Eram 14h20 de uma terça-feira comum quando a equipe de infraestrutura decidiu aplicar uma “melhoria rápida de segurança” recomendada por uma auditoria externa.
Vinte minutos depois, o ERP parou. Os bancos de dados caíram. As catracas da portaria travaram e ninguém conseguia sequer logar nas estações de trabalho.
O que se seguiu foram 72 horas de desespero, noites em claro na sala de guerra, e uma constatação aterrorizante que quase custou o emprego de toda a diretoria de TI: todos os backups estavam funcionando perfeitamente, mas nenhum deles conseguia salvar o sistema.
Esta é a história real (com nomes preservados) de como uma única alteração de GPO no Active Directory se transformou no pior pesadelo de infraestrutura corporativa — e o que você precisa aprender para nunca passar por isso.
⚡ Linha do Tempo do Colapso (TL;DR de 30s)
💣 O Detonador: Uma Linha Errada na “Default Domain Policy”
A intenção era nobre: restringir o acesso à rede para contas de serviço desnecessárias, atendendo ao princípio do privilégio mínimo.
O analista abriu o console de gerenciamento de políticas de grupo (gpmc.msc) e editou diretamente a política raiz do domínio (Default Domain Policy). O objetivo era alterar a diretiva de direitos de usuário:
Configuração do Computador > Políticas > Configurações do Windows > Configurações de Segurança > Políticas Locais > Atribuição de Direitos de Usuário
Em vez de criar uma política separada aplicada a uma Unidade Organizacional (OU) de testes, ele alterou a regra “Negar logon como serviço” (Deny log on as a service) e incluiu acidentalmente o grupo Domain Users.
Em questão de minutos, o protocolo DFSR replicou os arquivos da política para todos os Controladores de Domínio (DCs) filiais e matriz. À medida que os servidores executavam o ciclo padrão de atualização em segundo plano (gpupdate), a bomba-relógio explodiu:
- Todos os serviços de banco de dados (SQL Server, Oracle) pararam de rodar porque suas contas de logon foram banidas.
- Os hipervisores perderam a comunicação com o storage central.
- Acesso remoto via RDP foi cortado em todas as máquinas.
A Regra de Ouro Violada: A Default Domain Policy e a Default Domain Controllers Policy nunca devem ser editadas diretamente para regras customizadas. Qualquer erro nelas atinge 100% da floresta do Active Directory simultaneamente.
🧟 Por que os Backups Viraram Inúteis: O Paradoxo da Replicação
Quando o desastre foi identificado, a primeira reação do gerente de TI foi de alívio: “Temos backups completos da imagem de todos os servidores e dos DCs feitos ontem à noite!”.
A equipe subiu o backup do Controlador de Domínio principal e do servidor de ERP em um ambiente de emergência. A máquina iniciou, os serviços subiram, tudo parecia salvo.
Vinte minutos depois, tudo caiu novamente.
O motivo pelo qual o backup tradicional falhou três vezes seguidas resume-se a três armadilhas mortais do ecossistema corporativo:
A Maldição do USN
1. A “Recontaminação” por Replicação
Quando o DC restaurado ligava o cabo de rede, os outros DCs ativos avisavam: “Meu USN (Update Sequence Number) é mais novo que o seu!”. Em segundos, o DC recém-restaurado baixava a GPO corrompida de volta.
Agentes Travados
2. O Software de Backup foi Vítima da GPO
O próprio agente do software de backup corporativo roda como um serviço no Windows. Com a permissão de logon revogada pela GPO, os agentes não conseguiam rodar restores automatizados pela rede.
USN Rollback
3. Pânico de Inconsistência no AD
A tentativa desesperada de restaurar snapshots de máquinas virtuais de DCs sem isolamento causou rollback de USN, corrompendo a integridade da base do Active Directory (NTDS.dit).
🛠️ As 72 Horas de Guerra: Como o Sistema Foi Ressuscitado
No final do segundo dia, com perdas estimadas em mais de R$ 800 mil por dia de produção parada, a empresa contratou uma consultoria sênior de resgate. A estratégia foi cirúrgica:
Passo 1: O “Blackout” Físico de Rede
Nada de tentar restaurar pela rede corporativa. A equipe foi até o datacenter e desconectou fisicamente os cabos de rede de todos os Controladores de Domínio, isolando-os completamente.
Passo 2: Inicialização em Modo DSRM (Directory Services Restore Mode)
O DC mestre de operações (PDC Emulator) foi iniciado em modo de reparo de serviços de diretório (DSRM), onde o Active Directory não é carregado na memória.
Passo 3: Limpeza Cirúrgica do GUID no SYSVOL
Pelo prompt de comando local, o especialista navegou até a pasta do SYSVOL:
(Esse GUID padrão pertence à Default Domain Policy). O arquivo GptTmpl.inf, que continha as permissões catastróficas em texto puro, foi editado manualmente para remover o grupo proibido.
Passo 4: Restauração Autoritativa via ntdsutil
Foi executado um restore autoritativo da GPO no banco de dados do Active Directory. Isso forçou o número de versão do objeto a subir artificialmente em 100.000 pontos, garantindo que, quando a rede fosse religada, esse DC mandasse a versão corrigida para todos os outros, e nunca o contrário.
Passo 5: Script de Destravamento de Emergência
Como as estações de trabalho não conseguiam se autenticar no domínio para puxar a nova GPO, a equipe precisou usar contas de Administrador Local (LAPS) para rodar um script em lote que apagava a pasta local de cache de políticas:
🛡️ 4 Lições Vitais para Qualquer Administrador de Redes
- Nunca edite a Default Domain Policy diretamente: Crie políticas modulares e atrele-as a OUs com escopo bem definido.
- Tenha uma “Canary OU” (Ambiente de Testes): Nenhuma GPO de segurança deve ir para a produção sem passar pelo menos 48 horas aplicada em um grupo piloto de 5 servidores e 10 computadores.
- Guarde as senhas do modo DSRM: Quando o Active Directory colapsa, a única chave mestra do servidor é a senha local de DSRM definida na promoção do DC. Se você não a conhece, você está trancado para fora do seu próprio servidor.
- Backup de AD exige procedimento especial: Restaurar uma máquina virtual que é Controladora de Domínio como se fosse um servidor web comum pode destruir a replicação de toda a empresa.
Dica do Especialista Hora Nerd: Habilite e utilize o AGPM (Advanced Group Policy Management) da Microsoft ou soluções de controle de versão de GPO. Elas exigem fluxo de aprovação e permitem fazer rollback de qualquer alteração com um único clique.
Gostou deste relato de sala de guerra? Confira outros conteúdos de Sistemas e Segurança e salve nossos Cheatsheets de Redes e Infraestrutura para o seu kit de sobrevivência de TI.
Guilherme Nascimento
Especialista & FundadorEspecialista em Infraestrutura, Cloud/DevOps e Cibersegurança | +10 anos de experiência prática
Profissional com mais de uma década atuando no campo de batalha da tecnologia corporativa. Especialista em arquiteturas resilientes, automação com Docker/Kubernetes, Hardening de Active Directory, Linux avançado e observabilidade SRE. Criador do ecossistema Hora Nerd, dedicado a desmistificar a tecnologia para profissionais e estudantes.
