Microsoft MD-102: Segurança de Endpoint e Microsoft Defender — Guia de estudos

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

Faz parte do Microsoft Endpoint Administrator Associate MD-102 — Guia de estudos. Pratique com respostas verificadas no centro de exames da Microsoft, ou faça testes cronometrados no ExamRoll.io.

Visão Geral

A segurança de endpoint no Windows com o Microsoft Intune concentra-se nas tecnologias do Microsoft Defender que trabalham em conjunto: o Microsoft Defender Antivirus para prevenção de malware, o Microsoft Defender Firewall para controle de rede baseado em host, as regras de Redução da Superfície de Ataque (ASR) e o Acesso a Pastas Controladas para impedir técnicas comuns de exploração e ransomware, e o Microsoft Defender for Endpoint (MDE) para detecção e resposta a ameaças corporativas. O Intune fornece criação, atribuição e relatórios de políticas para esses recursos, além de controles nativos para criptografia de disco com BitLocker e Windows Hello for Business (WHfB) para proteger dados e identidades. Esta seção explica como configurar essas camadas de ponta a ponta, com orientação precisa para onboarding, design de políticas e melhores práticas operacionais.

Microsoft Defender Antivirus, Redução da Superfície de Ataque e Acesso a Pastas Controladas

O Defender Antivirus é o mecanismo antimalware de base. No Intune, use Segurança de endpoint > Antivírus (para Windows 10 e posterior) para configurar:

Proteção em tempo real: Mantenha a proteção em tempo real, o monitoramento de comportamento e a proteção fornecida pela nuvem ativados. A proteção na nuvem com envio automático de amostras aumenta a velocidade e a cobertura da detecção. Use a configuração de nível de Proteção na Nuvem/MAPS como “Alto” para as decisões de bloqueio mais rápidas.
Exclusões: Adicione apenas exclusões direcionadas após validar um falso positivo ou um impacto de desempenho demonstrável. Os tipos de exclusão suportados são caminhos de arquivo/pasta, extensões de arquivo e processos. Prefira exclusões no nível do processo para atualizadores confiáveis para evitar que as detecções em cargas maliciosas (payloads) sejam contornadas. Evite extensões amplas (por exemplo, excluir .log recursivamente) e compartilhamentos de rede, a menos que seja absolutamente necessário; audite primeiro e, em seguida, restrinja o escopo.
Agendamentos de verificação: Configure uma verificação rápida diária durante o horário de menor movimento e uma verificação completa semanal. Ative as “Verificações de atualização” (Catch-up scans) para executar verificações perdidas. Limite a carga de CPU da verificação, se necessário, e ative a verificação de arquivos de e-mail e compactados de acordo com a capacidade de desempenho. As verificações rápidas devem complementar, e não substituir, as verificações completas.

As regras de Redução da Superfície de Ataque impedem ações comuns de invasores, mesmo que o malware seja desconhecido:

Modos: Cada regra suporta os modos Bloquear, Auditar ou Não configurado. Comece no modo Auditar para descobrir ocorrências legítimas, revise os eventos no Microsoft Defender XDR (Caça Avançada: DeviceEvents com ActionType “Asr” ou “AsrExecution”) e, em seguida, mova as regras selecionadas para Bloquear. Algumas regras também suportam o modo Avisar; quando disponível, use Avisar temporariamente para reduzir interrupções durante a transição para o modo Bloquear.
Regras principais a serem priorizadas: Bloquear a criação de processos filho pelo Office, bloquear a injeção do Office em outros processos, bloquear conteúdo executável de e-mail/webmail, bloquear o roubo de credenciais do LSASS, bloquear criações de processos originadas de PSExec/WMI e bloquear a persistência por meio de assinatura de evento WMI.
Exclusões: Use exclusões específicas para ASR quando necessário (arquivo, pasta ou processo). Não dependa das exclusões do Defender AV para ASR; configure exclusões específicas para a regra ou para todo o ASR na política de Redução da superfície de ataque do Intune. Mantenha as exclusões restritas e revise-as regularmente.

O Acesso a Pastas Controladas (CFA) mitiga ransomware restringindo a gravação de processos não confiáveis em pastas protegidas:

Estados: Desativado, Auditar ou Bloquear (Ativado). Use o modo Auditar para criar uma linha de base e, em seguida, mude para Bloquear quando o ruído estiver sob controle.
Pastas protegidas: As bibliotecas do sistema (Documentos, Imagens, Área de Trabalho, etc.) são protegidas por padrão; adicione os caminhos de dados de linha de negócio (line-of-business). Evite proteger pastas temporárias ou de cache de alta rotatividade para minimizar falsos positivos.
Aplicativos permitidos: Defina aplicativos permitidos explicitamente pelo caminho completo para atualizadores confiáveis e aplicativos de linha de negócio que gravam legitimamente em pastas protegidas. Mantenha esta lista mínima; prefira a consistência do fornecedor no empacotamento de aplicativos para evitar variações de caminho.
Monitoramento: Revise os bloqueios do CFA no portal do Defender e nos relatórios do Intune para ajustar a lista de permissões.

Microsoft Defender Firewall: Perfis e Regras

O Defender Firewall é um firewall de host stateful com três perfis — Domínio, Privado e Público — selecionados pelo reconhecimento de local de rede:

Perfis: O perfil Domínio se aplica quando o dispositivo se autentica em um controlador de domínio; o Privado é para redes confiáveis designadas pelo usuário; o Público é o padrão para redes não confiáveis. Mantenha todos os três perfis ativados e configurados; os dispositivos se movem entre redes (roam).
Postura de base: Bloqueie o tráfego de entrada por padrão. Permita apenas os serviços de entrada necessários por meio de regras explícitas (por programa, serviço, porta/protocolo e tipo de interface). O tráfego de saída pode ser permitido por padrão com regras de bloqueio direcionadas, ou pode-se migrar para uma lista de permissões de saída (allow-listing) para segmentos de alta segurança.
Política do Intune: Use Segurança de endpoint > Firewall para configurar as definições no nível do perfil (ativado/desativado, padrão de entrada/saída, registro em log, modo furtivo, notificações) e para implantar regras de entrada/saída. Desative a mesclagem de regras locais onde você precisa impor uma política rígida; caso contrário, ative a mesclagem para permitir ferramentas de solução de problemas durante as fases de transição.
Higiene das regras: Ancore as regras pelo caminho do arquivo do programa ou pelo SID do serviço em vez de portas brutas, sempre que possível. Restrinja o escopo das regras a IPs/sub-redes remotas específicas e desative a passagem de borda (edge traversal), a menos que seja necessário. Use regras separadas por perfil para o princípio do menor privilégio. Registre em log os pacotes descartados e as conexões bem-sucedidas para auxiliar na resposta a incidentes e no ajuste fino.

Onboarding do Microsoft Defender for Endpoint e integração de EDR com o Intune

O onboarding de dispositivos Windows 10/11 no MDE é simplificado com o Intune:

Conector: No centro de administração do Intune, habilite o conector do Microsoft Defender for Endpoint. Essa integração permite a conformidade (compliance) com base no risco do dispositivo, expõe tarefas de segurança e habilita o gerenciamento das configurações de segurança.
Política: Crie uma política de Endpoint security > Endpoint detection and response (EDR) para Windows 10 e posterior. Habilite o sensor, defina o envio de telemetria/amostras (telemetry/sample submission) conforme necessário e atribua a grupos de dispositivos do Azure AD. Essa ação de onboarding registra o dispositivo no MDE e inicia o streaming de telemetria para o Defender XDR.
EDR em modo de bloqueio: Habilite o EDR em modo de bloqueio através de Endpoint security > Antivirus para dispositivos que usam um AV principal que não seja da Microsoft (ou mesmo com o Defender ativo para fortalecer a segurança pós-violação). O modo de bloqueio interrompe artefatos maliciosos descobertos pelo EDR mesmo após o comprometimento inicial.
Pontos de integração:
- Compliance e Conditional Access: Crie uma política de conformidade (compliance) de dispositivo que exija um nível de risco de dispositivo MDE como “Clear or Low” (Limpo ou Baixo). Combine com o Conditional Access para bloquear o acesso de dispositivos em risco aos recursos da nuvem.
- Políticas de superfície de ataque: Configure ASR, Network Protection e CFA a partir do Intune em Endpoint security > Attack surface reduction. Se você usa o gerenciamento de configurações de segurança do MDE (MDE Security settings management), garanta a precedência e evite políticas conflitantes.
- Resposta: A partir do Defender XDR, inicie a resposta ao vivo (live response), o isolamento, a investigação e a remediação. O Intune e o MDE compartilham a identidade do dispositivo para ações coordenadas, como a liberação da quarentena e a verificação de políticas.

Para macOS, implante o Microsoft Defender for Endpoint usando perfis de configuração do Intune e implantação de aplicativos (instalação de PKG), em seguida, aplique as configurações do Defender por meio de perfis de preferência ou do catálogo de configurações do MDE. Para Linux e plataformas móveis, siga os scripts de onboarding específicos da plataforma ou o registro baseado em aplicativo (app-based enrollment), gerenciados pelo Intune onde houver suporte.

Proteções de Disco e Identidade: BitLocker e Windows Hello for Business

O BitLocker com o Intune protege dados em repouso sem atrito para o usuário:

Habilitação silenciosa: Use Segurança de endpoint > Criptografia de disco > BitLocker. Exija a criptografia da unidade do SO com inicialização somente com TPM para evitar prompts de pré-inicialização, defina XTS-AES (128 ou 256) conforme seu padrão, oculte avisos de criptografia de terceiros e habilite a criptografia silenciosa para unidades de dados fixas, se necessário. Os dispositivos devem atender aos pré-requisitos de hardware/firmware (TPM, BIOS/UEFI moderno). Atribua a dispositivos ingressados no Azure AD no início do ciclo de vida (por exemplo, via Autopilot) para que a criptografia comece imediatamente.
Depósito de chaves (Key escrow): Configure o backup das chaves de recuperação no Azure AD. Verifique o depósito checando o objeto do dispositivo no Entra ID (Azure AD) ou no portal “Minha Conta” do usuário para recuperação de chave em autoatendimento. Use a ação remota do Intune “Rotacionar chaves do BitLocker” após a divulgação de uma chave ou suspeita de comprometimento. Para unidades removíveis, imponha o BitLocker To Go com políticas de senha de recuperação.
Operações: Monitore a criptografia e a postura de conformidade nos relatórios do Intune. Evite habilitar o PIN de pré-inicialização para cenários silenciosos; se um PIN de inicialização for exigido por política, comunique e planeje a interação do usuário durante o registro.

O Windows Hello for Business substitui senhas por chaves assimétricas ou certificados vinculados ao dispositivo, com suporte de PIN ou biometria:

Controle de implantação: Configure a habilitação em todo o locatário (tenant) em Registro do Windows > Windows Hello for Business e configurações granulares por meio de um perfil de configuração de dispositivo (Proteção de identidade) ou linha de base de segurança. Imponha o uso de biometria onde o hardware for compatível e exija o TPM.
Modelos de confiança:
- Confiança Kerberos na nuvem (Cloud Kerberos trust): Recomendado para cenários híbridos que precisam de SSO Kerberos local (on-premises) sem PKI. Ele usa o Azure AD como âncora de confiança para emitir tíquetes Kerberos para recursos locais. Requer versões do Windows compatíveis e controladores de domínio configurados para o Azure AD Kerberos. Infraestrutura mínima, implementação mais rápida.
- Confiança baseada em certificado (Certificate trust): Usa certificados de autenticação de usuário ou dispositivo de uma CA corporativa (AD CS local ou emitida na nuvem) para habilitar o SSO. Requer PKI e implantação de certificados (geralmente via Intune SCEP/PKCS) e é preferível quando a equivalência de cartão inteligente e os controles de acesso baseados em certificado são obrigatórios.
Complexidade do PIN: Configure comprimento mínimo/máximo, histórico, expiração e complexidade aprimorada (caracteres alfanuméricos e especiais). Diferente das senhas, o PIN do WHfB é local para o dispositivo e protegido pela proteção anti-hammering do TPM, então PINs mais curtos podem permanecer resilientes; ainda assim, atenda aos requisitos regulatórios e de política organizacional.

Cenário de Problema Prático

A Starbucks precisa reforçar a segurança de 15.000 endpoints com Windows 11 em suas lojas e escritórios corporativos contra ransomware, habilitar o login sem senha e obter detecção e resposta de nível empresarial, minimizando a interrupção para o usuário durante a implementação.

Conectar o Intune ao Microsoft Defender for Endpoint

Ação: No Intune, habilite o conector do Microsoft Defender for Endpoint e ative a integração de risco do dispositivo.
Por quê: Estabelece uma identidade de dispositivo unificada, permite a conformidade com base no risco do MDE e habilita o gerenciamento de configurações de segurança, reduzindo a proliferação de configurações.

Integrar (onboard) dispositivos ao MDE com uma política de EDR

Ação: Crie uma política de Segurança de endpoint > Detecção e resposta de endpoint, habilite o sensor, o compartilhamento de amostras e defina uma frequência de telemetria alta para grupos piloto, depois faça a atribuição ampla.
Por quê: Inicia a telemetria e a detecção avançada rapidamente, sem a necessidade de empacotar scripts; alinha-se com a atribuição baseada em função do Intune.

Estabelecer linhas de base de antivírus e EDR em modo de bloqueio

Ação: Crie uma política de Segurança de endpoint > Antivírus com proteção em tempo real, proteção na nuvem em nível Alto, verificações rápidas diárias/completas semanais, exclusões direcionadas e habilite o EDR em modo de bloqueio.
Por quê: O Defender AV e o EDR cooperam para prevenir e conter ameaças; a proteção na nuvem acelera os bloqueios de dia zero; as exclusões devem ser mínimas para evitar lacunas de cobertura.

Implementar a Redução da Superfície de Ataque e o Acesso Controlado a Pastas

Ação: Implante a política de Redução da superfície de ataque em modo de Auditoria por duas semanas (regras ASR chave e Auditoria de CFA), revise os resultados no Defender XDR e, em seguida, mude as regras críticas e o CFA para o modo de Bloqueio, adicionando entradas de permissão precisas para ASR e CFA conforme necessário.
Por quê: Auditar primeiro reduz a interrupção dos negócios; o modo de Bloqueio fecha brechas para ransomware comum e técnicas living-off-the-land que evitam o antivírus tradicional.

Bloquear o firewall do host com regras cientes do perfil

Ação: Use Segurança de endpoint > Firewall para habilitar todos os perfis, bloquear o tráfego de entrada por padrão, implantar regras de entrada baseadas em função (com escopo de programa/serviço), restringir o tráfego de saída para sistemas de pagamento e desabilitar a mesclagem de regras locais para grupos de alto risco.
Por quê: Reduz o movimento lateral e diminui os vetores de ataque em redes Wi-Fi públicas e de lojas; impede sobreposições locais onde o risco é mais alto.

Habilitar o BitLocker silencioso com depósito de chaves no Azure AD

Ação: Implante uma política de Segurança de endpoint > Criptografia de disco com criptografia da unidade do SO somente com TPM, XTS-AES 256, criptografia silenciosa de unidade fixa e backup obrigatório da chave no Azure AD; adicione um runbook de helpdesk para rotacionar as chaves a partir do Intune após a recuperação.
Por quê: Alcança a proteção de dados em repouso sem prompts para o usuário; garante a recuperabilidade e suporta o acesso à chave em autoatendimento para a equipe de campo.

Implementar o Windows Hello for Business (confiança Kerberos na nuvem)

Ação: Habilite o WHfB em todo o locatário (tenant), configure o perfil de Proteção de identidade para complexidade de PIN e biometria e implante a confiança Kerberos na nuvem (Cloud Kerberos trust) para SSO híbrido; reserve a confiança baseada em certificado apenas para equipes que exigem equivalência de cartão inteligente.
Por quê: Elimina senhas em escala, oferece SSO transparente para recursos locais (on-prem) sem a complexidade de uma PKI e atende à conformidade para funções sensíveis quando a confiança baseada em certificado é necessária.

Impor o acesso com o Acesso Condicional com base no risco do dispositivo

Ação: Crie uma política de conformidade exigindo que o risco do dispositivo no MDE seja “Limpo ou Baixo” e uma política de Acesso Condicional que imponha esse requisito para o Microsoft 365 e portais de back-end de pagamento.
Por quê: Contém automaticamente dispositivos comprometidos ou em risco, alinhando a postura de segurança com o acesso a serviços críticos.

Operacionalizar com relatórios e resposta

Ação: Use os relatórios de conformidade de dispositivo e criptografia do Intune, alertas do Defender XDR e a Busca Avançada (Advanced Hunting) para telemetria de ASR/CFA; defina playbooks para isolamento, investigação e remediação.
Por quê: Mantém a visibilidade contínua e a resposta rápida, fechando o ciclo entre prevenção, detecção e governança.

← Gerenciamento de Aplicativos e Implantação · Todos os domínios · Identidade →

Pratique estas questões → · Prática cronometrada no ExamRoll.io →