Introdução à Avaliação de Confiança Zero

A Avaliação de Confiança Zero verifica a configuração do locatário e recomenda maneiras de melhorar a segurança, conforme descrito em nossa visão geral.

Pré-requisitos

• PowerShell 7. Para instalá-lo, consulte Instalar o PowerShell no Windows, Linux e macOS.
• Para se conectar e consentir com as permissões necessárias na primeira vez, você precisa ser um Administrador Global.
  • As execuções subsequentes podem usar a função Leitor Global .
• Se você instalou uma versão anterior da Avaliação de Confiança Zero, desinstale-a antes de continuar.

Instalar os módulos do PowerShell

Siga estas etapas para instalar ou atualizar a avaliação e conectar-se ao Microsoft Graph e ao seu locatário.

1. Abra uma nova janela do PowerShell 7.

2. Execute o seguinte comando para instalar o módulo ZeroTrustAssessment:

   Install-Module ZeroTrustAssessment -Scope CurrentUser
   

Conectar-se ao Microsoft Graph e ao Microsoft Azure

Para executar o módulo Avaliação de Confiança Zero, conecte-se ao Microsoft Graph e ao Microsoft Azure. O módulo Avaliação de Confiança Zero se conecta primeiro ao Microsoft Graph e depois ao Microsoft Azure.

Execute este comando para se conectar ao Microsoft Graph:

Connect-ZtAssessment

Quando você se conecta usando o Microsoft Graph PowerShell, ele solicita estas permissões:

• AuditLog.Read.All
• CrossTenantInformation.ReadBasic.All
• DeviceManagementApps.Read.All
• DeviceManagementConfiguration.Read.All
• DeviceManagementManagedDevices.Read.All
• DeviceManagementRBAC.Read.All
• DeviceManagementServiceConfig.Read.All
• Directory.Read.All
• DirectoryRecommendations.Read.All
• EntitlementManagement.Read.All
• IdentityRiskEvent.Read.All
• IdentityRiskyUser.Read.All
• Policy. Read. All
• Policy.Read.ConditionalAccess
• Policy.Read.PermissionGrant
• PrivilegedAccess.Read.AzureAD
• Reports.Read.All
• RoleManagement.Read.All
• UserAuthenticationMethod.Read.All

Fazer login no Microsoft Graph

1. Entre no Microsoft Graph como administrador global.
2. Selecione Aceitar.

Entrar no Microsoft Azure

Uma segunda janela é aberta para a entrada do Microsoft Azure. Quando for solicitado, entre no portal do Microsoft Azure como Administrador Global.

O login do Microsoft Azure é necessário para verificar a exportação dos logs de auditoria e de login. Se você não tiver o Microsoft Azure, feche a janela sem entrar e ignore o aviso. A avaliação ignora o teste que depende do Microsoft Azure.

Se você tiver várias assinaturas, selecione um locatário e uma assinatura quando solicitado.

Executar a avaliação

A Avaliação de Confiança Zero é somente leitura. Ele executa e armazena todos os dados localmente na área de trabalho. É uma boa prática armazenar o relatório de avaliação com segurança e excluir a pasta gerada e seu conteúdo da unidade local após a conclusão da avaliação.

Depois de fornecer consentimento do Administrador Global para as permissões na primeira execução, as execuções subsequentes poderão ser executadas como um Leitor Global.

Para executar a avaliação, use este comando:

Invoke-ZtAssessment

A avaliação salva os resultados na pasta .\ZeroTrustReport\ZeroTrustAssessmentReport.htmlde trabalho atual. Após a conclusão da avaliação, o relatório será aberto automaticamente no navegador padrão.

Use o -Path parâmetro para fornecer um local personalizado para armazenar o relatório de avaliação. Por exemplo, o comando a seguir salva o relatório na pasta C:/MyAssessment01/ZeroTrustAssessmentReport.html:

Invoke-ZtAssessment -Path C:\MyAssessment01

Examinar os resultados da avaliação

Depois que a avaliação for executada, o relatório abrirá a guia Visão Geral no navegador padrão. A guia Visão Geral mostra as principais informações de Zero Trust sobre o inquilino.

As guias Identidade e Dispositivos mostram uma lista de resultados dos testes executados no locatário. Os resultados mostram o Risco e o Status de resultado de cada teste.

Para ver mais detalhes sobre um teste, selecione um resultado. Os detalhes descrevem o que foi testado e listam as ações de correção recomendadas para resolver a configuração do locatário. Para obter mais detalhes sobre alguns dos termos usados em cada verificação, consulte nosso glossário.

Remover o módulo Avaliação de Confiança Zero

Para remover o módulo Avaliação de Confiança Zero:

1. Remova o módulo do PowerShell.
2. Remova o registro e o consentimento do aplicativo.
3. Exclua a pasta que o módulo Avaliação de Confiança Zero criou.

FAQs

Desinstalar versões anteriores

Execute os comandos a seguir para garantir que todas as versões dos módulos anteriores sejam desinstaladas

Uninstall-Module ZeroTrustAssessment -Force -AllVersions

Reinicie o PowerShell e instale a versão mais recente.

Não foi possível carregar arquivo ou assembly Microsoft.Graph.Authentication

Esse erro ocorre quando você tem versões conflitantes do Microsoft Graph PowerShell instaladas.

Para corrigir esse erro, recomendamos desinstalar todos os módulos do Microsoft Graph PowerShell instalados em seu sistema. Você pode usar um módulo auxiliar como uninstall-graph.merill.net para executar a limpeza.

Ao desinstalar o Microsoft Graph, você também deve desinstalar todas as versões da Avaliação de Confiança Zero, reiniciar o PowerShell e instalar a versão mais recente.

Install-Module Uninstall-Graph
Uninstall-Module ZeroTrustAssessment -Force -AllVersions
Uninstall-Graph

Como posso saber o que o script faz?

O código dessa avaliação é de software livre. Revise-o em https://github.com/microsoft/zerotrustassessment/tree/psnext/src/powershell.

Por que recebi o erro de exceção: "O inicializador de tipo para 'DuckDB.NET.Data.DuckDBConnectionStringBuilder' lançou uma exceção."?

Em uma nova instalação do Windows, você poderá ver o seguinte erro:

O inicializador de tipo para 'DuckDB.NET.Data.DuckDBConnectionStringBuilder' lançou uma exceção. Exceção interna: não foi possível carregar a DLL 'duckdb' ou uma de suas dependências: o módulo especificado não pôde ser encontrado. (0x8007007E) Tipo de exceção interna: DllNotFoundException

Esse erro ocorre porque você está em execução em um sistema que não inclui Microsoft Visual C++ 2015-2022 Redistributable (x64) - Microsoft.VCRedist.2015+.x64. O VCRedist geralmente é instalado quando você instala produtos da Microsoft, como o Microsoft Office ou o Microsoft Entra Connect Sync. Se você estiver usando um novo dispositivo, talvez seja necessário instalar esse componente manualmente. Consulte a versão mais recente do Microsoft Visual C++ Redistribuível.

O suporte para windows em dispositivos ARM64 não está disponível no momento.

Como posso obter suporte?

Crie questões de suporte no repositório GitHub de Avaliação de Zero Trust.

Conteúdo relacionado

• Terminologia de avaliação de Confiança Zero
• Configurar o Microsoft Entra para aumentar a segurança
• Configurar o Microsoft Intune para aumentar a segurança