Em quase toda empresa de médio ou grande porte, uma única coisa controla quem entra em quê: o Active Directory. Ele autentica usuários, distribui permissões e guarda as chaves do reino. Por isso, num teste interno, o objetivo raramente é uma máquina específica. É o domínio inteiro.
Quem defende precisa entender esses caminhos tão bem quanto quem ataca, porque são sempre os mesmos, e todos têm contramedida conhecida.
Por que o AD é o alvo
Comprometer uma estação dá acesso a uma máquina. Comprometer o AD dá acesso a todas. Um atacante que obtém privilégio de administrador de domínio pode criar contas, ler qualquer dado, desativar defesas e se manter mesmo depois de detectado.
É a materialização máxima do princípio que tratei em Zero Trust na prática: quando tudo confia em uma autoridade central, comprometer essa autoridade compromete tudo.
O ponto de partida: qualquer usuário do domínio
O que surpreende quem começa é o quanto se enxerga com uma conta comum, sem privilégio nenhum. Um usuário autenticado consegue consultar boa parte da estrutura: quem são os administradores, como os grupos se aninham, quais máquinas existem.
Essa enumeração é o primeiro passo, e é o insumo dos caminhos seguintes. É a mesma lógica de reconhecimento que descrevi em Mapeando a superfície de ataque de uma empresa com OSINT, aplicada de dentro.
Caminho 1: senhas fracas em serviços
Contas de serviço, que rodam sistemas automatizados, costumam ter senha fraca que nunca é trocada, porque trocá-la exigiria mexer na aplicação. Certas configurações permitem que qualquer usuário do domínio peça um material criptográfico associado a essas contas e tente descobrir a senha fora do ambiente, sem gerar tentativas de login que disparariam alarme.
Como a defesa fecha: senhas longas e aleatórias em contas de serviço, ou o uso de contas gerenciadas em que a própria infraestrutura troca a senha automaticamente. Uma senha de trinta caracteres aleatórios torna a descoberta fora do ambiente inviável.
Caminho 2: reaproveitamento de credencial
Um administrador acessa uma estação para dar suporte, e a credencial dele fica em memória naquela máquina. Se um atacante já controla essa estação, ele colhe essa credencial e passa a agir como o administrador.
Como a defesa fecha: administradores nunca acessam estações comuns com a conta privilegiada, exatamente o princípio de separação de contas de Zero Trust na prática. Estações de administração dedicadas, isoladas por segmentação de rede, quebram esse caminho.
Caminho 3: delegação mal configurada
O AD permite que um serviço aja em nome de um usuário, um recurso legítimo para cenários específicos. Configurado de forma ampla demais, ele vira uma ponte: comprometer o serviço passa a permitir agir como qualquer usuário, inclusive administradores.
Como a defesa fecha: revisar quais contas têm delegação, remover a que não é necessária e restringir a que precisa existir ao mínimo. É item de auditoria periódica, não de configuração única.
Caminho 4: o aninhamento de grupos que ninguém revisou
Permissão no AD se acumula por herança entre grupos. Um usuário entra em um grupo que pertence a outro, que por sua vez concede acesso a algo sensível. Ninguém desenhou isso de propósito; foi se formando ao longo de anos de concessões pontuais.
O resultado é que usuários comuns frequentemente têm, por caminhos indiretos, muito mais poder do que qualquer um imagina. Mapear esses caminhos é uma das primeiras coisas que um atacante faz, e deveria ser das primeiras que a defesa faz também.
Como a defesa fecha: revisão periódica de quem alcança os grupos privilegiados, por caminho direto e indireto, com remoção do que não se justifica.
A base que sustenta todos os caminhos
Repare no padrão: quase todo caminho depende de o atacante já ter alguma credencial e alguma máquina. Reduzir esses dois insumos enfraquece o ataque inteiro na origem.
- Segundo fator resistente a phishing dificulta a obtenção da primeira credencial.
- Privilégio mínimo limita o que aquela credencial alcança.
- Separação de contas administrativas impede que a credencial valiosa fique exposta em máquina comum.
- Segmentação de rede, como em Segmentação de rede com VLAN, limita a movimentação lateral entre máquinas.
Detectar, porque prevenir não basta
Nenhuma das medidas acima é perfeita, então a detecção fecha o conjunto. Vários dos passos de um ataque a AD deixam rastro: consultas incomuns à estrutura, pedidos de material criptográfico em volume, autenticações em horário atípico.
Coletar e correlacionar esses eventos é o que transforma um ataque silencioso em um alerta, exatamente o papel do monitoramento que descrevi em Monitoramento Avançado com XDR no SOC. Um AD bem defendido não é o que nunca é atacado. É o que percebe o ataque enquanto ele ainda está no começo.