Fundamentos de AD

O Active Directory (AD) é o serviço de diretório da Microsoft para gerenciar usuários, computadores e recursos em uma rede Windows. Ele fornece autenticação e autorização centralizadas.

Quase toda empresa usa AD, o que o torna um alvo prioritário. Comprometer o AD frequentemente significa comprometer toda a organização.

Um domínio é o principal limite administrativo no AD. Ele agrupa objetos (usuários, grupos e computadores) sob um banco de dados e uma política de segurança compartilhados.

Cada domínio tem um nome como corp.example.com. Toda autenticação dentro do domínio é tratada pelos controladores de domínio.

Um Controlador de Domínio (DC) é um servidor que executa os Serviços de Domínio do AD. Ele armazena o banco de dados do diretório, autentica logins e aplica políticas.

O banco de dados do diretório fica no arquivo NTDS.dit. Roubar esse arquivo (junto com a chave de inicialização) permite que um invasor extraia todos os hashes de senha do domínio.

Uma árvore é um ou mais domínios que compartilham um espaço de nomes contíguo. Uma floresta é o contêiner de nível superior que contém uma ou mais árvores.

A floresta é o verdadeiro limite de segurança no AD. Dentro de uma floresta, os domínios podem ser alcançados por meio de relações de confiança.

Uma relação de confiança é um vínculo que permite que usuários de um domínio acessem recursos de outro. As relações de confiança podem ser:

• Unidirecionais ou bidirecionais: definem a direção do acesso.
• Transitivas ou não transitivas: indicam se a confiança se estende a outros domínios.

Relações de confiança configuradas incorretamente permitem que invasores avancem entre domínios e florestas.

As Unidades Organizacionais (OUs) são contêineres usados para organizar objetos e delegar a administração.

Os Objetos de Política de Grupo (GPOs) aplicam configurações e definições de segurança a OUs, domínios ou sites. Invasores que podem editar uma GPO conseguem distribuir configurações ou scripts maliciosos para muitas máquinas de uma só vez.

O AD usa o Kerberos como seu principal protocolo de autenticação. Em vez de enviar senhas, os clientes trocam tíquetes emitidos pelo Centro de Distribuição de Chaves (KDC), executado no DC.

Primeiro, o usuário obtém um Tíquete de Concessão de Tíquetes (TGT) e depois o usa para solicitar tíquetes de serviço. Muitos ataques ao AD abusam desse sistema de tíquetes.

O AD expõe seu diretório por meio de LDAP (Protocolo Leve de Acesso a Diretórios). Usuários autenticados podem consultar enormes quantidades de informações: usuários, grupos, computadores e seus atributos.

É por isso que até mesmo uma conta de domínio com poucos privilégios é valiosa. Ela pode enumerar todo o diretório para encontrar caminhos até privilégios mais altos.

Certos grupos são os maiores alvos de qualquer domínio:

• Administradores do Domínio: controle total do domínio.
• Administradores da Empresa: controle de toda a floresta.
• Administradores do Esquema: podem modificar o esquema do AD.

A escalação de privilégios no AD geralmente significa encontrar um caminho para um desses grupos.

Um Nome Principal de Serviço (SPN) identifica exclusivamente uma instância de serviço vinculada a uma conta. O Kerberos usa SPNs para emitir tíquetes de serviço.

Contas com SPNs são alvos interessantes porque seus tíquetes de serviço podem ser solicitados e quebrados off-line, em uma técnica chamada Kerberoasting que você estudará a seguir.

O AD centraliza a identidade de toda a organização, portanto um único ponto de apoio pode se transformar em controle total. Os invasores encadeiam acesso com poucos privilégios, enumeração e roubo de credenciais para alcançar Administrador do Domínio.

Entender a estrutura (domínios, relações de confiança, Kerberos, LDAP e grupos privilegiados) permite identificar esses caminhos antes que um adversário o faça.

Teste sua compreensão da estrutura do AD.

Agora você conhece os componentes básicos do Active Directory:

• Os domínios agrupam objetos; os controladores de domínio autenticam e armazenam o banco de dados NTDS.dit.
• As florestas são o limite de segurança; as relações de confiança permitem o acesso entre domínios.
• Kerberos e LDAP conduzem a autenticação e a enumeração.
• Administradores do Domínio e SPNs são alvos de alto valor.

A seguir, você atacará o Kerberos diretamente com Kerberoasting.