Implementando Zero Trust para Aplicações SaaS

Quando Usar

• Ao proteger o acesso a aplicações SaaS (Microsoft 365, Google Workspace, Salesforce, Slack)
• Ao implementar políticas de acesso condicional que exigem MFA e conformidade do dispositivo para SaaS
• Ao implantar CASB para descoberta de shadow IT e bloqueio de aplicações não sancionadas
• Ao impor controles em nível de sessão (DLP, restrições de download) para dados sensíveis em SaaS
• Ao governar permissões de aplicações OAuth e detectar concessões de consentimento excessivas

Não use como substituto para controles de segurança nativos do SaaS (configure-os primeiro), para aplicações sem suporte SAML/OIDC, ou quando o fornecedor SaaS não suportar integração de API para CASB/SSPM.

Pré-requisitos

• Provedor de identidade com acesso condicional: Microsoft Entra ID P1/P2, Okta
• Solução CASB: Microsoft Defender for Cloud Apps, Netskope, ou Zscaler CASB
• Aplicações SaaS configuradas com SSO via SAML 2.0 ou OIDC
• Inscrição MDM para sinais de conformidade do dispositivo (Intune, Jamf)
• Políticas DLP definidas para categorias de dados sensíveis

Fluxo de Trabalho

Etapa 1: Federar Autenticação SaaS Através do Provedor de Identidade

Centralize a autenticação para todas as aplicações SaaS através de um único IdP.

# Configure SAML SSO for Salesforce via Entra ID
Connect-MgGraph -Scopes "Application.ReadWrite.All"

# Create enterprise application for Salesforce
$app = New-MgServicePrincipal -AppId "SALESFORCE_APP_ID" -DisplayName "Salesforce"

# Configure SAML SSO settings
$samlSettings = @{
    preferredSingleSignOnMode = "saml"
    samlSingleSignOnSettings = @{
        relayState = ""
    }
}
Update-MgServicePrincipal -ServicePrincipalId $app.Id -BodyParameter $samlSettings

# Assign user groups to the application
New-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $app.Id -BodyParameter @{
    principalId = "SALES_GROUP_ID"
    resourceId = $app.Id
    appRoleId = "DEFAULT_ROLE_ID"
}

Etapa 2: Criar Políticas de Acesso Condicional para Aplicações SaaS

Imponha requisitos de identidade e dispositivo antes de conceder acesso SaaS.

# Block access from non-compliant devices to sensitive SaaS apps
$policy = @{
    displayName = "ZT - Require Compliant Device for SaaS"
    state = "enabled"
    conditions = @{
        applications = @{
            includeApplications = @("SALESFORCE_APP_ID", "M365_APP_ID", "SLACK_APP_ID")
        }
        users = @{
            includeUsers = @("All")
            excludeGroups = @("BREAK_GLASS_GROUP")
        }
        clientAppTypes = @("browser", "mobileAppsAndDesktopClients")
    }
    grantControls = @{
        operator = "AND"
        builtInControls = @("mfa", "compliantDevice")
    }
    sessionControls = @{
        cloudAppSecurity = @{
            isEnabled = $true
            cloudAppSecurityType = "mcasConfigured"
        }
        signInFrequency = @{
            value = 8
            type = "hours"
            isEnabled = $true
        }
    }
}
New-MgIdentityConditionalAccessPolicy -BodyParameter $policy

# Block downloads on unmanaged devices
$downloadPolicy = @{
    displayName = "ZT - Block Downloads on Unmanaged Devices"
    state = "enabled"
    conditions = @{
        applications = @{ includeApplications = @("SHAREPOINT_APP_ID") }
        users = @{ includeUsers = @("All") }
        devices = @{
            deviceFilter = @{
                mode = "include"
                rule = "device.isCompliant -ne True -or device.trustType -ne 'ServerAD'"
            }
        }
    }
    sessionControls = @{
        cloudAppSecurity = @{
            isEnabled = $true
            cloudAppSecurityType = "mcasConfigured"
        }
    }
}
New-MgIdentityConditionalAccessPolicy -BodyParameter $downloadPolicy

Etapa 3: Implantar CASB para Descoberta de Shadow IT e Governança de Aplicações

Configure o Microsoft Defender for Cloud Apps para descobrir e controlar o uso de SaaS.

# Consultar aplicações em nuvem descobertas via API do Defender for Cloud Apps
curl -X GET "https://api.cloudappsecurity.com/api/v1/discovery/" \
  -H "Authorization: Token ${MDCA_API_TOKEN}" \
  -H "Content-Type: application/json"

# Obter lista de aplicações não sancionadas
curl -X GET "https://api.cloudappsecurity.com/api/v1/discovery/discovered_apps/" \
  -H "Authorization: Token ${MDCA_API_TOKEN}" \
  -d '{
    "filters": {
      "appTag": {"eq": "unsanctioned"},
      "traffic": {"gte": 1000}
    },
    "sortField": "traffic",
    "sortDirection": "desc"
  }'

# Criar política de sessão para aplicação de DLP

…