Fortalecimento do Active Directory

O Active Directory é a base de autenticação da maioria dos ambientes corporativos Windows. Comprometer o AD significa comprometer tudo. O fortalecimento concentra-se em reduzir a superfície de ataque, proteger contas privilegiadas e habilitar a detecção.

O modelo de administração em camadas impede a escalada de privilégios ao exigir contas administrativas diferentes para cada camada: Camada 0 (controladores de domínio), Camada 1 (servidores), Camada 2 (estações de trabalho). Os administradores nunca iniciam sessão em camadas inferiores usando credenciais de uma camada superior.

Os membros do grupo Protected Users não podem usar NTLM, DES ou criptografia RC4. Seus TGTs não podem ser renovados e têm curta duração. Adicione aqui todas as contas privilegiadas — isso impede o armazenamento de credenciais em cache e limita os ataques de PtH.

Habilite o Credential Guard em todos os sistemas Windows 10/11 Enterprise e Windows Server 2016 ou posteriores. Ele move o LSASS para um contêiner virtualizado que os processos no nível SYSTEM não conseguem acessar — bloqueando o despejo de credenciais pelo Mimikatz.

O LAPS altera automaticamente as senhas exclusivas do administrador local em cada máquina ingressada no domínio e as armazena com segurança no AD. Isso elimina a movimentação lateral por meio de senhas compartilhadas de administradores locais.

O NTLM possibilita ataques de retransmissão. Restrinja-o gradualmente: audite o uso, bloqueie o NTLMv1 de saída, depois o NTLMv2 e, por fim, bloqueie todo o NTLM, substituindo-o pelo Kerberos. A assinatura SMB impede a retransmissão do NTLM restante.

A assinatura SMB impede ataques de retransmissão de NTLM ao assinar criptograficamente as sessões SMB. Ela é obrigatória em todos os controladores de domínio e deve ser exigida em todos os clientes e servidores.

As PAWs são máquinas dedicadas e reforçadas, usadas somente para tarefas administrativas. Os administradores nunca navegam na internet nem leem e-mails a partir das PAWs — reduzindo o risco de phishing e comprometimento por navegação durante sessões privilegiadas.

Habilite as políticas de auditoria para registrar: eventos de logon de contas (4624/4625), uso de privilégios (4672), alterações na associação a grupos (4728/4732) e alterações na GPO. Encaminhe os eventos para um SIEM para correlação e geração de alertas.

Aplique linhas de base de segurança por meio da GPO: desative LLMNR/NBT-NS (impede ataques do Responder), restrinja a execução do PowerShell, habilite AppLocker/WDAC e configure os perfis do firewall do Windows.

Execute o BloodHound em seu próprio ambiente para encontrar caminhos de ataque até o Domain Admin. Remova proativamente associações desnecessárias a grupos, configurações incorretas de delegação e atribuições de SPN reveladas pelo grafo.

O fortalecimento do AD é feito em camadas: implemente a administração em camadas e as PAWs para proteger credenciais, habilite o Credential Guard e o Protected Users para impedir o roubo de credenciais, implemente o LAPS para eliminar a movimentação lateral por meio de senhas locais compartilhadas, exija a assinatura SMB para bloquear retransmissões e use o BloodHound proativamente para encontrar e eliminar caminhos de ataque antes dos adversários.