CISA divulga guia com 17 técnicas para comprometer Active Directory

Agências de cibersegurança internacionais, lideradas pela CISA dos Estados Unidos, publicaram diretrizes técnicas detalhadas descrevendo 17 técnicas comuns utilizadas por atacantes para comprometer ambientes Microsoft Active Directory. O documento, desenvolvido em cooperação com agências da Austrália, Canadá, Reino Unido e Nova Zelândia, destaca como adversários exploram configurações de identidade, protocolos legados e serviços de certificados para escalar privilégios, mover-se lateralmente e estabelecer persistência de longo prazo dentro de redes corporativas.

Contexto e escopo da ameaça

O Active Directory permanece como um alvo atraente para cibercriminosos devido ao seu papel central no controle de autenticação e autorização em muitos sistemas empresariais. Um comprometimento bem-sucedido pode conceder acesso a contas de usuários, estações de trabalho, servidores, e-mail, aplicativos de negócios e serviços em nuvem conectados. As agências alertam que padrões permissivos, suporte a protocolos legados e relacionamentos complexos entre usuários, grupos e sistemas criam uma grande superfície de ataque que os defensores podem ter dificuldade em compreender.

17 Técnicas de Comprometimento Identificadas

O guia técnico detalha vetores de ataque específicos que devem ser monitorados e mitigados:

• Kerberoasting: Atacantes solicitam tickets de serviço Kerberos para contas configuradas com nomes principais de serviço (SPNs), tentando quebrar os tickets offline e recuperar senhas de contas de serviço.
• AS-REP Roasting: Obtenção de respostas de autenticação criptografadas para contas que não exigem pré-autenticação Kerberos, permitindo a recuperação de senhas offline.
• Password Spraying: Teste de um pequeno número de senhas comuns ou expostas contra muitas contas, reduzindo a probabilidade de acionar bloqueios de conta.
• MachineAccountQuota Compromise: Exploração da cota de contas de máquina do domínio para criar objetos de computador e usar permissões herdadas para movimento lateral ou elevação de privilégio.
• Unconstrained Delegation: Comprometimento de computadores com delegação habilitada para extrair Tickets Granting Tickets (TGT) armazenados em cache do LSASS, potencialmente obtendo credenciais de usuários privilegiados.
• Group Policy Preferences Password Compromise: Busca no SYSVOL por valores legados de GPP cpassword, que podem ser descriptografados usando uma chave AES conhecida publicamente.
• AD CS Compromise: Modelos de Active Directory Certificate Services ou autoridades de certificado mal configurados permitem que atacantes solicitem certificados de autenticação para outros usuários, incluindo administradores de domínio.
• Golden Certificate: Após roubar o certificado e a chave privada de uma autoridade de certificado, atacantes forjam certificados confiáveis para se passar por usuários e manter acesso de longo prazo.
• DCSync: Um atacante com permissões de replicação de diretório se passa por um controlador de domínio e solicita hashes de senha, incluindo o hash altamente sensível KRBTGT.
• Dumping ntds.dit: Cópia do banco de dados do Active Directory e da chave de registro SYSTEM de um controlador de domínio ou backup, permitindo extração offline de hashes de credenciais de domínio.
• Golden Ticket: Uso do hash KRBTGT comprometido para forjar Tickets Granting Tickets Kerberos, potencialmente concedendo privilégios extensivos de domínio e persistência.
• Silver Ticket: Uso de hash de conta de serviço ou computador roubado para forjar tickets de serviço Kerberos e acessar serviços específicos sem seguir o processo de autenticação normal.
• Golden SAML: Roubo de certificado e chave privada de assinatura de token AD FS para forjar respostas SAML, se passando por usuários e acessando serviços federados como Microsoft 365 ou Azure.
• Microsoft Entra Connect Compromise: Alvo de sincronização de senha, autenticação por passagem ou contas de sincronização altamente privilegiadas para mover-se entre Active Directory local e Microsoft Entra ID.
• One-Way Domain Trust Bypass: Após obter hash de senha de objeto de domínio confiável, solicitam tickets Kerberos de outro domínio e contornam a direção pretendida de uma confiança de um lado.
• SID History Compromise: Adição de identificador de segurança privilegiado ao atributo sIDHistory de uma conta, permitindo que a conta herde permissões elevadas enquanto oculta a origem do acesso.
• Skeleton Key: Modificação do processo de autenticação LSASS em um controlador de domínio para que uma senha mestre funcione para múltiplas contas enquanto senhas de usuários legítimas continuam funcionando.
• Shadow Credentials: Adição de chave pública controlada pelo atacante ao atributo msDS-KeyCredentialLink de uma conta, permitindo autenticação baseada em certificado sem alterar a senha da conta.

Recomendações de Mitigação para CISOs

As agências recomendam tratar controladores de domínio, autoridades de certificado, servidores AD FS e sistemas Entra Connect como ativos Tier 0. As organizações devem isolar a administração privilegiada, implantar autenticação multifator resistente a phishing, usar estações de trabalho administrativas seguras, minimizar permissões delegadas, remover nomes principais de serviço desnecessários e substituir contas de serviço convencionais por contas de serviço gerenciadas em grupo sempre que possível.

Administradores devem também impor pré-autenticação Kerberos e criptografia AES, definir MS-DS-MachineAccountQuota como zero, eliminar delegação não restrita, remover senhas legadas de Política de Grupo, desabilitar NTLM e SMBv1 onde viável e proteger o LSASS. Após um comprometimento suspeito, o KRBTGT deve ser redefinido duas vezes, e modelos de certificado, SID History e modificações msDS-KeyCredentialLink devem ser revisados regularmente.

Detecção e Monitoramento

A detecção requer monitoramento centralizado de logs de controlador de domínio, autoridade de certificado, AD FS e Entra Connect. O guia destaca eventos como 4768 e 4769 para atividade Kerberos incomum, 4662 e 5712 para replicação de diretório, 4741 para criação inesperada de conta de computador, 4886 e 4887 para solicitações de certificado e 5136 para alterações suspeitas de objeto de diretório. Estabelecer baselines de autenticação normais permanece essencial, pois muitas técnicas de ataque ao Active Directory imitam deliberadamente o comportamento administrativo legítimo.

Perguntas frequentes

Qual o impacto no Brasil? Empresas brasileiras com infraestrutura Microsoft devem priorizar a aplicação das correções e revisão das configurações de identidade, especialmente em setores críticos como financeiro e saúde.

É necessário reiniciar servidores? Algumas mitigações, como a redefinição do KRBTGT, podem exigir reinicialização de controladores de domínio em janelas de manutenção planejadas.

Como validar a eficácia? Equipes de SOC devem testar regras de detecção específicas para os eventos de log mencionados e realizar exercícios de red team focados nessas 17 técnicas.