Em mais de 90% dos ataques de ransomware de grande porte, o vetor inicial pode até ser um phishing ou uma vulnerabilidade web, mas a vitória definitiva do invasor acontece no Active Directory.
Quando um atacante obtém credenciais de Domain Admin, a empresa inteira é sequestrada em segundos: backups são criptografados, servidores desligados e dados exfiltrados.
O problema é que muitas redes ainda operam com a mentalidade dos anos 2000: administradores logando com a conta principal em computadores de usuários, senhas de administrador local idênticas em centenas de máquinas e autenticação legada NTLM ativa por comodismo.
Neste guia técnico, você vai aprender como transformar o seu Active Directory em uma fortaleza usando os três pilares essenciais do hardening moderno: Tiering Model, Windows LAPS nativo e o caminho definitivo para desativar o NTLM.
⚡ Checklist de Maturidade do AD (TL;DR de 30 Segundos)
🏰 1. O Modelo de Camadas (Tiering Model da Microsoft)
A regra de ouro da segurança de identidades é simples: uma credencial de alto privilégio nunca deve tocar um computador de menor privilégio.
Se um administrador de domínio loga na máquina de um usuário para consertar o Outlook, a hash de sua senha e seus tíquetes Kerberos ficam gravados na memória do processo LSASS.exe. Um malware simples com privilégio local consegue extrair esses dados e dominar toda a floresta.
O Tiering Model divide a infraestrutura em três silos blindados:
Tier 0 – O Cofre
Identidades e Controle
Controladores de Domínio (DCs), servidores de PKI (AD CS), servidores de backup do AD e contas de Domain Admin.
Tier 1 – Aplicações
Servidores de Negócio
Servidores de arquivos, bancos de dados (SQL Server), servidores web (IIS/Linux), ERP e clusters de virtualização.
Tier 2 – Dispositivos
Pontos de Extremidade
Notebooks e desktops dos colaboradores, impressoras de rede e dispositivos móveis corporativos.
Como aplicar o bloqueio via GPO: Use as diretivas de atribuição de direitos de usuário para configurar “Negar logon local” e “Negar logon pela Área de Trabalho Remota” para contas Tier 0 em todas as máquinas de Tier 1 e Tier 2.
🔑 2. Windows LAPS Nativo: O Fim da Mesma Senha Local
Ter a mesma senha de Administrador Local em 500 computadores é um convite aberto para a técnica de Movimentação Lateral: basta o invasor comprometer um único notebook para ter acesso administrativo a toda a rede.
Antigamente, as empresas precisavam instalar agentes de terceiros. Hoje, o Windows LAPS nativo (LAPS v2) vem integrado de fábrica no Windows Server 2022/2025 e Windows 10/11.
O que o Windows LAPS Nativo faz:
- Gera uma senha única de alta entropia para a conta de administrador local de cada endpoint.
- Criptografa a senha diretamente nos atributos do objeto computador no Active Directory.
- Rotaciona a senha automaticamente após qualquer uso manual por um técnico de suporte.
Ativação Rápida via PowerShell no Active Directory:
Para estender o esquema do AD e conceder permissões para o Windows LAPS criptografar senhas:
Em seguida, basta criar uma GPO em Configuração do Computador > Modelos Administrativos > Sistema > LAPS definindo a complexidade da senha (mínimo 16 caracteres) e a rotação automática a cada 30 dias.
🚫 3. A Morte do NTLM: Bloqueio Seguro Sem Quebrar a Rede
O protocolo NTLM foi criado há mais de 30 anos. Ele é vulnerável a ataques de repetição de credenciais (NTLM Relay), onde o invasor intercepta o tráfego e autentica em outro servidor sem precisar saber a senha da vítima.
A Microsoft já declarou o NTLM como recurso obsoleto no Windows Server 2025. O objetivo de todo administrador deve ser a migração para Kerberos puro.
Mas atenção: nunca desative o NTLM de uma vez, ou sistemas legados e impressoras pararão de funcionar. Siga esta esteira de 3 fases:
Fase 1: Auditoria Invisível (Descubra quem ainda usa NTLM)
Habilite a auditoria no Active Directory via GPO:
Configurações de Segurança > Políticas Locais > Opções de Segurança > Segurança de rede: restringir NTLM: auditar autenticação NTLM neste domínio -> Selecione Habilitar tudo.
Abra o Visualizador de Eventos nos seus Controladores de Domínio e filtre pelo log:Applications and Services Logs > Microsoft > Windows > NTLM > Operational
- Event ID 8001: Indica autenticação NTLM permitida com sucesso.
- O evento mostrará o nome do usuário, a máquina de origem e o serviço que solicitou a autenticação.
Fase 2: Correção de Dependências
Ao analisar os eventos, você verá que 95% do tráfego NTLM ocorre por três motivos fáceis de resolver:
- Aplicações acessando servidores por IP (
\192.168.1.10) em vez de nome FQDN (\servidor.empresa.local). O Kerberos exige nomes DNS válidos com Service Principal Name (SPN). - Nomes de servidores desatualizados no DNS.
- Contas de serviço configuradas sem SPN cadastrado.
Fase 3: Bloqueio Parcial com Lista de Exceções
Depois de converter a maioria dos sistemas para Kerberos, configure a GPO para restringir o NTLM, adicionando apenas os IPs dos equipamentos legados não compatíveis à lista de exceções.
🛡️ 4. Proteção de Memória: Blindando o Processo LSASS
Ferramentas clássicas de ataque como o Mimikatz extraem senhas diretamente da memória do processo de autenticação do Windows (lsass.exe).
Para impedir que qualquer usuário ou processo mesmo com privilégio local leia essa memória, habilite a proteção LSA Protection (RunAsPPL):
Combinado com o Credential Guard (que isola os segredos do Kerberos em um contêiner virtualizado protegido por hardware VBS), as ferramentas de extração de senhas em memória passam a retornar erro de acesso negado.
⚠️ 4 Erros Críticos que os Domain Admins Ainda Cometem
- Conta de Domain Admin no bolso: Ter apenas uma conta de usuário e usá-la tanto para ler e-mails e navegar na web quanto para gerenciar servidores. Administradores devem ter pelo menos duas contas (
user.nomepara o dia a dia eadmin.nomepara tarefas privilegiadas). - Ignorar contas de serviço (SPNs Fracos): Criar contas normais de usuário para rodar serviços de banco de dados e dar a elas senhas simples. Isso permite o ataque de Kerberoasting, onde o atacante solicita um tíquete Kerberos da rede e quebra a senha offline em minutos.
- Não auditar o grupo Enterprise Admins e Schema Admins: Esses grupos devem estar permanentemente vazios, sendo utilizados apenas em manutenções pontuais de atualização de floresta.
- Deixar o protocolo SMBv1 ativo: Protocolo arcaico e vulnerável que abriu as portas para pragas como WannaCry e NotPetya. Desative-o imediatamente via PowerShell:
“powershell`
Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol
❓ Perguntas Frequentes (FAQ)
O Windows LAPS nativo funciona em máquinas que não têm acesso à internet?
Sim! Ao contrário de soluções em nuvem pura, o Windows LAPS nativo pode salvar as senhas criptografadas nos atributos de computador do próprio Active Directory local, sem depender do Azure/Entra ID.
Desativar o NTLM vai quebrar a autenticação dos usuários do domínio?
Não, desde que os clientes acessem os recursos por nomes de domínio FQDN (servidor.dominio.local`) e o DNS interno esteja saudável. Os computadores Windows usam Kerberos como protocolo prioritário há décadas.
Qual a diferença entre uma conta gMSA e uma conta de serviço comum?
A conta gMSA (Group Managed Service Account) não possui senha conhecida por seres humanos. O próprio Active Directory gera uma senha complexa de 128 caracteres e a rotaciona automaticamente a cada 30 dias nos servidores autorizados, eliminando o risco de Kerberoasting.
Continue elevando a segurança da sua infraestrutura com nossos guias de Sistemas e Segurança e consulte os Cheatsheets para comandos rápidos de PowerShell e Active Directory.
Guilherme Nascimento
Especialista & FundadorEspecialista em Infraestrutura, Cloud/DevOps e Cibersegurança | +10 anos de experiência prática
Profissional com mais de uma década atuando no campo de batalha da tecnologia corporativa. Especialista em arquiteturas resilientes, automação com Docker/Kubernetes, Hardening de Active Directory, Linux avançado e observabilidade SRE. Criador do ecossistema Hora Nerd, dedicado a desmistificar a tecnologia para profissionais e estudantes.
