Autenticação do Windows

A autenticação do Windows verifica quem é um usuário antes de conceder acesso. Em domínios, isso acontece continuamente entre clientes e o controlador de domínio.

Os dois protocolos principais são NTLM (mais antigo, baseado em desafio-resposta) e Kerberos (moderno, baseado em tíquetes). Ambos são alvos frequentes.

O Windows nunca armazena senhas em texto simples para contas locais; ele armazena hashes no banco de dados SAM. O formato principal é o hash NT (um MD4 da senha).

Se um atacante extrair esses hashes, poderá quebrá-los offline ou reutilizá-los diretamente.

O NTLM autentica sem enviar a senha:

• O servidor envia um desafio aleatório.
• O cliente o criptografa com o hash NT e responde.
• O servidor (ou o DC) verifica a resposta.

É um protocolo legado, mas ainda está habilitado em muitas redes por motivos de compatibilidade.

Como o NTLM autentica usando o hash, e não o texto simples, um atacante que roube um hash poderá se autenticar sem jamais quebrá-lo.

Isso é o Pass-the-Hash (PtH) — uma poderosa técnica de movimento lateral contra o NTLM.

O Kerberos é o padrão no Active Directory. Ele usa um Centro de Distribuição de Chaves (KDC) confiável no controlador de domínio e tíquetes com tempo limitado, em vez de enviar credenciais repetidamente.

Fluxo do Kerberos:

• O usuário se autentica e recebe um Ticket Granting Ticket (TGT).
• Para usar um serviço, o cliente apresenta o TGT e obtém um Service Ticket (TGS).
• O serviço valida o tíquete — nenhuma senha é enviada.

Kerberoasting solicita tíquetes de serviço para contas que executam serviços (SPNs). O tíquete é criptografado com o hash da senha da conta de serviço.

Um invasor extrai o tíquete e tenta quebrá-lo offline para recuperar a senha da conta de serviço.

Os tíquetes Kerberos também podem ser roubados e reutilizados (Pass-the-Ticket). Pior ainda: se um invasor comprometer o hash da conta krbtgt, poderá forjar um Golden Ticket — um TGT criado pelo próprio invasor que concede acesso a todo o domínio.

Muitos ataques começam com a extração de credenciais de um host comprometido. As ferramentas extraem hashes e tíquetes da memória do lsass.exe ou das colmeias SAM/SECURITY.

Mimikatz é a ferramenta mais conhecida; secretsdump é uma alternativa remota comum.

Os defensores reduzem esses riscos:

• Desativando NTLM sempre que possível.
• Exigindo senhas fortes e longas para contas de serviço.
• Protegendo o lsass (Credential Guard, PPL).
• Alternando a chave krbtgt e limitando a reutilização de contas administrativas.

Você pode inspecionar o contexto de autenticação atual e os tíquetes Kerberos armazenados em cache a partir de uma sessão.

Reconheça o ataque específico do NTLM.

Você aprendeu como o Windows realiza a autenticação e como é atacado:

• Hashes NT no SAM permitem a quebra offline e o uso de Pass-the-Hash.
• Kerberos usa um KDC, TGTs e tíquetes de serviço.
• Kerberoasting, Pass-the-Ticket e Golden Tickets exploram o Kerberos.
• Reforço: desative o NTLM, proteja o lsass e use senhas fortes para serviços.

Próximo tópico: PowerShell ofensivo.