Segurança do Active Directory: Guia de Proteção de Identidade

By Mirko Peters · 2025-11-23 · Updated 2026-07-18

Aprenda segurança do Active Directory com orientações práticas sobre arquitetura, implementação, segurança e governança.

Automatically translated with AI from the original post. Read the English original

O Active Directory é muito importante para os atacantes em qualquer empresa. Se alguém assume o controle dele, você perde o controle sobre pessoas, arquivos, e-mails e recursos na nuvem. Os atacantes não precisam de habilidades especiais de invasão. Eles usam pequenos erros para obter acesso total. Você precisa agir rápido e adotar medidas claras para proteger o que é importante.

Principais conclusões

• O Active Directory ajuda a controlar quem pode usar sua rede. Mantê-lo seguro impede que atacantes obtenham dados e sistemas importantes.

• Revise com frequência as contas de administrador e exclua as que você não precisa. Isso dificulta que atacantes usem contas com privilégios elevados.

• Implemente tiering e segmentação na sua rede. Isso impede que atacantes se movimentem facilmente e ajuda a conter grandes problemas.

• Ative a Autenticação Multifator (MFA) para todas as contas de administrador. Isso oferece uma proteção extra contra pessoas que não deveriam ter acesso.

• Monitore os logs e use ferramentas de segurança para identificar ações suspeitas. Detectar problemas cedo permite agir rapidamente para interromper ameaças.

Por que os atacantes têm o Active Directory como alvo

Papel central na autenticação

O Active Directory ajuda a decidir quem pode usar sua rede, seus arquivos e seus aplicativos. Ele é a principal barreira de proteção da maioria das empresas. Os atacantes sabem disso. Se eles assumem o controle do Active Directory, podem controlar quase tudo.

Esta tabela explica por que os atacantes querem o Active Directory:

O Active Directory permite que você gerencie todos os usuários, computadores e regras em um só lugar. Você pode definir políticas de grupo para criar regras para todos. Isso facilita o seu trabalho. Mas, se os atacantes conseguirem invadir, podem chegar a tudo a partir de um único ponto.

Consequências do comprometimento

Se alguém assume o controle do Active Directory, coisas ruins podem acontecer. Você pode perder o acesso a arquivos ou serviços. Os atacantes podem bloquear você, roubar seus dados ou paralisar seu negócio.

Veja algumas situações que podem acontecer:

• Os usuários não conseguem acessar recursos ou serviços.

• Os sistemas de TI podem ficar indisponíveis e parar de funcionar.

• As atividades do negócio podem parar, e você pode perder dinheiro e tempo.

Dica: proteger o Active Directory não se resume a impedir hackers. Também mantém seu negócio funcionando e seus dados seguros.

Quando você conhece os riscos, entende por que os atacantes querem invadir o Active Directory. Você precisa procurar pontos fracos e corrigi-los antes que os atacantes o façam.

Caminhos de ataque ao Active Directory

Os atacantes não precisam de ferramentas sofisticadas para entrar. Eles começam pequeno e tentam obter mais controle. Você precisa conhecer cada etapa para detê-los cedo.

Acesso inicial e movimentação lateral

Os atacantes costumam começar com truques simples. Eles enviam e-mails falsos para roubar senhas. Às vezes, usam senhas que nunca foram trocadas. Podem tentar senhas comuns em muitas contas. Se a sua rede tiver pontos fracos, os atacantes podem encontrá-los com ferramentas.

Depois de entrar, os atacantes se movimentam para outros computadores. Eles usam pass-the-hash para roubar hashes de senhas. Em seguida, usam esses hashes para fazer login em outro lugar. Kerberoasting tem como alvo contas de serviço com senhas fracas. Os atacantes usam o BloodHound para enxergar a sua rede e encontrar formas de obter mais poder.

Os caminhos de ataque mais comuns incluem:

• Kerberoasting para quebrar senhas de contas de serviço.

• Envenenamento LLMNR/NBT-NS para capturar hashes de senhas.

• Uso de senhas fixas (hard-coded) em scripts.

• Reconhecimento LDAP para descobrir informações sobre usuários e computadores.

Observação: a maioria dessas ações parece trabalho administrativo normal. É preciso ficar atento a pequenos sinais de que algo está errado.

Técnicas de escalonamento de privilégios

Depois de entrar, os atacantes querem mais poder. Eles usam diferentes maneiras de obter privilégios mais altos. Veja a tabela a seguir, que mostra alguns métodos comuns:

Métodos de domínio total

Quando têm privilégios elevados, os atacantes querem controle total. Eles podem criar tickets falsos chamados golden tickets. Com eles, conseguem acessar qualquer coisa por muito tempo. Alguns usam ataques DCSync para copiar todos os hashes de senhas dos controladores de domínio. Outros roubam o arquivo NTDS.dit, que contém todas as senhas da sua rede.

Sinais de domínio total incluem:

• Ransomware apagando todos os controladores de domínio.

• Backups que trazem de volta malware quando restaurados.

• Ausência de um backup limpo para usar na recuperação.

• Atacantes permanecem mesmo depois de você tentar corrigir tudo.

• Erros graves que bloqueiam todos os usuários.

Se os atacantes chegarem até aqui, eles controlam toda a sua rede. Você precisa detê-los antes que cheguem a essa etapa.

Fraqueza de raio de explosão de administradores

Riscos de privilégios excessivos

Se muitas contas tiverem acesso elevado, isso é arriscado. Os atacantes procuram essas contas. Um único erro pode dar a eles o controle. Às vezes, contas mantêm o acesso mesmo quando não são mais necessárias. Essas contas antigas são fáceis de encontrar para os atacantes. Shadow Admins podem se esconder no seu sistema. Eles podem surgir de soluções rápidas ou de contas de serviço. Essas contas entram em grupos poderosos, e você pode não perceber. O aninhamento de grupos no Active Directory dificulta a identificação delas.

• Os atacantes usam contas poderosas para chegar às coisas importantes.

• Se uma conta de administrador for comprometida, os atacantes podem alterar configurações, roubar dados ou instalar software malicioso.

• Contas de administrador antigas e sem monitoramento ajudam os atacantes a permanecer ocultos.

Dica: revise as contas de administrador com frequência. Remova as que você não precisa.

Tiering e segmentação

Você pode reduzir o risco dividindo sua rede em camadas. Isso é chamado de tiering e segmentação. Essa prática ajuda a controlar quem pode acessar locais importantes. Quando você cria segmentos separados, os atacantes não conseguem se movimentar com facilidade. A segmentação também impede que malware se espalhe rapidamente.

• Manter as partes separadas limita o alcance dos atacantes.

• A segmentação controla quem acessa sistemas essenciais.

• Uma boa segmentação desacelera ransomware e outras ameaças.

Ganhos rápidos para o controle de administradores

Você pode fazer coisas simples para ficar mais seguro. Comece encontrando e removendo contas de administrador antigas. Essas contas costumam passar despercebidas e podem ser usadas por atacantes. Desative as contas globais de administrador criadas para projetos ou ferramentas antigas. Isso torna sua rede mais segura rapidamente.

• Verifique e remova contas de administrador antigas.

• Desative contas de administrador global usadas por ferramentas antigas.

Observação: pequenas mudanças ajudam muito a proteger sua rede.

Riscos de PKI e de modelos de certificado

Perigos de configuração incorreta

Senhas não são a única coisa com que se preocupar. Modelos de certificado podem permitir que invasores entrem sem serem notados. Modelos fracos ajudam os invasores a criar certificados que funcionam como chaves-mestras. Esses certificados podem dar a alguém direitos de administrador sem precisar de senha. Os invasores chamam esses administradores de "invisíveis". Eles não aparecem em logs comuns.

Aqui está uma tabela que mostra perigos comuns de configuração incorreta:

Observação: invasores procuram pontos fracos. Eles querem direitos de administrador sem que ninguém perceba.

Como proteger modelos de certificado

Você pode bloquear muitos ataques tornando seus modelos de certificado mais seguros. Primeiro, verifique quem pode se inscrever em cada modelo. Remova ou desative os modelos que você não usa. Limite o acesso a modelos importantes, como os de cartão inteligente.

Aqui está uma tabela com etapas para proteger seus modelos:

Dica: revise seus modelos a cada poucos meses. Isso ajuda a manter seu sistema seguro contra novos problemas.

Ações práticas de PKI

Você pode fazer ações simples para tornar sua PKI mais forte. Use uma AC raiz offline para proteger sua âncora de confiança. Use uma AC empresarial ingressada no domínio para emitir certificados apenas para usuários confiáveis. Configure a inscrição automática com a Política de Grupo para gerenciar certificados com facilidade.

Aqui está uma tabela com ações práticas de PKI:

Lembre-se: configurações fortes de PKI impedem que invasores criem contas de administrador invisíveis. Verifique seus modelos e permissões com frequência.

Sincronização híbrida e exposição na nuvem

Ambientes de identidade híbrida conectam seu Active Directory aos serviços em nuvem. Isso ajuda a gerenciar usuários nos dois lugares. Mas também traz novos riscos. Se invasores acessarem seu AD local, eles podem chegar às contas na nuvem. O mesmo pode acontecer no sentido inverso. Uma conta em nuvem fraca pode permitir que invasores acessem seu AD local.

Vulnerabilidades do Azure AD Connect

O Azure AD Connect é uma ponte entre seu AD local e a nuvem. Invasores querem controlar essa ponte porque ela tem contas com alto poder. Se alguém obtiver a conta de computador do AD DS Connector ou do Seamless SSO, poderá alterar senhas ou permissões nos dois lugares.

Invasores usam ferramentas de rede para atacar todo o seu ambiente. Eles podem usar a conta AZUREADSSOACC para passar do AD para o Entra ID. Se invasores obtiverem direitos de administrador no servidor do Entra Connect, eles controlam a Conta de Sincronização. Podem alterar identidades nos dois lugares. Alguns invasores usam o SyncJacking para obter contas de nuvem com privilégios elevados, alterando contas com privilégios baixos.

Dica: use a conta de sincronização com o menor privilégio possível. Monitore o Azure AD Connect em busca de atividades estranhas.

Acesso condicional e MFA

O Acesso Condicional e a MFA ajudam a proteger ambientes híbridos. As regras de Acesso Condicional exigem etapas extras dos usuários, como a MFA, antes de permitir a entrada. Essas regras verificam itens como quem é o usuário, o dispositivo e a localização. Com base nisso, decidem se você deve receber acesso.

• O Acesso Condicional usa a MFA para manter a segurança.

• As regras usam sinais para tomar decisões mais inteligentes.

• Isso segue o modelo Zero Trust e verifica os usuários a cada acesso.

Observação: usar a MFA em todas as contas de administrador impede muitos ataques.

Segurança de Identidade Unificada

Trate a identidade local e a identidade na nuvem como um único sistema. A segurança unificada ajuda você a encontrar ameaças mais rápido e agir com agilidade. Siga estas etapas para fortalecer suas defesas:

1. Instale os sensores do Defender for Identity nos seus controladores de domínio.

2. Conecte o Defender for Identity ao Microsoft 365 Defender para monitoramento.

3. Ative o Acesso Condicional baseado em risco no Entra para proteção em tempo real.

4. Use o Entra ID Governance para conceder privilégio mínimo a todas as contas.

5. Vincule os dois ao Microsoft Sentinel para uma detecção de ameaças melhor.

Lembre-se: uma segurança forte de identidade híbrida impede que invasores se movam entre sistemas locais e na nuvem.

Checklist de Segurança do Active Directory

Um checklist bem estruturado ajuda você a proteger sua rede rapidamente. Use este guia para encontrar e corrigir os maiores riscos do seu ambiente. Comece com as etapas rápidas de triagem e mantenha suas defesas fortes com manutenção regular.

Etapas de Triagem em 60 Minutos

Você pode fazer uma grande diferença em apenas uma hora. Siga estas etapas para reduzir rapidamente seu risco:

1. Verifique atualizações urgentes. Instale a atualização mais recente da Microsoft para o CVE-2025-59287 em todos os servidores WSUS. Essa correção fecha uma falha de segurança grave.

2. Bloqueie portas de rede arriscadas. Se não for possível aplicar a correção imediatamente, bloqueie as portas TCP 8530 e 8531 de entrada nos seus firewalls. Isso impede que invasores alcancem seus servidores WSUS. Talvez seja necessário trabalhar com a equipe de TI, pois isso pode pausar as atualizações.

3. Pare e desative os serviços WSUS. Se não for possível aplicar a correção nem bloquear as portas, pare os serviços WSUS até resolver o problema.

4. Isole os servidores WSUS expostos à internet. Trate esses servidores como de alto risco. Mantenha-os afastados da sua rede principal.

5. Preserve evidências se suspeitar de um ataque. Salve a memória, as imagens de disco e os logs de eventos. Acione sua equipe de resposta a incidentes.

6. Revise os logs de eventos em busca de alterações no AdminSDHolder. Procure o código de evento 5136. Ele mostra se alguém alterou as permissões de administrador.

7. Verifique quem fez as alterações. Identifique a conta de usuário vinculada a essas mudanças. Revise a atividade dela em busca de algo suspeito.

8. Compare as permissões. Confirme que o objeto AdminSDHolder corresponde à sua linha de base de segurança.

9. Procure novas contas privilegiadas. Verifique alterações em associações de grupos ou em permissões.

10. Trabalhe com a sua equipe de segurança. Confirme se alguma alteração foi aprovada.

11. Isole os sistemas afetados. Remova-os da rede para impedir que os invasores se espalhem.

12. Desfaça alterações não autorizadas. Reverta qualquer alteração no AdminSDHolder que você não tenha aprovado.

13. Revise todas as contas privilegiadas. Confirme que elas seguem suas regras de segurança.

14. Redefina as senhas das contas em risco. Concentre-se nas contas de administrador e de serviço.

15. Adicione monitoramento extra. Observe o AdminSDHolder e outros objetos-chave em busca de novas alterações.

16. Informe seu centro de operações de segurança. Avise sobre qualquer atividade suspeita.

17. Atualize suas políticas de controle de acesso. Faça mudanças para impedir ataques semelhantes no futuro.

Dica: você pode imprimir este checklist e mantê-lo perto da sua mesa. Use-o quando precisar agir rapidamente.

Manutenção Contínua

Você precisa manter suas defesas fortes ao longo do tempo. Bons hábitos ajudam a identificar problemas cedo e a se recuperar rapidamente.

• Aplique as atualizações com frequência. Garanta que cada patch seja instalado corretamente.

• Faça backup dos seus dados em uma programação regular. Teste os backups para garantir que você consiga restaurá-los.

• Monitore a saúde do seu domínio todos os dias. Fique atento a sinais de problemas, como falhas de login ou novas contas de administrador.

• Revise as contas de administrador e as associações a grupos todo mês. Remova as que você não precisar mais.

• Verifique os seus modelos de certificado e as configurações de PKI a cada trimestre. Remova os modelos antigos e restrinja as permissões.

• Acompanhe as suas ferramentas de sincronização híbrida, como o Azure AD Connect. Fique atento a atividades estranhas ou a novas permissões.

• Treine a sua equipe para identificar tentativas de phishing e truques de engenharia social.

• Agende revisões de segurança regulares. Use o seu checklist para manter o controle do processo.

Observação: ações pequenas e constantes mantêm a sua rede segura. Torne essas etapas parte da sua rotina.

Ao seguir este checklist, você constrói uma defesa sólida em torno dos seus sistemas mais importantes. Você torna muito mais difícil para os invasores entrarem ou permanecerem ocultos.

Ferramentas de monitoramento e detecção

Principais IDs de evento e logs

Você precisa ficar de olho no seu Active Directory. Atacantes tentam ocultar o que fazem. Você consegue encontrá-los se souber o que verificar. Comece analisando os logs importantes e os IDs de evento. Esses registros mostram alterações e ajudam você a identificar problemas logo no início.

• Alterações de associação a grupos: Fique atento a mudanças suspeitas em grupos de administração. O ID de evento 4728 indica que alguém adicionou um usuário a um grupo. O ID de evento 4729 indica que alguém removeu um usuário.

• Criação e exclusão de contas: O ID de evento 4720 mostra quando alguém cria um novo usuário. O ID de evento 4726 mostra quando alguém exclui um usuário.

• Solicitações de replicação: O ID de evento 4662 pode mostrar atividades de replicação incomuns. Atacantes usam isso para copiar dados de senha.

• Eventos de autenticação: O ID de evento 4624 registra logins bem-sucedidos. Fique atento a logins em horários estranhos ou a partir de locais novos.

• Alterações de política de grupo: O ID de evento 4739 acompanha alterações nas políticas de grupo. Atacantes podem alterá-las para ganhar controle.

Você também deve observar sinais de ataques Kerberoasting ou Golden Ticket. Esses ataques deixam pistas nos seus logs, como solicitações de tickets suspeitas ou novas contas de serviço.

Dica: verifique os seus logs todos os dias. Verificações rápidas ajudam você a identificar problemas antes que eles se agravem.

Ferramentas de segurança recomendadas

Você pode usar ferramentas especializadas para monitorar e proteger o seu Active Directory. Essas ferramentas facilitam a visualização do que está acontecendo e a identificação de pontos fracos.

• Lepide Auditor for Active Directory: acompanha alterações em tempo real e alerta você sobre ações suspeitas.

• Netwrix Auditor: envia alertas instantâneos e mantém logs por um longo período.

• ManageEngine ADAudit Plus: monitora a atividade dos usuários e permite configurar alertas personalizados.

• SolarWinds Access Rights Manager (ARM): ajuda você a gerenciar quem pode acessar o quê e verifica a conformidade.

• Solução da Quest: acompanha alterações e funciona com ferramentas SIEM para um monitoramento melhor.

• BloodHound: mapeia caminhos de ataque para que você veja como invasores podem se movimentar.

• PingCastle: verifica os riscos do seu AD e fornece uma pontuação de saúde.

• LAPS (Local Administrator Password Solution): garante que cada computador tenha uma senha de administrador exclusiva.

• Defender for Identity: monitora ameaças e comportamentos suspeitos nos seus controladores de domínio.

Muitas dessas ferramentas funcionam bem com sistemas SIEM, como o Splunk. Isso ajuda você a identificar ataques mais rapidamente e a responder com agilidade.

Observação: usar as ferramentas certas e monitorar os logs certos oferece uma defesa sólida contra invasores.

Manter o Active Directory seguro ajuda a sua empresa a evitar grandes problemas. Você protege a sua rede reduzindo o alcance dos privilégios de administrador. Também fecha brechas de PKI e melhora a sincronização híbrida. Os atacantes avançam rapidamente se você deixar essas etapas de lado.

• Monitore os logs usando ferramentas SIEM.

• Conceda acesso de administrador a menos pessoas e altere as senhas com frequência.

• Use MFA e mantenha os computadores de administração separados.

• Verifique com frequência as políticas de grupo e as associações de grupos.

Use sua lista de triagem e verifique sua segurança todo mês. Comece por um domínio. Faça mudanças pequenas e com frequência. Mantenha-se atento para proteger seu bem mais valioso.

Perguntas frequentes

Qual é o passo mais importante para proteger o Active Directory?

Você precisa ter menos contas de administrador. Certifique-se de que cada computador tenha sua própria senha. Verifique com frequência quem está nos grupos de administradores. Isso ajuda a impedir que invasores causem grandes problemas.

Com que frequência você deve revisar contas de administrador e permissões?

Analise as contas de administrador e as permissões todo mês. Exclua as contas que você não usa. Isso torna sua rede mais segura e ajuda a identificar problemas logo no início.

Por que os invasores têm como alvo os modelos de certificado?

Invasores exploram modelos de certificado fracos. Eles os usam para criar acessos administrativos falsos. Esses certificados funcionam como chaves secretas. Você deve restringir os modelos e verificar quem pode usá-los.

Uma violação na nuvem pode afetar o Active Directory local?

Sim. Se invasores obtiverem acesso a contas na nuvem, eles podem chegar ao seu AD local. Você precisa proteger os dois e ficar atento a atividades suspeitas.

Quais ferramentas ajudam a monitorar o Active Directory em busca de ataques?

Você pode usar BloodHound, PingCastle e Defender for Identity. Essas ferramentas ajudam a identificar pontos fracos e alertam sobre ameaças.

Você também deve ouvir

Se você está pesquisando segurança do Active Directory, estes episódios acrescentam contexto prático sobre arquitetura, operações, segurança e governança:

• Microsoft AI Agent Harness – Simply Explained — Entenda orquestração e barreiras de proteção.
• Azure AI Foundry – Simply Explained — Entenda a entrega de IA em nível empresarial.
• Microsoft Defender XDR – Simply Explained — Acrescente contexto de segurança.