Chegamos ao território mais valioso do pentest corporativo. O Active Directory (AD) é o sistema que governa a identidade em praticamente toda empresa média ou grande — usuários, computadores, grupos e permissões, tudo centralizado (você o conheceu na aula Windows internals: processos, registro e o coração da autenticação e enumerou seu LDAP na aula Enumeração LDAP: a espinha dorsal do Active Directory). Comprometer o AD, especificamente o controlador de domínio (DC), é geralmente comprometer a organização inteira — por isso é o objetivo final típico de um red team engagement. Este bloco reúne tudo que você aprendeu de Windows, credenciais e movimentação lateral num ataque coeso ao domínio. Comece montando um laboratório AD (o GOAD da aula Alvos vulneráveis: conhecendo o campo de batalha é ideal), porque este bloco exige prática.

Quem controla o DC controla tudo

Primeiro, entenda por que o AD é tão central e tão visado. Ele resolve um problema real das organizações: gerenciar milhares de usuários e máquinas de forma centralizada, com single sign-on (o usuário loga uma vez e acessa múltiplos recursos). Mas essa centralização cria um ponto de imensa concentração de poder: quem controla o DC controla todas as identidades, todas as permissões, todas as máquinas ingressadas no domínio. É o "anel único" da rede corporativa. E a arquitetura do AD — baseada nos protocolos Kerberos e NTLM para autenticação — tem características que, exploradas, permitem escalar de um usuário comum comprometido até o domínio inteiro. O bloco inteiro é sobre percorrer esse caminho.

Por design, o AD é muito enumerável

O ponto de partida ofensivo é a enumeração do AD — e aqui o AD tem uma peculiaridade que o torna, paradoxalmente, muito enumerável: qualquer usuário autenticado do domínio pode consultar uma enorme quantidade de informação sobre ele. Isso é por design (usuários precisam saber sobre recursos, grupos, outros usuários para trabalhar), mas significa que, uma vez que você tem qualquer credencial de domínio (obtida por password spraying da aula Brute force online com Hydra: atacando serviços vivos, por phishing, por um comprometimento inicial), você pode mapear a estrutura inteira. Ferramentas de enumeração consultam o AD via LDAP e outros protocolos para levantar usuários, grupos, computadores, políticas, sessões ativas e — o mais valioso — as relações de permissão entre tudo isso.

BloodHound: o AD como grafo

A ferramenta que revolucionou a enumeração de AD é o BloodHound. Sua ideia é genial: em vez de te dar listas de usuários e grupos (que você teria de correlacionar mentalmente), ele modela o AD inteiro como um grafo e usa teoria de grafos para calcular caminhos de ataque. Você coleta os dados do domínio com um "coletor" (o SharpHound), importa no BloodHound, e ele te mostra visualmente como chegar de onde você está (um usuário comum comprometido) até onde você quer (o Domain Admin), destacando o caminho mais curto:

# conceito do fluxo (laboratório):
# 1. coletar dados do domínio com SharpHound (roda na máquina comprometida)
#    coleta usuários, grupos, sessões, ACLs, relações de confiança
# 2. importar o resultado no BloodHound
# 3. consultar: "Shortest Path to Domain Admins" a partir do usuário comprometido

De onde estou, como chego ao domínio

O BloodHound responde à pergunta que define o ataque a AD: "de onde estou, como chego ao controle do domínio?". Ele revela caminhos que seriam quase impossíveis de enxergar manualmente — por exemplo, que o usuário comum que você comprometeu é membro de um grupo que tem permissão sobre outro grupo que tem acesso administrativo a uma máquina onde um Domain Admin está logado (cuja sessão você pode roubar). É a materialização perfeita da correlação (aula Consolidando o reconhecimento: do fragmento à inteligência) e do pensamento em grafos (Maltego, aula theHarvester e Maltego: automatizando a coleta), aplicada ao objetivo mais valioso.

Comprometer o domínio é uma cadeia

Por que os caminhos de ataque são a essência do AD ofensivo? Porque comprometer um domínio raramente é um único exploit — é uma cadeia de passos, cada um explorando uma permissão, uma sessão, ou uma configuração, que encadeados levam do acesso inicial ao DC. O AD, por sua complexidade, acumula essas relações ao longo dos anos (permissões concedidas e esquecidas, grupos aninhados, contas de serviço com privilégios excessivos), formando caminhos que ninguém projetou intencionalmente mas que existem. O trabalho do atacante (e do BloodHound) é encontrar esses caminhos na teia de relações; o trabalho do defensor é eliminá-los. As técnicas específicas que compõem os passos desses caminhos vêm a seguir — Kerberoasting, Pass-the-Hash, DCSync — mas todas se encaixam nesse quadro maior de "encontrar e percorrer o caminho até o domínio".

Usar o BloodHound defensivamente

Do lado defensivo, o AD é simultaneamente crítico e notoriamente difícil de proteger, justamente pela complexidade que o torna enumerável. As contramedidas começam aqui, na visibilidade: usar o próprio BloodHound defensivamente (mapear os próprios caminhos de ataque e eliminá-los — remover permissões excessivas, quebrar as cadeias) é uma das práticas de maior impacto; menor privilégio rigoroso (a raiz — a maioria dos caminhos existe porque contas têm mais privilégio do que precisam); tiering administrativo (separar contas administrativas por nível, para que comprometer uma estação não leve ao DC); monitorar enumeração anômala (coletas massivas de LDAP, a assinatura do SharpHound); e higiene de AD contínua (auditar grupos, permissões, contas de serviço). A lição central: a segurança do AD é sobre gerenciar a complexidade das relações de permissão, e a ferramenta que o atacante usa para explorá-las é a mesma que o defensor deve usar para eliminá-las.

Fontes e leituras recomendadas

Exercícios

  1. Por que comprometer o controlador de domínio equivale, em geral, a comprometer a organização inteira?

    ✓ Resposta:

    Porque o controlador de domínio governa todas as identidades, permissões e máquinas ingressadas no domínio; controlá-lo dá poder sobre toda a autenticação e todos os recursos da organização — é o "anel único" da rede corporativa.

  2. Que peculiaridade do AD o torna tão enumerável, e o que basta ter para começar a mapeá-lo?

    ✓ Resposta:

    Por design, qualquer usuário autenticado do domínio pode consultar uma enorme quantidade de informação sobre ele (usuários, grupos, computadores, permissões). Basta ter qualquer credencial de domínio válida (obtida por spraying, phishing ou comprometimento inicial) para começar a mapear a estrutura inteira.

  3. Qual a ideia genial do BloodHound, e qual pergunta central ele responde?

    ✓ Resposta:

    Em vez de fornecer listas a correlacionar manualmente, o BloodHound modela o AD como um grafo e usa teoria de grafos para calcular caminhos de ataque. Responde à pergunta "de onde estou, como chego ao controle do domínio (Domain Admin)?", destacando o caminho mais curto.

  4. Por que o comprometimento de um AD é descrito como uma "cadeia" de passos em vez de um único exploit?

    ✓ Resposta:

    Porque comprometer o domínio raramente é um único exploit; é uma cadeia de passos, cada um explorando uma permissão, sessão ou configuração, que encadeados levam do acesso inicial ao DC. O AD acumula ao longo dos anos relações (permissões esquecidas, grupos aninhados, contas de serviço privilegiadas) que formam esses caminhos.

  5. Como o BloodHound pode ser usado defensivamente, e por que isso tem tanto impacto?

    ✓ Resposta:

    Usa-se o BloodHound para mapear os próprios caminhos de ataque e então eliminá-los — removendo permissões excessivas e quebrando as cadeias que levam ao DC. Tem grande impacto porque ataca a raiz (as relações de permissão exploráveis), fechando proativamente os caminhos que o atacante procuraria.