo de Gerenciamento Raiz**. Assim, Administradores Globais podem gerenciar o acesso em **todas as assinaturas e grupos de gerenciamento do Azure.**\ +Usuários com o papel de Administrador Global têm a capacidade de '**elevar' para o papel de Administrador de Acesso do Usuário no Grupo de Gerenciamento Raiz**. Assim, Administradores Globais podem gerenciar o acesso em **todas as assinaturas e grupos de gerenciamento do Azure.**\ Essa elevação pode ser feita no final da página: [https://portal.azure.com/#view/Microsoft_AAD_IAM/ActiveDirectoryMenuBlade/\~/Properties](https://portal.azure.com/#view/Microsoft_AAD_IAM/ActiveDirectoryMenuBlade/~/Properties)
### Condições de Atribuições & MFA -É possível **estabelecer algumas condições quando um papel é atribuído** a um principal. Uma condição comum a ser adicionada é exigir MFA para acessar algumas permissões de papel: -```bash -az role assignment create \ ---assignee \ ---role \ ---scope "/subscriptions/9291ff6e-6afb-430e-82a4-6f04b2d05c7f" \ ---condition "PrincipalClaims['amr'] contains 'mfa'" \ ---condition-version 2.0 -``` -### Deny Assignments +De acordo com **[a documentação](https://learn.microsoft.com/en-us/azure/role-based-access-control/conditions-role-assignments-portal)**: Atualmente, condições podem ser adicionadas a atribuições de papéis integrados ou personalizados que tenham **ações de dados de armazenamento de blob ou ações de dados de armazenamento de fila**. -Assim como as atribuições de função, **deny assignments** são usadas para **controlar o acesso aos recursos do Azure**. No entanto, **deny assignments** são usadas para **negar explicitamente o acesso** a um recurso, mesmo que um usuário tenha recebido acesso por meio de uma atribuição de função. **Deny assignments** têm precedência sobre **role assignments**, o que significa que se um usuário receber acesso por meio de uma atribuição de função, mas também for explicitamente negado acesso por meio de uma deny assignment, a deny assignment terá precedência. +### Atribuições de Negação -Assim como as atribuições de função, **deny assignments** são aplicadas sobre algum escopo indicando os principais afetados e as permissões que estão sendo negadas. Além disso, no caso de deny assignments, é possível **impedir que a negação seja herdada** por recursos filhos. +Assim como as atribuições de papéis, **atribuições de negação** são usadas para **controlar o acesso a recursos do Azure**. No entanto, **atribuições de negação** são usadas para **negar explicitamente o acesso** a um recurso, mesmo que um usuário tenha recebido acesso por meio de uma atribuição de papel. **Atribuições de negação** têm precedência sobre **atribuições de papel**, o que significa que se um usuário receber acesso por meio de uma atribuição de papel, mas também for explicitamente negado acesso por meio de uma atribuição de negação, a atribuição de negação terá precedência. -### Azure Policies +Assim como as atribuições de papéis, **atribuições de negação** são aplicadas sobre algum escopo indicando os principais afetados e as permissões que estão sendo negadas. Além disso, no caso de atribuições de negação, é possível **impedir que a negação seja herdada** por recursos filhos. -**Azure Policies** são regras que ajudam as organizações a garantir que seus recursos atendam a padrões específicos e requisitos de conformidade. Elas permitem que você **aplique ou audite configurações em recursos no Azure**. Por exemplo, você pode impedir a criação de máquinas virtuais em uma região não autorizada ou garantir que todos os recursos tenham tags específicas para rastreamento. +### Políticas do Azure -Azure Policies são **proativas**: elas podem impedir que recursos não conformes sejam criados ou alterados. Elas também são **reativas**, permitindo que você encontre e corrija recursos não conformes existentes. +**Políticas do Azure** são regras que ajudam as organizações a garantir que seus recursos atendam a padrões e requisitos de conformidade específicos. Elas permitem que você **aplique ou audite configurações em recursos no Azure**. Por exemplo, você pode impedir a criação de máquinas virtuais em uma região não autorizada ou garantir que todos os recursos tenham tags específicas para rastreamento. -#### **Key Concepts** +As Políticas do Azure são **proativas**: elas podem impedir que recursos não conformes sejam criados ou alterados. Elas também são **reativas**, permitindo que você encontre e corrija recursos não conformes existentes. -1. **Policy Definition**: Uma regra, escrita em JSON, que especifica o que é permitido ou exigido. -2. **Policy Assignment**: A aplicação de uma política a um escopo específico (por exemplo, assinatura, grupo de recursos). -3. **Initiatives**: Uma coleção de políticas agrupadas para uma aplicação mais ampla. -4. **Effect**: Especifica o que acontece quando a política é acionada (por exemplo, "Deny", "Audit" ou "Append"). +#### **Conceitos Chave** + +1. **Definição de Política**: Uma regra, escrita em JSON, que especifica o que é permitido ou exigido. +2. **Atribuição de Política**: A aplicação de uma política a um escopo específico (por exemplo, assinatura, grupo de recursos). +3. **Iniciativas**: Uma coleção de políticas agrupadas para uma aplicação mais ampla. +4. **Efeito**: Especifica o que acontece quando a política é acionada (por exemplo, "Negar", "Auditar" ou "Anexar"). **Alguns exemplos:** 1. **Garantindo Conformidade com Regiões Específicas do Azure**: Esta política garante que todos os recursos sejam implantados em regiões específicas do Azure. Por exemplo, uma empresa pode querer garantir que todos os seus dados sejam armazenados na Europa para conformidade com o GDPR. -2. **Aplicando Padrões de Nomenclatura**: Políticas podem impor convenções de nomenclatura para recursos do Azure. Isso ajuda na organização e identificação fácil de recursos com base em seus nomes, o que é útil em grandes ambientes. -3. **Restringindo Certos Tipos de Recursos**: Esta política pode restringir a criação de certos tipos de recursos. Por exemplo, uma política pode ser configurada para impedir a criação de tipos de recursos caros, como certos tamanhos de VM, para controlar custos. -4. **Aplicando Políticas de Tagging**: Tags são pares chave-valor associados a recursos do Azure usados para gerenciamento de recursos. Políticas podem impor que certas tags devem estar presentes ou ter valores específicos para todos os recursos. Isso é útil para rastreamento de custos, propriedade ou categorização de recursos. +2. **Impondo Padrões de Nomenclatura**: Políticas podem impor convenções de nomenclatura para recursos do Azure. Isso ajuda na organização e identificação fácil de recursos com base em seus nomes, o que é útil em grandes ambientes. +3. **Restringindo Certos Tipos de Recursos**: Esta política pode restringir a criação de certos tipos de recursos. Por exemplo, uma política pode ser definida para impedir a criação de tipos de recursos caros, como certos tamanhos de VM, para controlar custos. +4. **Impondo Políticas de Tagging**: Tags são pares chave-valor associados a recursos do Azure usados para gerenciamento de recursos. Políticas podem impor que certas tags devem estar presentes ou ter valores específicos para todos os recursos. Isso é útil para rastreamento de custos, propriedade ou categorização de recursos. 5. **Limitando o Acesso Público a Recursos**: Políticas podem impor que certos recursos, como contas de armazenamento ou bancos de dados, não tenham endpoints públicos, garantindo que sejam acessíveis apenas dentro da rede da organização. 6. **Aplicando Configurações de Segurança Automaticamente**: Políticas podem ser usadas para aplicar automaticamente configurações de segurança a recursos, como aplicar um grupo de segurança de rede específico a todas as VMs ou garantir que todas as contas de armazenamento usem criptografia. -Observe que as Azure Policies podem ser anexadas a qualquer nível da hierarquia do Azure, mas são **comumente usadas no grupo de gerenciamento raiz** ou em outros grupos de gerenciamento. +Observe que as Políticas do Azure podem ser anexadas a qualquer nível da hierarquia do Azure, mas são **comumente usadas no grupo de gerenciamento raiz** ou em outros grupos de gerenciamento. Exemplo de json de política do Azure: ```json