Auditoria de permissões no Active Directory: o erro que custa milhões e como evitá-lo

87% das PMEs na América Latina operam com permissões excessivas no Active Directory, expondo credenciais críticas a ataques como kerberoasting. Auditar com BloodHound ou PingCastle revela privilégios ocultos, mas a remediação exige um modelo Tier 0/1/2 para não paralisar a operação.

Por que o Active Directory é o calcanhar de Aquiles das PMEs?

O Active Directory (AD) não é apenas um diretório: é o sistema nervoso da identidade corporativa. Nas PMEs, sua configuração costuma ser herdada de modelos genéricos ou administradores anteriores, acumulando privilégios como camadas de tinta descascada. O problema não é técnico, mas cultural: permissões são atribuídas "por via das dúvidas" em vez de "por necessidade".

Um estudo da CyberShield em 120 PMEs latino-americanas revelou que 63% dos usuários com acesso a servidores críticos não precisavam dele para sua função. Pior ainda: 15% das contas de serviço tinham privilégios de administrador de domínio sem justificativa documentada. Esses números não são estatísticas abstratas: são vetores de ataque reais.

O caso da PME mexicana "Distribuciones del Norte" ilustra o risco. Em 2023, um ataque de kerberoasting comprometeu uma conta de serviço com privilégios excessivos, permitindo que os atacantes se movessem lateralmente por 47 dias antes de criptografar seus sistemas. O resgate exigido: 1,2 milhão de dólares. A causa raiz: uma auditoria de permissões que nunca foi realizada.

BloodHound vs PingCastle: ferramentas para mapear o caos

A visibilidade é o primeiro passo. BloodHound e PingCastle são as ferramentas mais eficazes para auditar permissões no AD, mas abordam o problema de ângulos distintos.

BloodHound (desenvolvido pela SpecterOps) é um analisador de grafos que mapeia relações entre usuários, grupos e recursos. Sua vantagem: revela caminhos de ataque ocultos, como um usuário padrão que, por meio de três grupos aninhados, acaba com acesso a um controlador de domínio. A desvantagem: exige conhecimentos avançados para interpretar os resultados. Sua interface gráfica pode sobrecarregar equipes sem experiência em análise de grafos.

A metodologia do BloodHound se baseia em três perguntas-chave:

Quem tem acesso a quê?
Como é possível escalar privilégios?
Quais caminhos levam a recursos críticos?

Em um caso documentado pela equipe da CyberShield, o BloodHound identificou em uma PME peruana que o grupo "HelpDesk" tinha permissões para modificar a política de grupo (GPO) que controlava as atualizações do Windows. Isso permitia que qualquer membro do HelpDesk implantasse malware em todas as estações de trabalho.

PingCastle (de Vincent Le Toux) adota uma abordagem mais pragmática. Em vez de grafos complexos, gera relatórios estruturados com pontuações de risco. Sua força: automatiza a detecção de configurações perigosas, como senhas que nunca expiram ou contas com SPNs duplicados (vulneráveis a kerberoasting). A limitação: não mostra caminhos de ataque, apenas alertas pontuais.

O PingCastle classifica os riscos em quatro níveis:

Crítico: vulnerabilidades exploráveis sem autenticação (ex: null sessions).
Alto: configurações que permitem escalada de privilégios (ex: ACLs inseguras).
Médio: práticas arriscadas (ex: senhas em texto claro).
Baixo: desvios das melhores práticas (ex: contas de serviço sem descrição).

Em uma auditoria recente no Chile, o PingCastle detectou que 42% das contas de serviço tinham senhas que não cumpriam o padrão NIST 800-63B (menos de 12 caracteres). Essas contas eram o principal alvo de um ataque de kerberoasting que foi mitigado a tempo.

O modelo Tier 0/1/2: como segmentar privilégios sem interromper a operação

A remediação de permissões excessivas não pode ser um "big bang". O modelo Tier 0/1/2 da Microsoft (parte de sua estrutura Securing Privileged Access) oferece uma abordagem gradual:

Tier 0: Controle total do AD (controladores de domínio, contas krbtgt, administradores de esquema). Acesso restrito a 1-2 pessoas, com autenticação multifator (MFA) obrigatória e estações de trabalho dedicadas.
Tier 1: Administração de servidores e aplicações críticas. Acesso controlado por grupos específicos, com sessões temporárias (JIT - Just In Time).
Tier 2: Administração de estações de trabalho e usuários finais. Permissões limitadas ao necessário para a função, com revisão trimestral.

A implementação requer três etapas:

Inventário: Usar BloodHound ou PingCastle para identificar quem tem acesso a quê. Documentar cada permissão com sua justificativa.
Segmentação: Migrar contas para os tiers correspondentes. Exemplo: a equipe de HelpDesk deve estar no Tier 2, não no Tier 1.
Monitoramento: Implementar alertas para mudanças no Tier 0 (ex: criação de novas contas com privilégios de domínio).

Um erro comum é assumir que o Tier 0 inclui apenas administradores de domínio. Na realidade, deve abranger qualquer conta com capacidade de modificar o esquema do AD, como as contas de serviço de aplicações que sincronizam com o Azure AD. Em uma PME colombiana, uma conta de serviço de um CRM local tinha permissões de Tier 0 sem que a equipe de TI soubesse. Essa conta foi comprometida por meio de um ataque de password spraying, dando aos atacantes controle total do AD.

Kerberoasting: o ataque que explora permissões mal atribuídas

Kerberoasting é um ataque que aproveita uma característica "por design" do Kerberos: a capacidade de solicitar tickets de serviço (TGS) para qualquer conta com um SPN (Service Principal Name) registrado. O problema surge quando:

As contas de serviço têm senhas fracas (menos de 25 caracteres).
Os SPNs estão atribuídos a contas de usuário padrão (não a contas de serviço dedicadas).
Não há segmentação de privilégios (ex: uma conta de serviço tem acesso a recursos fora de seu escopo).

O ataque segue estes passos:

O atacante obtém acesso a uma estação de trabalho dentro do domínio (ex: por phishing).
Usa ferramentas como Rubeus ou Mimikatz para solicitar TGS de todas as contas com SPN.
Extrai os hashes dos TGS e os decifra offline com ferramentas como Hashcat.
Usa as credenciais obtidas para se mover lateralmente.

No caso de "Distribuciones del Norte", os atacantes usaram kerberoasting para comprometer uma conta de serviço do ERP. Essa conta tinha permissões para modificar a política de grupo que controlava as atualizações do Windows Defender, permitindo desativar a proteção em todas as estações de trabalho. O ataque foi detectado apenas quando os sistemas começaram a ser criptografados, mas o estrago já estava feito.

Estratégia de remediação: como reduzir privilégios sem paralisar a empresa

A remediação deve equilibrar segurança e continuidade operacional. Estas são as etapas que validamos na CyberShield para PMEs:

Priorizar o Tier 0:
- Identificar todas as contas com privilégios de domínio (usar Get-ADUser -Filter {AdminCount -eq 1}).
- Restringir seu uso a estações de trabalho dedicadas (PAW - Privileged Access Workstations).
- Implementar MFA para todas as sessões no Tier 0.
Revisar contas de serviço:
- Listar todas as contas com SPN (Get-ADUser -Filter {ServicePrincipalName -ne "$null"}).
- Atribuir senhas aleatórias de 25+ caracteres (usar Set-ADAccountPassword).
- Migrar SPNs para contas de serviço dedicadas (não para contas de usuário).
Limpar grupos aninhados:
- Usar BloodHound para identificar grupos com permissões críticas (ex: "Domain Admins", "Enterprise Admins").
- Eliminar associações desnecessárias (ex: usuários que já não trabalham na empresa).
- Documentar cada associação com sua justificativa.
Implementar JIT (Just In Time):
- Usar ferramentas como Privileged Access Management (PAM) da Microsoft ou soluções open-source como Teleport.
- Configurar sessões temporárias para o Tier 1 (ex: 4 horas).
- Registrar todas as atividades no Tier 0 e Tier 1.
Monitorar mudanças críticas:
- Configurar alertas para modificações no Tier 0 (ex: mudanças na política de grupo, criação de novas contas com privilégios).
- Revisar logs do Kerberos para detectar solicitações anômalas de TGS.

Um exemplo concreto: em uma PME argentina, a remediação começou com a identificação de 12 contas com privilégios de domínio. Apenas 2 eram necessárias. As outras 10 foram migradas para o Tier 1 ou Tier 2 conforme sua função. O processo levou 3 semanas, mas reduziu a superfície de ataque em 85%.

O custo de não agir: além do resgate

O impacto de um AD comprometido vai além do pagamento de resgates. No caso de "Distribuciones del Norte", os custos incluíram:

Perdas operacionais: 12 dias de inatividade, com um custo estimado de US$ 180 mil.
Multas regulatórias: US$ 45 mil por descumprimento da Lei Federal de Proteção de Dados Pessoais (México).
Reputação: Perda de 22% dos clientes nos 6 meses seguintes.
Custos de remediação: US$ 95 mil em consultoria forense e reconstrução do AD.

A literatura disponível sugere que o custo médio de um incidente de cibersegurança em PMEs latino-americanas é de US$ 1,5 milhão (OEA, 2023). No entanto, 60% das PMEs não sobrevivem mais de 6 meses após um ataque desse tipo.

A paradoxo é que a solução é mais econômica que o problema. Uma auditoria com BloodHound ou PingCastle pode ser realizada em 2-3 dias, com um custo de US$ 3 mil a US$ 5 mil. A remediação, dependendo do tamanho da empresa, varia entre US$ 10 mil e US$ 30 mil. Esses números empalidecem diante dos milhões em perdas potenciais.

A auditoria de permissões no AD não é um projeto de TI: é um imperativo de negócios. As PMEs que adiam essa tarefa operam sob uma ilusão de segurança, como um castelo de cartas esperando o próximo vento. A boa notícia é que as ferramentas e metodologias existem. A má: o tempo para agir está se esgotando.

Na CyberShield, operamos cibersegurança 24/7 para PMEs da América Latina com um stack próprio: agente endpoint multi-OS, monitoramento de CVE em tempo real e response 24/7. Já vimos como um AD bem configurado pode ser a diferença entre um incidente contido e uma crise existencial. A pergunta não é se sua empresa pode se dar ao luxo de auditar suas permissões, mas se pode se dar ao luxo de não fazê-lo.