Comecemos por uma pequena lição de história... Em 2014, surgiu uma série de artigos que apelavam ao desmantelamento e ao fim do Active Directory (AD) por várias razões. Avançando para 2018, apelámos ao seu fim, ou simplesmente para que as empresas pegassem nos seus servidores AD, os atirassem do penhasco e aderissem à tendência da nuvem, com serviços de diretório geridos e identidade como serviço...
Hoje em dia, se ouvirmos alguns dos fornecedores de soluções de identidade que existem por aí, eles explicam que o AD já tem 20 anos e precisa de ser aposentado e transformado em cola em bastão, porque eles são capazes de tratar de tudo. E, francamente, quem é que precisa de lidar com impressoras partilhadas e todas essas minúcias no escritório? Não há problema, a nuvem trata disso e, o que quer que falte, eles tratam disso, OU então não é nada de especial.
Hmmm, uma verificação da realidade, por favor.
Em primeiro lugar, sim, o Active Directory já existe há cerca de 20 anos e evoluiu, amadureceu e tornou-se multifacetado, para poder lidar com muitas das complexidades modernas que lhe temos imposto. Não é perfeito, tal como nada mais que exista, mas é capaz de funcionar como parte de uma solução híbrida para gerir muitas dessas aplicações relacionadas com a nuvem que todos nós utilizamos.
Em segundo lugar, quem pensa que recursos como as impressoras «se tratam sozinhas» precisa de ir ao médico. Como hacker, as impressoras são um dos meus locais preferidos para passar o tempo, analisar o panorama, observar o escritório, recolher, reunir e extrair dados... são fantásticas. Ninguém gosta de instalar antivírus nelas, aplicar patches ou sequer adicioná-las a quaisquer regras de restrição de rede, porque são um verdadeiro pé na bunda de gerir… o que significa que são como um lugar na primeira fila da ópera para qualquer pessoa com mentalidade de ataque.
Em terceiro lugar, só quem está completamente louco é que pensa que aquilo que tem hoje pode ser retirado e entregue a uma organização de gestão de identidades. Sim, muito do que fazem é excelente e complementa parte da arquitetura do AD. Acrescenta uma camada e fornece mecanismos de autenticação adicionais que o AD simplesmente não possui. Mas, com toda a certeza, NÃO vai gerir todos os seus sistemas, arquiteturas, partilhas, ambientes e nuances dentro da sua empresa.
O que nos leva diretamente à secção «PORQUÊ»...
Conforme referido acima no terceiro ponto, o Active Directory é complexo e vasto. Tem mais tentáculos enraizados na vossa empresa do que o Cthulhu num dia em que está no seu melhor – o que significa que apresenta vulnerabilidades e desafios. Algumas destas questões devem-se à forma como o AD está configurado, outras à gestão e à forma como evoluiu, e outras simplesmente porque administrar o AD (refiro-me a administrá-lo a sério) é uma arte negra conhecida apenas por algumas pessoas competentes... a maioria das quais enlouqueceu ao longo dos anos.
Tudo isto faz com que o AD seja um alvo privilegiado para qualquer adversário que pretenda invadir o seu ambiente. Uma análise rápida de várias bases de dados de vulnerabilidades revela que o AD tem tantas que precisaríamos de um grupo de amigos a contar com os dedos das mãos e dos pés para somar todas as formas de o invadir ou explorar. E o pobre LDAP tem tantos problemas que tem vindo a consultar um terapeuta quase semanalmente desde que surgiu (quase 600 formas de utilizar o LDAP para invadir sistemas... e a contagem continua).
Portanto, parabéns: no centro da vossa empresa está uma solução tecnológica fantástica que gere todos os vossos ativos, utilizadores, sistemas, políticas, perfis e direitos... mas que é tão cheia de falhas como um crivo e tão vulnerável como um potro de um dia.
O que é que fazes? Rodeias tudo com uma infinidade de siglas destinadas a proteger e servir, mas, como adversário, vou conseguir entrar na mesma. Bolas, em média, já estou lá dentro. Provavelmente estou sentado naquela impressora, e já lá estou há vários meses só a observar... e tu nem sequer sabias que eu estava aqui. Já tivemos esta conversa antes, mas vou lembrar-te. Não consegues manter-me de fora, nem por sombras; nada do que compres, nada a que te inscrevas ou em que invistas vai impedir-me de chegar à primeira base na tua rede (ou dentro dela). O desafio é: o que fazes a seguir?
SE tiver a filosofia de «partir do princípio de que houve uma violação», então já terá algumas considerações a ter em conta. Já terá realizado exercícios de simulação. Conhecerá os seus problemas e desafios. Terá várias tecnologias implementadas para lhe proporcionar alertas mais proativos e preventivos, e é aí que entra a equipa da Semperis. E é também essa a razão pela qual estou a colaborar com eles e a ajudá-los a compreender um pouco melhor. (Eles já têm imensa informação sobre como o adversário atua... Estou aqui apenas para as coisas realmente mais dissimuladas...)
Adotando uma abordagem proativa... que tal pegar no conceito de uma ferramenta de monitorização da saúde, segurança e proteção do AD... levá-la ao máximo e disponibilizá-la gratuitamente à comunidade? Sim, vai ser algo que vai sair em breve para os investigadores e os geeks.
Adotando uma abordagem de auditoria... que tal analisarmos os desafios do AD, mapearmos os vetores de ataque para o quadro MITRE ATT&CK e, em seguida, ajudarmos a compreender como mitigamos esses problemas? Sim, isso vai ser lançado em breve e deverá deixar tanto a equipa de auditoria como a de gestão satisfeitas.
Pensando no pior cenário possível... quando fores mesmo alvo de um ataque, que tal definirmos um processo de recuperação para que possas dedicar o teu tempo a recuperar a normalidade, em vez de pagares resgates a pessoas anónimas na Internet? Sim, já tratámos disso... isso vai deixar os geeks E os responsáveis pelos seguros satisfeitos.
Já percebeu a ideia. A equipa aqui está a adotar uma abordagem proativa. Estão a estabelecer contacto com a comunidade para criar um centro de investigação que promova a partilha de conhecimentos e a trazer um espírito de colaboração tão necessário às conversas.
Daí a lógica de estar com eles: eles preocupam-se.
«Por agora é tudo»
Chris
