Escalonamento do Active Directory e desenho de acesso privilegiado

O Active Directory continua a ser a espinha dorsal de identidade da maioria das empresas e, justamente por estar em toda parte, é o terreno onde uma única credencial roubada pode virar controle de todo o domínio. A razão é estrutural: os administradores fazem logon em estações de trabalho comuns, essas estações são comprometidas, e o atacante colhe as credenciais privilegiadas deixadas na memória. O escalonamento por camadas e o desenho de acesso privilegiado existem para quebrar essa cadeia. Este artigo explica o modelo pela ótica do defensor, no enquadramento entender para defender: por que a confiança plana por padrão é perigosa, como o modelo de camadas contém o movimento lateral, qual telemetria revela o abuso e quais controles endurecem todo o parque.

Por que a identidade é o verdadeiro perímetro

Os perímetros de rede dissolveram-se em serviços de nuvem, trabalho remoto e dispositivos móveis, e o que permanece constante é a identidade. Num parque Windows, essa identidade vive no Active Directory, e seus grupos mais privilegiados — Administradores de Domínio, Administradores de Empresa e as contas que controlam os controladores de domínio — são na prática as chaves de tudo. Um atacante que alcança esse nível pode ler cada caixa de correio, implantar software em cada ponto final e forjar credenciais à vontade. Defender o parque significa, portanto, defender essas identidades como se fossem as joias da coroa, porque são.

A verdade incômoda de um Active Directory padrão é que ele confia de forma plana demais. Se um Administrador de Domínio fizer logon alguma vez numa estação de suporte, essa estação passa a guardar material que um atacante pode roubar para se tornar Administrador de Domínio. Multiplique isso ao longo de anos de logons cômodos e você tem um parque onde comprometer quase qualquer máquina é um caminho plausível para o controle total. O escalonamento é a disciplina que corta esses caminhos de propósito.

O modelo de camadas explicado

O modelo administrativo de camadas divide os ativos e as identidades que os gerenciam em níveis segundo o valor que controlam. A Camada 0 contém a própria infraestrutura de identidade: controladores de domínio, o banco de dados do AD, autoridades de certificação, servidores de federação e qualquer conta ou grupo que possa obter controle sobre eles. A Camada 1 cobre servidores e aplicações — os dados e serviços de negócio da empresa. A Camada 2 é a camada de estações de trabalho e dispositivos onde operam os usuários comuns e o pessoal que os apoia. O propósito da divisão é uma regra estrita sobre quais credenciais podem aparecer em quais sistemas.

O princípio orientador é que uma credencial de camada superior nunca deve ser exposta num sistema de camada inferior. Uma conta de Camada 0 faz logon apenas em sistemas de Camada 0; nunca toca um servidor de Camada 1 nem uma estação de Camada 2, porque estes são mais numerosos, mais expostos e mais propensos a serem comprometidos. Isso previne a escalada clássica em que um atacante que possui uma estação espera um administrador fazer logon e então rouba o token ou a credencial desse administrador. Quando as camadas são impostas, a poderosa credencial desse administrador simplesmente nunca aterrissa onde o atacante pode alcançá-la.

Fontes limpas e estações de administração

O escalonamento depende do princípio da fonte limpa: um sistema só pode ser controlado por sistemas ao menos tão confiáveis quanto ele próprio. Se um controlador de domínio de Camada 0 pode ser gerenciado a partir de um notebook de Camada 2, então o notebook é de fato Camada 0, e a fronteira é ficção. Para honrar isso, os administradores usam Estações de Trabalho de Acesso Privilegiado dedicadas — máquinas endurecidas de propósito único usadas apenas para trabalho administrativo, sem e-mail, sem navegação web e sem software de produtividade geral que pudesse trazer um comprometimento.

Uma Estação de Trabalho de Acesso Privilegiado é trancada com lista de aplicações permitidas, regras de rede estritas que lhe permitem alcançar apenas pontos finais de gerenciamento e autenticação multifator forte. O notebook cotidiano onde um administrador lê e-mail e navega na web é tratado como não confiável para fins administrativos. Separar a máquina com que você opera o domínio da máquina com que consulta seu calendário é um dos controles de maior valor de todo o modelo, porque remove diretamente o ponto de apoio de colheita de memória em que os atacantes se apoiam.

Contas separadas e acesso just-in-time

Cada administrador deveria manter identidades distintas para camadas distintas: uma conta de usuário normal para o trabalho diário e contas privilegiadas separadas restritas à camada que administra, nunca reutilizadas entre camadas. A associação permanente a grupos poderosos como Administradores de Domínio deveria ser reduzida a quase nada. A prática moderna substitui a associação permanente pela elevação just-in-time, em que um administrador solicita acesso para uma tarefa específica e uma janela limitada, a solicitação é aprovada e registrada, e o privilégio evapora ao fechar a janela. Ferramentas de gerenciamento de acesso privilegiado tornam esse fluxo praticável em escala.

Isso encolhe a janela durante a qual uma credencial privilegiada sequer existe para ser roubada. Também produz uma trilha de auditoria limpa: cada uso de alto privilégio é um evento deliberado, registrado e limitado no tempo, em vez de uma condição permanente. Combinado com autenticação forte e, onde possível, credenciais sem senha ou respaldadas por cartão inteligente para administradores, o acesso just-in-time transforma o privilégio de um passivo constante num recurso controlado e observável.

Detecção: sinais que revelam o abuso

Mesmo um parque bem escalonado deve assumir que atacantes determinados sondarão as fronteiras, então a detecção é essencial. Vigie as violações de camada diretamente: uma conta de Camada 0 se autenticando a partir de uma estação de Camada 2 é um alarme de alta fidelidade porque nunca deveria acontecer. Monitore os registros de segurança do Windows em busca de padrões de logon suspeitos — os Event ID 4624 e 4625 mostrando contas privilegiadas aparecendo em hosts inesperados, o 4672 marcando a atribuição de privilégios sensíveis, e o 4768 e 4769 registrando solicitações de tíquetes Kerberos que podem indicar técnicas de abuso de credenciais contra contas de serviço.

Mudanças nos grupos de Camada 0 merecem escrutínio imediato: os Event ID 4728, 4732 e 4756 registram adições a grupos privilegiados, e uma adição inesperada a Administradores de Domínio é um dos sinais mais fortes de um comprometimento em curso. Solicitações de replicação de diretório a partir de um host que não é um controlador de domínio podem indicar uma tentativa de extrair todo o banco de dados de credenciais e deveriam alertar alguém de imediato. Alimente esses sinais num SIEM com alertas, retenha os registros fora dos controladores de domínio para que um atacante não possa apagá-los, e ensaie a resposta para que um alerta leve à ação em vez de a um painel que ninguém observa.

Armadilhas comuns

A falha mais comum é desenhar um belo modelo de camadas no papel e depois quebrá-lo por comodidade — uma conta de Camada 0 usada uma vez para consertar um servidor de Camada 1, uma conta de serviço com direitos de Administrador de Domínio rodando em dezenas de servidores de aplicação, ou associações de grupo aninhadas que em silêncio concedem poder de Camada 0 a um grupo de aparência inofensiva. As contas de serviço são um ponto fraco recorrente: com excesso de privilégios, raramente rotacionadas e muitas vezes configuradas de formas que as expõem a técnicas de roubo de credenciais, frequentemente são a ponte que um atacante usa para cruzar camadas. Outra armadilha é esquecer que as autoridades de certificação e os servidores de federação de identidade são Camada 0; modelos de certificado mal configurados tornaram-se um caminho de escalada favorito justamente porque costumam ser ignorados.

Por fim, as equipes às vezes tratam o escalonamento como um projeto único. Na realidade, o parque deriva constantemente à medida que surgem novos servidores, delegações e administradores, de modo que sem uma auditoria contínua de associação de grupo, delegação e direitos de logon, as fronteiras se erodem até que o modelo só exista num documento.

Uma lista de verificação prática

Estrutura: ativos classificados em Camada 0, 1 e 2; controladores de domínio, autoridades de certificação e servidores de federação reconhecidos como Camada 0. Credenciais: contas separadas por camada, sem reutilização entre camadas, credenciais de camada superior nunca expostas em sistemas de camada inferior. Acesso: Estações de Trabalho de Acesso Privilegiado para toda administração de Camada 0 e Camada 1, lista de aplicações permitidas, autenticação multifator forte. Privilégio: associação permanente quase nula em Administradores de Domínio, elevação just-in-time com aprovação e registro, contas de serviço endurecidas e monitoradas. Detecção: alertas sobre violações de camada, mudanças em grupos privilegiados e replicação anormal, com registros retidos fora dos controladores de domínio. Governança: auditoria contínua de associação, delegação e direitos de logon.

FAQ: O modelo de camadas ainda é relevante com nuvem e Zero Trust?

Sim, e se algo, ainda mais. Zero Trust e o modelo de camadas compartilham a mesma ideia central: nunca assumir confiança pela localização de rede, e sempre minimizar e verificar o privilégio. Em ambientes híbridos o modelo se estende à identidade em nuvem, onde você protege as contas que controlam sua sincronização de diretório e os papéis administrativos em nuvem com o mesmo rigor da Camada 0 local. O vocabulário evolui, mas o princípio de que as identidades mais poderosas devem ser isoladas dos sistemas mais expostos é atemporal.

FAQ: Somos uma organização pequena. Precisamos de escalonamento completo?

Você precisa dos princípios mesmo que não possa custear todo o aparato. No mínimo, dê aos administradores contas separadas para administração e uso diário, nunca faça logon em estações comuns com uma conta de Administrador de Domínio, habilite autenticação multifator forte nas contas privilegiadas e mantenha a associação privilegiada permanente no mínimo indispensável. Essas poucas disciplinas entregam a maior parte do valor protetor do escalonamento e exigem processo em vez de ferramentas caras. Você pode adotar Estações de Trabalho de Acesso Privilegiado e acesso just-in-time à medida que cresce.

Conclusão

O escalonamento do Active Directory e o desenho de acesso privilegiado existem para responder a uma pergunta: quando um atacante inevitavelmente compromete alguma máquina, isso lhe dá um caminho para as chaves do reino? Um parque de confiança plana responde que sim; um bem escalonado responde que não. Classifique seus ativos, separe as credenciais por camada, administre a partir de estações limpas e endurecidas, substitua o privilégio permanente por acesso just-in-time, e instrumente tudo para que uma violação de camada se torne um alarme sonoro em vez de uma escalada silenciosa. O trabalho é tanto disciplina quanto tecnologia, mas é a diferença entre um único notebook comprometido e uma empresa comprometida.