Risco de entrada vs. risco do usuário no Microsoft Entra ID: qual é a diferença?

By Mirko Peters · 2026-10-26

Saiba as diferenças essenciais entre risco de entrada e risco do usuário no Microsoft Entra ID Protection e como configurar corretamente o acesso condicional.

Automatically translated with AI from the original post. Read the English original

Risco de entrada e risco do usuário no Microsoft Entra ID Protection são métricas de segurança distintas. O risco de entrada avalia se uma única tentativa de autenticação é suspeita, enquanto o risco do usuário determina se as credenciais principais de uma conta foram comprometidas ao longo de múltiplas sessões.

Principais conclusões

• O risco de entrada avalia a probabilidade de uma tentativa específica de autenticação não estar vindo do proprietário legítimo da conta.
• O risco do usuário avalia se as credenciais de uma conta foram comprometidas de forma permanente ou expostas em um vazamento de dados.
• Um único risco de entrada não tratado pode, com o tempo, se acumular gradualmente e resultar em um usuário sinalizado com status de risco alto.
• O risco de entrada normalmente é resolvido imediatamente por meio de um desafio de MFA, enquanto o risco do usuário geralmente exige uma troca segura de senha.
• É necessário o Microsoft Entra ID P2 para aproveitar plenamente as políticas baseadas em risco, o histórico detalhado de relatórios e a remediação automatizada.

Entendendo a distinção central

Quando os administradores implantam pela primeira vez o Microsoft Entra ID Protection, uma das fontes de confusão mais comuns é misturar risco de entrada com risco do usuário. Embora ambas as métricas se apoiem na enorme rede de inteligência de sinais da Microsoft, que analisa trilhões de sinais diários de contas de consumidor, locatários corporativos e até dos serviços do Xbox, elas respondem a perguntas fundamentalmente diferentes.

Um sistema de segurança não pode tratar um login incomum da mesma forma que trata uma conta que foi de fato roubada. Se um administrador aplicar um bloqueio geral da conta toda vez que alguém entrar de um local desconhecido ou de uma rede inesperada, a produtividade para por completo. Por outro lado, tratar uma conta realmente comprometida com um simples desafio temporário de MFA deixa o invasor persistente livre para entrar novamente assim que o desafio expirar. Entender como essas duas métricas funcionam de forma independente e como interagem é essencial para desenhar uma postura de segurança em nuvem equilibrada.

O que é risco de entrada?

O risco de entrada se concentra exclusivamente em um único momento: o instante exato em que um usuário tenta acessar um recurso como o Microsoft Teams, o SharePoint ou o Outlook. Trata-se totalmente do contexto específico daquela tentativa de login e de nada além disso. O sistema pergunta se as propriedades dessa solicitação específica correspondem aos padrões de comportamento normais do usuário.

O Microsoft Entra ID Protection avalia várias variáveis durante as verificações de entrada em tempo real. Entre elas estão conexões originadas de endereços IP anônimos, frequentemente usados para ocultar localizações geográficas; cenários de viagem impossível, em que entradas ocorrem a partir de regiões geograficamente distantes em um intervalo de tempo irreal; ou sinais de um ataque de password spray, em que um invasor testa uma única senha comum em milhares de contas corporativas simultaneamente. Propriedades de entrada incomuns também são pontuadas de forma dinâmica: quanto mais atípica a solicitação parecer em comparação com as linhas de base históricas, mais a pontuação de risco aumenta.

Em particular, a pontuação de risco de entrada pertence estritamente àquela tentativa específica. Se um usuário concluir com sucesso uma solicitação de autenticação multifator de reforço durante aquele login específico, o risco associado àquela entrada é imediatamente neutralizado, e o usuário segue com o seu dia sem qualquer penalidade contínua no status da conta.

O que é o risco do usuário?

O risco do usuário, por outro lado, não diz respeito a um único login. Ele trata da saúde e da integridade da própria conta. O risco do usuário pergunta se as credenciais da conta caíram em mãos não autorizadas, ou seja, se um invasor possui as chaves permanentes do reino e pode voltar a comprometer os dados sempre que quiser.

O principal fator que determina o risco do usuário é o aparecimento de credenciais em vazamentos de dados conhecidos. Quando nomes de usuário e senhas são expostos na dark web ou coletados por malware de roubo de informações, a inteligência de ameaças da Microsoft sinaliza essas credenciais imediatamente. Outros indicadores incluem infraestrutura de agentes de ameaça comprovada que interage diretamente com o perfil do usuário, ou padrões de atividade anômalos que sugerem acesso não autorizado persistente.

Quando uma conta é sinalizada por risco do usuário, a ameaça permanece mesmo depois que o usuário encerra a sessão. Como um invasor pode ter obtido a senha fora dos limites normais de uma sessão, simplesmente desafiar o usuário com MFA raramente basta para resolver por completo uma pontuação alta de risco do usuário. A vulnerabilidade subjacente precisa ser tratada.

Como os níveis de risco são calculados

Tanto o risco de entrada quanto o risco do usuário se resumem a três níveis claros de confiança: baixo, médio e alto. Esses níveis representam estimativas de probabilidade de ameaça feitas por aprendizado de máquina, e não verdades binárias absolutas.

O risco alto indica que os sistemas automatizados da Microsoft têm provas fortes e verificadas de comprometimento, como credenciais vazadas que correspondem a bases de dados da dark web ou assinaturas de IPs maliciosos verificados. O risco médio reflete sinais moderados de atividade suspeita, com menor grau de confiança absoluta. O risco baixo aponta para um comportamento anômalo que se desvia dos padrões habituais, mas não tem indicadores maliciosos definitivos.

Um detalhe administrativo importante é a forma como esses registros envelhecem ao longo do tempo. Itens de risco baixo expiram automaticamente após cerca de seis meses, para manter os painéis limpos e gerenciáveis. Já os itens de risco médio e alto não expiram por conta própria. Eles permanecem no centro de administração até que uma política automatizada ou um administrador humano os investigue, remedie ou descarte explicitamente.

O efeito de acúmulo: como eles se interligam

Embora o risco de entrada e o risco do usuário avaliem coisas diferentes, eles estão fortemente acoplados nos relatórios e na aplicação de políticas. Um risco de entrada que fique totalmente sem tratamento ou sem verificação pode se acumular ao longo do tempo e, por fim, somar-se à pontuação geral de risco do usuário.

Isso significa que um indivíduo pode aparecer como usuário de risco no painel do Entra ID mesmo que as tentativas de login mais recentes tenham parecido totalmente normais. O sistema reconhece um histórico cumulativo de comportamento suspeito que eleva a probabilidade de comprometimento de longo prazo. Administradores de TI devem examinar os dois relatórios simultaneamente, em vez de tratá-los como silos isolados.

Automatizando a remediação com o Acesso Condicional

Para evitar que as equipes de segurança se afoguem em alertas manuais, o Acesso Condicional do Microsoft Entra faz a ponte entre as pontuações de risco e a aplicação automatizada de políticas. As organizações podem configurar políticas específicas que são acionadas quando os limites de risco baixo, médio ou alto são atingidos.

Para o risco de entrada, as políticas podem impor ações como exigir MFA, forçar uma nova sessão de entrada ou bloquear o acesso por completo. Quando um usuário satisfaz com sucesso um desafio de MFA, o risco é remediado na hora.

Para o risco do usuário, as políticas normalmente exigem uma troca segura de senha ou a remediação automatizada de risco. A parte inteligente da remediação de risco é a sua adaptabilidade: se o usuário entrar com uma senha tradicional, o sistema exige uma troca segura de senha e invalida imediatamente todas as sessões existentes. Se o usuário entrar por métodos sem senha, o sistema encerra as sessões ativas e solicita um novo fluxo de autenticação. Essa resposta automatizada reduz drasticamente o volume de chamados para a central de suporte e ainda interrompe os invasores logo no início.

Conclusão

Dominar a distinção entre risco de entrada e risco do usuário permite que arquitetos de nuvem criem políticas de segurança precisas e bem calibradas, que protegem os dados corporativos sem causar atrito excessivo para os usuários no dia a dia. Ao deixar a automação cuidar das tarefas comuns de remediação, as equipes de TI podem concentrar sua energia na investigação de ameaças reais. Para entender em mais detalhes como essas camadas de proteção funcionam em ambientes de nuvem modernos, ouça o episódio completo do podcast e veja uma análise detalhada das melhores práticas de configuração, dos requisitos de licenciamento e das estratégias de administração em cenários reais.

Perguntas frequentes

O que acontece quando um risco de entrada é detectado?

Quando um risco de entrada é detectado, o Acesso Condicional do Microsoft Entra pode bloquear automaticamente a tentativa, permitir o acesso ou exigir que o usuário comprove sua identidade com autenticação multifator (MFA).

Por quanto tempo os eventos de baixo risco permanecem nos relatórios do Entra ID Protection?

As detecções de baixo risco expiram automaticamente e saem dos relatórios após aproximadamente seis meses, enquanto os registros de risco médio e alto permanecem até que um administrador ou a própria remediação os resolva.

Contas de convidado podem usar a remediação automatizada de risco do usuário?

Não. O fluxo completo de remediação automatizada de risco não funciona para usuários convidados e externos, porque o Microsoft Entra ID não revoga sessões dessas contas externas da mesma forma que faz com contas de membros internos.

Qual é a diferença entre 'Confirmar como seguro' e 'Descartar' nos relatórios de administração?

Confirmar como seguro indica ao sistema que o alerta foi um falso positivo causado por um comportamento normal. Descartar indica que o alerta era tecnicamente um verdadeiro positivo, mas se mostrou inofensivo neste contexto específico, como um teste de segurança planejado.