# Active Directory > identity · Vendor: [[_microsoft|Microsoft]] > [!latam] Presença no Brasil e LATAM > O Active Directory é o alicerce de autenticação de práticamente toda organização corporativa no Brasil - do governo federal às grandes redes bancárias, passando por indústrias e operadoras de saúde. Grupos de ransomware ativos no Brasil como **LockBit**, **BlackCat** e **Cl0p** exploram sistematicamente o AD como caminho para comprometimento total de domínio. Relatórios do **CERT.br** e do **CTIR Gov** registram ataques recorrentes de Kerberoasting e DCSync contra organizações brasileiras. Ferramentas como **BloodHound** e **Impacket** são amplamente documentadas em incidentes nacionais investigados por empresas como **Tempest** e **Redbelt Security**. ## Visão Geral **Active Directory Domain Services (AD DS)** é o serviço de diretório e autenticação central de práticamente todas as redes corporativas Windows no mundo. Responsável por autenticação (Kerberos, NTLM), autorização, gestão de políticas de grupo e replicação de diretório entre domain controllers. **Dados do produto:** - Categoria: Identidade e acesso (IAM) - Vendor: [[_microsoft|Microsoft]] - Presença no Brasil/LATAM: Onipresente - base de autenticação de governo, bancos, indústria e grandes empresas - Protocolo principal: Kerberos v5 Após 25+ anos de existência, o AD permanece como **alvo primário** de práticamente todas as operações de ameaça avançada. Segundo o Verizon DBIR 2025, ~20% dos breaches envolvem exploração de vulnerabilidades conhecidas, e uma análise da Sophos (2023) mostrou que atacantes levam em média apenas **16 horas** para comprometer o AD após acesso inicial. ## Superficie de Ataque > [!danger] Alvo Universal > O Active Directory é explorado por virtualmente todos os grupos APT, gangues de ransomware e operadores de crime cibernético. Comprometer o AD equivale a comprometer toda a organização. ### Ataques ao Protocolo Kerberos | Técnica | MITRE ID | Descrição | |---------|----------|-----------| | **Kerberoasting** | [[t1558-steal-or-forge-kerberos-tickets\|T1558]].003 | Solicita tickets de serviço (TGS) para contas com SPN e realiza brute-force offline para descobrir senhas. Não requer privilégios elevados. | | **AS-REP Roasting** | [[t1558-steal-or-forge-kerberos-tickets\|T1558]].004 | Explora contas com pré-autenticação Kerberos desabilitada para obter TGTs crackeáveis. | | **Golden Ticket** | [[t1558-steal-or-forge-kerberos-tickets\|T1558]].001 | Forja TGTs usando o hash do KRBTGT, concedendo acesso irrestrito a todo o domínio. Persistência até rotação dupla do KRBTGT. | | **Silver Ticket** | [[t1558-steal-or-forge-kerberos-tickets\|T1558]] | Forja tickets de serviço (TGS) usando hash de conta de serviço, permitindo acesso stealth a serviços específicos sem contato com DC. | | **Pass-the-Ticket** | [[t1550-use-alternate-authentication-material\|T1550]].003 | Reutiliza tickets Kerberos roubados da memória para impersonar usuários legítimos e realizar movimento lateral. | | **Overpass-the-Hash** | [[t1550-use-alternate-authentication-material\|T1550]] | Usa hash de senha para obter ticket Kerberos, combinando pass-the-hash com autenticação Kerberos. | ### Ataques de Replicacao e Persistência | Técnica | MITRE ID | Descrição | |---------|----------|-----------| | **DCSync** | [[t1003-os-credential-dumping\|T1003]].006 | Impersona domain controller para extrair hashes de senha via protocolo de replicação AD (DS-Replication-Get-Changes-All). Ferramenta: Mimikatz, Impacket. | | **DCShadow** | [[t1207-rogue-domain-controller\|T1207]] | Registra domain controller rogue para injetar modificações maliciosas no AD via replicação normal. Extremamente stealth. | ### Ataques ao AD Certificaté Services (AD CS) | Técnica | Descrição | |---------|-----------| | **ESC1** | Abusa templates de certificado mal configurados para solicitar certificados com privilégios elevados, permitindo escalação e movimento lateral. | | **ESC4** | Explora configurações de key escrow para recuperar chaves privadas do banco de dados da CA. | | **ESC8 (NTLM Relay / PetitPotam)** | Relays de autenticação NTLM contra serviços de enrollment do AD CS para comprometer contas privilegiadas. | ### Outros Vetores - **Unconstrained Delegation** - Feature legado do Kerberos que permite serviços impersonarem qualquer usuário; TGTs armazenados em memória podem ser extraídos. - **AdminSDHolder/ACL Abuse** - Modificação de permissões no objeto AdminSDHolder para persistência automática em grupos privilegiados. - **Hybrid AD + Azure AD** - Ataques que exploram sincronização entre AD on-premises e Entra ID (Azure AD) via Azure AD Connect, pivotando entre ambientes. ## Attack Flow Tipica ```mermaid graph TB A["Acesso Inicial<br/>(phishing, exploit)"] --> B["Kerberoasting<br/>ou AS-REP Roasting"] B --> C["Crack de Senhas<br/>(offline, Hashcat)"] C --> D["Escalacao de Privilegios<br/>(conta de servico → Domain Admin)"] D --> E["DCSync<br/>(extração de hashes)"] E --> F["Golden Ticket<br/>(persistência total)"] F --> G["Comprometimento<br/>do Dominio Completo"] style A fill:#ffc107,color:#000 style D fill:#dc3545,color:#fff style G fill:#dc3545,color:#fff ``` ## Ferramentas de Ataque Comuns - **Mimikatz** - Extração de credenciais, criação de Golden/Silver Tickets, DCSync - **Impacket** - Suite Python para DCSync (secretsdump.py), Kerberoasting, pass-the-ticket - **Rubeus** - Ferramenta .NET para ataques Kerberos (roasting, ticket forging, delegation abuse) - **Certipy** - Enumeracao e exploração de AD CS (ESC1-ESC8) - **BloodHound** - Mapeamento de caminhos de ataque em AD via grafos ## Mitigacoes Recomendadas - Migrar contas de serviço para **Group Managed Service Accounts (gMSA)** ou dMSA - **Desabilitar RC4** para encriptação Kerberos (padrão a partir do Windows Server 2025) - Auditar e remover SPNs não utilizados - Rotacionar senha do **KRBTGT** a cada 180 dias (reset duplo) - Habilitar **LSA Protection** em domain controllers - Implementar modelo de **administração em camadas (Tiered Admin)** - Adicionar contas privilegiadas ao grupo **Protected Users** - Habilitar **Credential Guard** em endpoints - Implementar **MFA** para todas as operações administrativas - Monitorar com [[microsoft-defender-endpoint|Defender for Identity]] para detectar Kerberoasting, Golden Ticket e DCSync ## Detecção | Event ID | Fonte | Indicador | |----------|-------|-----------| | 4768 | Domain Controller | Requisição de TGT (AS-REQ) - picos indicam AS-REP Roasting | | 4769 | Domain Controller | Requisição de TGS - encriptação RC4 + Ticket Options 0x40800000 indicam Kerberoasting | | 4771 | Domain Controller | Falha de pré-autenticação Kerberos - brute-force | | 4776 | Domain Controller | Validação de credenciais - enumeração AD | ## Notas Relacionadas **Vendor:** [[_microsoft|Microsoft]] **Atores que exploram AD:** [[g0016-apt29|APT29]] · [[g0125-silk-typhoon|Hafnium]] · [[g0032-lazarus-group|Lazarus Group]] · [[warlock-ransomware|Warlock]] **Produtos relacionados:** [[windows|Windows]] · [[exchange-server|Exchange Server]] · [[microsoft-defender-endpoint|Microsoft Defender]] · [[microsoft-sentinel|Microsoft Sentinel]] **Técnicas:** [[t1558-steal-or-forge-kerberos-tickets|T1558]] · [[t1550-use-alternate-authentication-material|T1550]] · [[t1003-os-credential-dumping|T1003]] · [[t1207-rogue-domain-controller|T1207]]