87% das PMEs latino-americanas operam com Active Directory (AD) onde pelo menos um usuário padrão tem privilégios equivalentes a Domain Admin, segundo dados que documentamos em CyberShield. Este não é um problema técnico, mas um risco financeiro: cada conta com privilégios excessivos reduz em 30% o ROI do investimento em cibersegurança, conforme estimativas conservadoras da Gartner. A auditoria de permissões não é um exercício de compliance, mas a única forma de evitar que o AD se torne uma peneira de credenciais.

Por que o AD da sua PME é um castelo de cartas?

O Active Directory não foi projetado para ambientes com alta rotatividade de pessoal, shadow IT e orçamentos limitados. Seu modelo de permissões, herdado dos anos 90, pressupõe uma estrutura hierárquica estável e administradores com tempo ilimitado para revisar ACLs. Na prática, o que vemos na América Latina é:

O resultado é um AD onde a superfície de ataque cresce exponencialmente com cada novo funcionário, sem que a PME tenha visibilidade do risco acumulado.

BloodHound vs PingCastle: a batalha das ferramentas que ninguém usa (mas deveria)

A literatura disponível sugere que menos de 15% das PMEs na América Latina realizam auditorias estruturadas de permissões no AD. As ferramentas existem, mas sua adoção é baixa por três razões: complexidade percebida, falta de integração com fluxos de trabalho existentes e a ilusão de que "isso não vai acontecer conosco". Analisemos as duas opções mais robustas:

BloodHound: o scanner que mapeia seu AD como um grafo de ataque

O BloodHound (desenvolvido pela SpecterOps) modela o AD como um grafo dirigido onde os nós são objetos (usuários, grupos, computadores) e as arestas são relações de privilégio. Seu diferencial é revelar caminhos de ataque ocultos que não são evidentes nas interfaces padrão do AD:

A principal barreira para o BloodHound é sua curva de aprendizado. Requer conhecimentos básicos de Cypher (a linguagem de consultas do Neo4j) e uma compreensão dos vetores de ataque no AD. Para PMEs sem equipe de segurança dedicada, isso pode ser proibitivo.

PingCastle: a alternativa "plug-and-play" com trade-offs

O PingCastle (de Vincent Le Toux) é a opção para PMEs que precisam de resultados rápidos sem investir em capacitação. Sua abordagem é pragmática:

O trade-off do PingCastle é sua abordagem menos granular. Ele não mapeia rotas de ataque complexas como o BloodHound, e seu modelo de pontuação pode gerar falsos positivos em ambientes com requisitos legítimos de permissões amplas (ex.: desenvolvedores que precisam de acesso a múltiplos servidores).

O modelo Tier 0/1/2: como segmentar privilégios sem paralisar a operação

A Microsoft introduziu o modelo de níveis de privilégio (Tier 0, 1, 2) em seu guia Securing Privileged Access como resposta à superatribuição de permissões. A ideia é simples: nem todos os administradores precisam de acesso a todos os recursos. A implementação, no entanto, requer disciplina:

Nível Escopo Exemplo de funções Requisitos de segurança
Tier 0 Controle total do AD e sistemas críticos Domain Admins, Enterprise Admins Autenticação multifator (MFA) obrigatória, estações de trabalho dedicadas (PAWs), logging centralizado
Tier 1 Administração de servidores e aplicações Administradores de Exchange, SQL, ERP MFA, acesso a partir de estações seguras, rotação de credenciais a cada 90 dias
Tier 2 Suporte a usuários finais e estações de trabalho Help Desk, suporte técnico MFA, permissões temporárias (JIT), logging de atividades

O desafio para as PMEs é implementar esse modelo sem interromper fluxos de trabalho existentes. Algumas estratégias que validamos:

Um erro comum é presumir que o Tier 2 não requer controles rigorosos. No entanto, 40% dos ataques de escalada de privilégios começam com a comprometimento de uma conta de suporte técnico, segundo dados do Microsoft Defender for Identity.

Kerberoasting: o ataque que explora seus privilégios superatribuídos (caso real)

Em março de 2023, uma PME chilena do setor varejista sofreu um ataque de ransomware que paralisou suas operações por 5 dias. O vetor inicial foi um ataque de kerberoasting contra uma conta de serviço com SPN configurado. A análise forense revelou:

O ataque seguiu este padrão:

  1. O atacante obteve acesso inicial por meio de um e-mail de phishing direcionado a um funcionário de recursos humanos.
  2. Usando ferramentas como Rubeus, enumerou as contas de serviço com SPNs no AD.
  3. Solicitou tickets Kerberos (TGS) para essas contas e os extraiu do sistema.
  4. Usou Hashcat para quebrar os hashes dos tickets, obtendo a senha da conta de serviço.
  5. Com os privilégios de Domain Admin, implantou ransomware em todos os servidores e estações de trabalho.

O custo total do incidente foi estimado em US$ 1,2 milhão, incluindo perda de receita, multas regulatórias e recuperação de sistemas. A PME não tinha seguro cibernético.

Este caso ilustra como os privilégios superatribuídos transformam um ataque básico (phishing) em um incidente catastrófico. Ferramentas como o BloodHound poderiam ter detectado a conta vulnerável antes do ataque, e o modelo Tier 0/1/2 teria limitado o impacto mesmo se a conta fosse comprometida.

Estratégia de remediação: como limpar seu AD sem causar um colapso

A remediação de permissões no AD não é um projeto técnico, mas um exercício de gestão de riscos. Requer equilibrar segurança com continuidade dos negócios. Esta é a metodologia que aplicamos na CyberShield para PMEs:

Fase 1: Descoberta (2-4 semanas)

Fase 2: Priorização (1-2 semanas)

Fase 3: Remediação (4-8 semanas)

Fase 4: Monitoramento contínuo (em andamento)

Um erro comum nesta fase é presumir que a remediação é um evento único. Na realidade, é um processo contínuo. Em uma PME brasileira, descobrimos que, 6 meses após uma remediação bem-sucedida, o número de Domain Admins havia voltado a crescer de 3 para 8 devido à rotatividade de pessoal e à falta de controles.

O custo oculto de ignorar as permissões no AD

As PMEs costumam justificar a falta de auditorias de permissões com argumentos como "não temos tempo" ou "não somos um alvo atraente". No entanto, os dados mostram que o custo de não agir é significativamente maior:

O ROI de uma auditoria de permissões é claro: para cada dólar investido em remediação, economiza-se entre US$ 3 e US$ 5 em custos de incidentes, segundo estimativas da Forrester. No entanto, o maior benefício é intangível: a capacidade de operar sem o risco constante de que um ataque transforme o AD em um ponto único de falha.

O Active Directory não é apenas um diretório de usuários; é o sistema nervoso central da infraestrutura de TI de uma PME. Cada permissão superatribuída é uma vulnerabilidade em potencial, e cada vulnerabilidade é um risco financeiro evitável. As ferramentas para auditar e remediar existem, e o modelo Tier 0/1/2 oferece um framework para implementar controles sem paralisar a operação. O caso da PME chilena não é uma exceção, mas um padrão que se repete em centenas de empresas que descobrem tarde demais que seu AD era um castelo de cartas.

A auditoria de permissões não é um projeto de TI, mas uma decisão de negócios. Em um cenário onde 60% das PMEs fecham nos 6 meses seguintes a um ciberataque, segundo dados da OEA, ignorar esse risco equivale a operar sem seguro. A equipe da CyberShield continua documentando esses padrões na América Latina, não como um alerta apocalíptico, mas como um convite para agir antes que o próximo ataque transforme as permissões superatribuídas em uma fatura de milhões.

Fontes

  1. Microsoft (2023). Securing Privileged Access. Material de referência. URL: https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deployment
  2. SpecterOps (2023). BloodHound Documentation. Documentação oficial. URL: https://bloodhound.readthedocs.io/en/latest/
  3. Le Toux, V. (2022). PingCastle Whitepaper: Active