Escrito por Darlin Fernandes
Como coração da infraestrutura de TI de muitas organizações, o Active Directory (AD) funciona como principal serviço de identificação e autenticação de usuários, computadores e aplicações.
Essa centralidade é, ao mesmo tempo, excelente para o gerenciamento da rotina de trabalho e uma oportunidade de ataque para cibercriminosos. Proteger o Active Directory não é somente uma boa prática de segurança, é também uma necessidade crítica para a continuidade dos negócios e a integridade de dados.
Como fazer isso de forma eficiente e efetiva? Descubra a seguir.
O que é o Active Directory e por que ele é tão visado?
O Active Directory é um serviço central desenvolvido pela Microsoft que tem por objetivo gerenciar usuários, computadores e aplicações em uma rede corporativa. Por ser responsável pela identificação e autorização, é extremamente visado por cibercriminosos, visto que pode ser uma porta de entrada importante em um ataque.
Ao comprometer o Active Directory, os criminosos podem tomar controle total da infraestrutura de TI, permitindo movimentação lateral, exfiltração de dados, acesso a confidencialidades e elevação de privilégios, podendo resultar na paralisação total de uma organização.
Quais são os principais tipos de ataques ao Active Directory?
Pass-the-Hash e Pass-the-Ticket
Essas técnicas permitem a autenticação sem senha em texto claro:
Pass-the-Hash (PtH): O atacante rouba o hash NTLM da senha de um usuário privilegiado e utiliza para se autenticar em outros sistemas.
Pass-the-Ticket (PtT): Focado no Kerberos, o atacante rouba um ticket Kerberos (TGT) de um usuário autenticado para acessar outros serviços sem a senha.
Kerberoasting
Esse tipo de ataque explora o protocolo Kerberos para obter hashes de senhas de contas de serviço (SPNs). Atacantes capturam tickets de serviço criptografados com o hash da conta e tentam quebrar a senha offline. Contas de serviço que mantêm senhas fracas facilitam a exploração.
Golden Ticket e Silver Ticket
São ataques de falsificação de tickets Kerberos que dão acesso ilimitado:
Golden Ticket: O atacante obtém o hash NTLM da conta KRBTGT (usada pelo Kerberos) para criar um Ticket Granting Ticket (TGT) falsificado para qualquer usuário, com acesso irrestrito e persistente ao domínio.
Silver Ticket: Cria um Ticket Granting Service (TGS) falsificado para um serviço específico em um servidor, exigindo o hash da conta de serviço desse servidor. Concede controle total sobre esse serviço, mas não sobre o domínio inteiro.
Shadow Admins e ataques invisíveis
Shadow Admins: Contas que não são diretamente de administradores, mas que possuem permissões elevadas devido a configurações sutis e negligenciadas no AD, permitindo que atacantes as descubram e usem para obter acesso administrativo.
Ataques invisíveis (Living Off The Land – LotL): Criminosos usam ferramentas e funcionalidades legítimas do sistema operacional e do Active Directory para suas ações, misturando-se com o tráfego normal da rede e dificultando a detecção.
Quais são as boas práticas para proteger o Active Directory?
Segmentação e controle de acesso
Ao utilizar redes segmentadas com controladores de domínio (DCs) em segmentos de rede dedicados e protegidos, é possível restringir o tráfego de firewalls. Para facilitar a aplicação granular de GPOs e permissões, manter o AD logisticamente organizado é essencial.
O uso do princípio de confiança zero (Zero Trust) e o limite por menor privilégio de acesso físico e lógico aos DCs também são medidas de segurança inteligentes.
Aplicação do princípio de menor privilégio
Com uma auditoria, pode-se remover privilégios administrativos de usuários e contas de serviço, restringindo acesso apenas ao pessoal necessário. Administradores podem usar contas separadas com privilégios elevados quando necessário, utilizando contas padrão no dia-a-dia.
De acordo com um estudo de segurança sobre gerenciamento de Active Directory, 79% das organizações têm usuários com privilégios excessivos, o que amplia a superfície de ataque e facilita escalonamentos de privilégio quando os invasores conseguem uma conta válida.
A utilização de grupos de segurança granulares e contas de serviço gerenciadas (gMSAs) também fazem parte das boas práticas de segurança para proteger o Active Directory.
Auditoria contínua e logs
É muito importante habilitar e configurar auditoria detalhada, registrando eventos críticos, alterações em grupos com privilégios e acessos a arquivos sensíveis, além de utilizar um sistema SIEM (Security Information and Event Management) para coletar, armazenar e analisar logs de forma frequente e contínua.
Atualizações e gerenciamento de patches
Aplicar patches de segurança e atualizações automáticas do sistema operacional para corrigir vulnerabilidades e utilizar ferramentas como SCCM ou WSUS para garantir a distribuição das atualizações faz também parte de boas práticas de segurança para o AD.
Monitoramento e resposta a incidentes
Monitoramento de atividades contínuas é princípio básico de segurança, usando ferramentas que possam detectar padrões de ataque a AD (como logins em horário incomum ou elevação de privilégios), assim como um bom plano de resposta a incidentes (IRP), cobrindo detecção, contenção, erradicação, recuperação e lições aprendidas.
Importante também simular incidentes para testar a eficácia dos planos instaurados.
Como treinar sua equipe para evitar erros humanos?
Cultura de segurança
Promovendo uma cultura de segurança onde todos compreendam seu papel na proteção de dados e incentivando a comunicação sobre segurança minimizam-se os erros humanos e reforça-se o comprometimento da empresa com as boas práticas de segurança.
Simulações de phishing e ataques direcionados
Simulações de phishing e engenharia social devem ser utilizadas com fins educacionais e testar na prática a compreensão das diretrizes aprendidas em treinamento, reforçando a conscientização e a importância no cuidado com dados.
Capacitações periódicas e reciclagem
Oferecer treinamentos de segurança em ambiente digital de forma contínua e atualizada garante que nenhum tópico fique de fora, aumentando a superfície de proteção. Para equipes de TI, incluir as últimas táticas de ataque ao AD e defesas pode ser um grande diferencial.
Estratégias avançadas de proteção do Active Directory
Hardening de controladores de domínio
Hardening é o fortalecimento da segurança de um sistema. Para DCs, isso inclui remoção de software desnecessário, desativação de portas e protocolos não utilizados, configurações de segurança do sistema operacional e restrições de acesso à internet.
Para orientar e padronizar o hardening de controladores de domínio, é altamente recomendado o uso de frameworks reconhecidos, como o CIS Benchmarks for Active Directory. O CIS (Center for Internet Security) fornece um conjunto de boas práticas específicas para AD, cobrindo desde configurações seguras do sistema operacional e políticas de conta até controles de autenticação, auditoria e comunicação entre controladores.
Utilizar o CIS como referência ajuda a reduzir superfícies de ataque conhecidas, aumentar a maturidade de segurança do ambiente e garantir alinhamento com padrões amplamente adotados pelo mercado.
Isolamento da camada Tier 0
A arquitetura de Camadas Administrativas (Tiering) segrega os ativos mais críticos (Camada 0), que controlam os recursos mais sensíveis da empresa, como DCs e contas de administrador de domínio. O isolamento da camada Tier 0 significa que esses ativos são acessados apenas por contas e sistemas igualmente seguros, com controles rigorosos, impedindo o movimento lateral de criminosos.
Red Forest (bastion forest)
Uma Red Forest (ou Bastion Forest) é um domínio Active Directory completamente separado e isolado, com o único propósito de gerenciar e proteger o domínio de produção. É um ambiente altamente seguro, que hospeda contas de administração privilegiadas, fornece acesso just-in-time (JIT) e just-enough-administration (JEA) e separa responsabilidades.
Essa arquitetura cria uma barreira impenetrável entre atacantes que comprometem o domínio de produção e as credenciais administrativas, dificultando a persistência e a elevação de privilégios. É uma solução complexa, mas eficaz para ambientes de alto risco.
Proteger o Active Directory é um desafio contínuo que exige vigilância e adaptação. Ao implementar essas práticas, sua organização estará mais segura contra as ameaças cibernéticas.
A Clavis é referência em Segurança da Informação, oferecendo soluções como hardening, auditoria e resposta a incidentes voltadas à proteção de ambientes baseados em Active Directory. Entre em contato e descubra as melhores soluções digitais para o seu negócio.
