A Microsoft publicou o pacote de outubro do Microsoft Entra com uma mudança que ataca o elo mais rentável das invasões corporativas: a sessão já autenticada. O Universal Continuous Access Evaluation (Universal CAE), recurso do Global Secure Access, passou a aceitar sinais de revogação de dispositivo e de risco de usuário para interromper acessos em tempo quase real, sem esperar a expiração natural do token. Equipes que administram Entra ID junto com o Global Secure Access têm três tarefas imediatas: criar a política de acesso condicional correspondente, limpar o inventário de dispositivos desativados e medir quanto tempo uma sessão comprometida continua viva no ambiente delas.
O que mudou no Entra
O anúncio oficial, assinado por Yina Arenas, vice-presidente corporativa de identidade e acesso à rede da Microsoft, reorganiza a série de novidades em torno de resultados operacionais. O item central para defesa é a expansão do Universal CAE: além dos sinais clássicos de usuário, a avaliação contínua passa a reagir quando um dispositivo é excluído, desabilitado ou marcado como fora de conformidade. O recurso está em visualização pública e pressupõe o Global Secure Access em produção.
Outras peças do pacote completam o ciclo de vida do acesso. O registro de dispositivo no Windows passou a ocorrer durante o próprio login, dentro de aplicações nativas protegidas por políticas que exigem token protection — o usuário não precisa mais navegar por um portal separado, o que reduz o atrito e a chance de o fluxo ser abandonado no meio. A migração assistida do Entra Connect Sync para o Cloud Sync chegou à disponibilidade geral, reunindo avaliação de prontidão, transição controlada e validação pós-ativação em um único fluxo de trabalho.
Quem provisiona usuários a partir do SAP SuccessFactors tem prazo curto: a Microsoft liberou a autenticação baseada em workload identity para substituir usuário e senha de longa duração, e a própria SAP planeja desativar a autenticação básica das APIs em novembro de 2026. Há ainda certificados de inspeção TLS gerenciados pela Microsoft no Global Secure Access, em visualização, descoberta de grupos órfãos em aplicações conectadas para reconciliar acessos sem governança, e um capítulo dedicado a agentes de IA que será detalhado no Ignite, de 17 a 20 de novembro.
Um detalhe de operação pesa na decisão de adoção: o Universal CAE é oportunista por padrão. Os clientes tentam obter um token com avaliação contínua e, quando não conseguem, recebem um token comum — quem quiser garantia de execução precisa avaliar o modo Strict Enforcement no acesso condicional, que bloqueia o uso do token a partir de um endereço IP diferente do usado na autenticação original.
Como a revogação por dispositivo funciona
A documentação técnica explica a mecânica que interessa ao time de defesa. Os túneis do Global Secure Access — tráfego Microsoft, acesso à internet e acesso privado — são autenticados com tokens de acesso do Entra ID. Esses tokens são válidos entre 60 e 90 minutos e, pela especificação OAuth2, valem até expirar. Quando uma conta é desabilitada, o Entra ID invalida os refresh tokens de imediato, mas o token de acesso já emitido continua aceito até o fim da validade.
A consequência prática aparece nos cenários de saída de empregado e de máquina comprometida: sessões de área de trabalho remota, acesso a servidores de arquivos e demais recursos privados protegidos pelo Private Access são interrompidos quando o estado da identidade muda, reduzindo a janela de exfiltração por alguém que já perdeu direito de acesso.
É essa lacuna que a avaliação contínua fecha. O Universal CAE já reagia a sinais de usuário: conta excluída ou desabilitada, senha alterada ou redefinida, habilitação de MFA, revogação explícita de refresh tokens e risco alto detectado pelo Entra ID Protection. A novidade de outubro estende o gatilho ao equipamento: quando o dispositivo de onde parte o acesso é excluído, desabilitado ou detectado como fora de conformidade, o Entra ID comunica o evento à borda do Global Secure Access em tempo quase real.
O cliente recebe um desafio de reautenticação por notificação. Se o usuário não reautenticar no prazo, todos os túneis do Global Secure Access são desconectados e a conectividade com as aplicações cai; o acesso só volta após uma autenticação bem-sucedida. O aviso da própria documentação importa para operação: os sinais de conformidade de dispositivo e de risco de usuário precisam vir acompanhados da política de acesso condicional correspondente — sem ela, a reautenticação acontece de forma silenciosa e nenhum controle age sobre o evento.
Sessão roubada sobrevive ao MFA
O motivo de a mudança ser relevante fica claro no roteiro dos kits modernos de fraude. Ferramentas de adversário-no-meio posicionam um proxy reverso entre a vítima e o provedor de autenticação, deixam o usuário concluir o segundo fator e capturam o cookie ou token resultante — o kit que sequestra sessões Google em tempo real segue exatamente esse fluxo. Infostealers dedicados a credenciais, como o herdeiro do trono do Lumma, colhem os mesmos artefatos em escala.
Com um token portador válido em mãos, o invasor não repete nenhuma etapa de autenticação: o MFA já foi satisfeito no momento da emissão. Resetar a senha da vítima não encerra a invasão, porque o token continua aceito até expirar. A resposta arquitetural é encurtar essa janela e amarrar a validade da sessão ao estado do dispositivo — caminho que o Universal CAE agora percorre com sinais de máquina, e não apenas de conta.
Para equipes com roteamento de rede bem mapeado, o modo Strict Enforcement é a proteção mais direta contra reuso de token: a sessão só funciona a partir das faixas de IP autorizadas. Para quem depende de VPNs e saídas variadas, o mesmo modo exige planejamento cuidadoso, sob risco de bloqueios legítimos durante viagens e home office.
Sinais que o time defensivo acompanha
Antes de ligar os novos gatilhos, vale preparar a telemetria. Itens mínimos de verificação:
- Eventos de exclusão e desabilitação de dispositivo no Entra ID chegam ao SIEM com atraso aceitável?
- Existe política de acesso condicional exigindo dispositivo conforme aplicada ao tráfego do Global Secure Access?
- Os alertas de risco alto do Entra ID Protection têm dono definido no plantão?
- Dispositivos inativos acumulados no diretório foram limpos, para não poluir os gatilhos de revogação?
- O inventário de sessões ativas por usuário privilegiado permite revogação seletiva durante um incidente?
Essas perguntas transformam o anúncio em controle operacional: sem visibilidade dos sinais, a revogação rápida existe no papel, mas não é exercitável.
Plano de ação P1 e P2
| Prioridade | Ação | Resultado esperado |
|---|---|---|
| P1 | Habilitar os sinais de dispositivo no Universal CAE e criar a política de acesso condicional correspondente | Revogação efetiva, e não silenciosa, quando a máquina for excluída, desabilitada ou sair da conformidade |
| P1 | Medir em teste controlado o intervalo entre a mudança de estado e a queda da sessão | Evidência de que o acesso cai sem esperar a expiração do token |
| P2 | Avaliar o Strict Enforcement com base no mapa de endereços de saída da organização | Bloqueio do reuso de token a partir de IP estranho |
| P2 | Migrar o provisioning do SAP SuccessFactors para workload identity antes de novembro de 2026 | Fim da credencial fixa e sincronização sem interrupção |
| P2 | Pilotar a migração assistida do Connect Sync para o Cloud Sync em escopo reduzido | Saída planejada do servidor de sincronização local |
A ordem importa: os itens P1 garantem que o recurso novo realmente interrompa acesso; os P2 reduzem superfície de ataque e risco operacional acumulado.