Serviços de diretório: LDAP e Active Directory

Um serviço de diretório é um repositório centralizado que armazena e organiza informações sobre recursos de rede — usuários, grupos, computadores, impressoras e políticas. Em vez de manter bancos de dados de usuários separados em cada sistema, as organizações usam um serviço de diretório como fonte única e confiável das informações de identidade. Todas as solicitações de autenticação são validadas no diretório, e as políticas de acesso são aplicadas de forma consistente em toda a empresa.

LDAP (Lightweight Directory Access Protocol) é o protocolo padrão do setor para consultar e modificar serviços de diretório. O LDAP organiza as entradas em uma estrutura hierárquica chamada Directory Information Tree (DIT), com entradas identificadas por um Distinguished Name (DN). O LDAP usa a porta 389 (texto simples) e a porta 636 (LDAPS — LDAP sobre TLS). LDAP é o protocolo; o diretório em si é um produto separado.

Active Directory (AD) é o serviço de diretório corporativo da Microsoft, baseado em LDAP e Kerberos. Ele organiza os recursos em Domains, que se agrupam em Trees, que se agrupam em Forests. Um controlador de domínio (DC) hospeda o banco de dados do AD (NTDS.dit) e gerencia a autenticação. O AD é a base do gerenciamento de identidades na maioria dos ambientes corporativos Windows.

O Active Directory usa Kerberos como protocolo de autenticação padrão. O processo funciona por meio da concessão de tíquetes: o cliente se autentica no Key Distribution Center (KDC) e recebe um Ticket-Granting Ticket (TGT). Quando o usuário precisa acessar um recurso, apresenta o TGT para obter um Service Ticket específico para esse recurso. As senhas nunca são enviadas pela rede — apenas tíquetes criptografados. Esse design é fundamental para entender ataques como o Kerberoasting.

Group Policy Objects (GPOs) são o mecanismo do AD para aplicar configurações de segurança simultaneamente em milhares de máquinas. Os GPOs podem configurar requisitos de complexidade de senha, tempos limite de bloqueio de tela, instalação de software, regras de firewall e configurações do registro. Os GPOs são vinculados a contêineres do AD (sites, domínios, OUs) e aplicam-se a todos os usuários e computadores dentro desse contêiner. Por padrão, as configurações dos GPOs são atualizadas a cada 90 minutos, garantindo que a conformidade seja mantida mesmo em máquinas que se afastem da política.

O Active Directory usa Security Groups para gerenciar permissões de acesso coletivamente. Em vez de atribuir permissões a usuários individuais, os administradores concedem permissões a grupos e adicionam os usuários aos grupos apropriados. Grupos internos importantes para entender no Security+: Domain Admins (controle total do domínio), Enterprise Admins (controle de toda a floresta), Schema Admins (modificação do esquema do AD) e Administrators (administrador da máquina local). A associação a esses grupos com altos privilégios deve ser rigorosamente controlada.

Injeção LDAP é o equivalente, nos serviços de diretório, à injeção de SQL. Um invasor manipula uma consulta LDAP inserindo caracteres especiais (*, (, ), \, NUL) em uma entrada do usuário que é concatenada diretamente a um filtro LDAP. Um ataque bem-sucedido pode contornar a autenticação, extrair todas as entradas do diretório ou modificar objetos do diretório. A prevenção exige validação da entrada e o uso de APIs LDAP parametrizadas, em vez da concatenação de strings.

As empresas implantam vários controladores de domínio para obter redundância e distribuição geográfica. A replicação do AD mantém todos os DCs sincronizados usando o Directory Replication Service (DRS). Os invasores exploram a replicação no ataque DCSync — usando permissões de replicação para solicitar todos os hashes de senha de um DC sem realmente fazer login nele. Proteger as permissões de replicação é uma etapa crítica de reforço da segurança do AD.

O LDAP simples na porta 389 transmite dados — incluindo credenciais de vinculação — em texto não criptografado, o que o torna vulnerável à interceptação. As organizações devem exigir LDAPS (LDAP sobre TLS) na porta 636 para criptografar todo o tráfego do diretório. Além disso, a assinatura LDAP e a vinculação de canal devem ser exigidas para impedir ataques de retransmissão, nos quais um invasor intercepta e repete mensagens de autenticação LDAP para obter acesso não autorizado.

Os ambientes do Active Directory acumulam configurações incorretas ao longo de anos de operação. Entre as vulnerabilidades de segurança comuns do AD estão: delegação irrestrita (permite a personificação de qualquer usuário), contas de serviço vulneráveis ao Kerberoasting com senhas fracas, alvos de AS-REP roasting (contas com pré-autenticação desabilitada), associação excessiva ao grupo Domain Admin e configurações incorretas do AdminSDHolder que concedem permissões elevadas ocultas. Avaliações regulares de segurança do AD usando ferramentas como BloodHound ajudam a identificar esses caminhos.

Para esclarecer a relação: LDAP é o protocolo usado para se comunicar com diretórios (assim como o HTTP é usado para se comunicar com servidores Web). O Active Directory é o produto de serviço de diretório da Microsoft que usa LDAP como protocolo de acesso. Outros diretórios compatíveis com LDAP incluem o OpenLDAP (código aberto), o Oracle Directory Server e o Red Hat Directory Server. Todos usam consultas LDAP, mas têm interfaces de gerenciamento diferentes e recursos proprietários adicionais.

Teste sua compreensão dos conceitos do CompTIA Security+ (SY0-701) abordados nesta lição.

Nesta lição, você aprendeu que: LDAP é o protocolo para consultar serviços de diretório usando Nomes Distintos em uma árvore hierárquica, o Active Directory usa Kerberos para autenticação e GPOs para aplicar configurações de segurança nos domínios e o LDAPS na porta 636 e a assinatura LDAP devem ser exigidos para impedir ataques de interceptação e retransmissão. A seguir, exploraremos o Gerenciamento de Acesso Privilegiado (PAM).