Deve atualizar a sua floresta do AD existente para o Active Directory do Windows Server 2016 (também conhecido como AD 2016) ou deve mantê-la como está? Apesar do foco e da atividade em torno da adoção de serviços na nuvem atualmente, a verdade é que o Active Directory continua a ser a base de tudo. Para além do seu domínio de longa data como fonte de identidade no local, a grande maioria das organizações de média e grande dimensão em todo o mundo utiliza um modelo de identidade híbrido, baseado no AD, para os seus serviços na nuvem. Por isso, esta é uma questão importante.
Uma das principais razões pelas quais os departamentos de TI ainda não atualizaram o seu ambiente AD para o Windows Server 2016 a partir de sistemas operativos em fase de suporte intermédio, como o Windows Server 2012 ou R2, é o facto de considerarem que não existe uma «funcionalidade estrela» clara e convincente, como a Cesta de Reciclagem do AD, que justifique a atualização. Se é um desses casos, deve analisar atentamente o Windows Server 2016.
Vamos recorrer a cenários – exemplos empresariais e técnicos de ambientes e necessidades que também poderá ter – para analisar as principais melhorias de segurança do Active Directory e do sistema operativo do Windows Server desde a versão 2008 R2. Algum destes cenários corresponde à sua organização?
Se virtualizar os seus DCs
A virtualização já é uma prática generalizada há muitos anos, mas a virtualização de controladores de domínio (DCs) tem ficado frequentemente para trás em relação a outras cargas de trabalho, por duas boas razões: integridade e segurança. Se já virtualizou alguns ou todos os seus controladores de domínio, existem melhorias significativas em termos de integridade e segurança, tanto no sistema operativo Windows Server 2016 como no AD, das quais deve tirar partido imediatamente.
Um dos problemas da virtualização de uma aplicação como o AD, que mantém um registo do seu estado, é que, se for restaurada a partir de um instantâneo da máquina virtual (VM) tirado anteriormente, o DC restaurado não se apercebe de que está desincronizado com os outros DCs. Esta situação pode causar graves erros de divergência no seu domínio ou floresta. O Windows Server 2012 introduziu uma funcionalidade tanto no AD como no Hyper-V, o VM-GenID, que, essencialmente, informa o AD de que foi restaurado a partir de um instantâneo e que deve tomar as medidas adequadas para se proteger.
Ao ser alertado sobre a restauração a partir de um instantâneo, o DC descarta o seu conjunto de RIDs e reinicia o ID de invocação (o número da versão da base de dados do AD) para evitar problemas de divergência. (No entanto, continua a não ser uma boa ideia restaurar regularmente os DCs a partir de instantâneos.) A VMware, o Xen e outros fornecedores de virtualização também adotaram este método, pelo que os seus DCs não têm necessariamente de estar no Hyper-V.
Se os seus controladores de domínio (DCs) estiverem na versão Windows Server 2012 ou 2012 R2 e ainda não os tiver virtualizado devido a preocupações de segurança relacionadas com os servidores anfitriões, o Windows Server 2016 tem uma funcionalidade importante para si. O sistema operativo mais recente resolve um problema de segurança fundamental em qualquer máquina virtual (VM): qualquer pessoa com direitos de administrador na máquina anfitriã pode simplesmente copiar os ficheiros da VM para fora do anfitrião e alterá-los à vontade. Um DC é um alvo privilegiado para este tipo de ataque, uma vez que, naturalmente, contém os IDs de utilizador e as palavras-passe de todos os colaboradores da empresa. A funcionalidade «Shielded VMs» protege as máquinas virtuais contra administradores comprometidos ou mal-intencionados, tais como administradores de armazenamento, administradores de cópias de segurança, etc., encriptando o disco e o estado das máquinas virtuais, de modo a que apenas os administradores da máquina virtual ou do inquilino possam aceder aos mesmos.
Apoiar os seus clientes num mundo híbrido
É claro que uma organização não se resume apenas aos seus servidores. Os clientes com os quais os utilizadores interagem também são importantes. Tradicionalmente, o departamento de TI só tinha de se preocupar com os clientes Windows integrados no domínio, mas hoje em dia os utilizadores empresariais têm uma grande variedade de opções à escolha. Ao longo de várias versões, o AD adaptou-se para lidar com esta variedade mais ampla.
Se a sua organização está a adotar a «transformação digital» dos serviços na nuvem — em particular o Azure Active Directory com clientes Windows 10 —, há um cenário em que é necessário analisar mais detalhadamente o AD 2016. Em primeiro lugar, um pouco de contexto sobre o suporte a dispositivos no AD ajudará a compreender o cenário.
Historicamente, o Active Directory tem suportado dispositivos Windows ligados ao domínio. A partir do Windows Server 2012 R2, o AD também permitiu que um utilizador efectuasse um registo (pode pensar nisso como uma associação ligeira) de um dispositivo móvel, como um smartphone. Esta capacidade de associação ao local de trabalho confere ao dispositivo uma presença no AD e associa-o a um utilizador. Esta associação confere ao dispositivo um grau de confiança superior ao de um dispositivo desconhecido, pelo que lhe pode ser concedido um início de sessão único e acesso a recursos de rede mais seguros.
O irmão mais novo e robusto do AD na nuvem – o Azure AD – também suporta estes dois tipos de dispositivos. É possível associá-los diretamente ao serviço na nuvem utilizando a associação ao Azure AD para dispositivos Windows 10 e o registo no Intune para dispositivos iOS, Android e Mac OS. Esta arquitetura confusa torna-se ainda mais confusa num ambiente híbrido com clientes Windows 7 e 8 locais; o Azure AD pode ser informado da existência destes através de uma associação híbrida ao Azure AD, necessária para aplicar políticas de acesso condicional específicas para cada dispositivo.
Está a considerar utilizar o Windows Hello for Business para proporcionar uma autenticação segura para além das palavras-passe? Por predefinição, o Hello permite-lhe desbloquear o seu dispositivo Windows 10 utilizando dados biométricos ou um PIN. O Hello for Business é uma estrutura de autenticação multifator (MFA) mais abrangente que utiliza chaves assimétricas (armazenadas no módulo de segurança do dispositivo) para autenticar o utilizador. Existe um cenário de MFA num ambiente híbrido de Active Directory local e Azure AD em que são necessários tanto o AD 2016 como o AD FS 2016. Falarei sobre as razões para considerar a atualização para o AD FS 2016 numa futura publicação no blogue.
Melhor segurança
Independentemente das melhorias no AD, há vantagens em termos de segurança que irá obter ao atualizar para o sistema operativo subjacente, o Windows Server 2016. Se, por acaso, ainda estiver a utilizar o 2008 R2, ao atualizar irá dispor de uma interface de utilizador para a Lixeira do AD, o que torna a sua utilização muito mais fácil. Também poderá começar a colmatar uma falha de segurança de longa data: palavras-passe antigas e imutáveis nas suas contas de serviço. As contas de serviço geridas por grupo (gMSAs) atualizam automaticamente a palavra-passe nessas contas por si, mesmo que sejam utilizadas num cluster.
Se já estiver a utilizar o 2012 R2, o Windows Server 2016 apresenta algumas melhorias de segurança que deve ter em conta. O Credential Guard e o Remote Guard do Windows Defender protegem as credenciais NTLM e Kerberos no AD, impedindo que sejam recolhidas por atacantes e utilizadas em ataques do tipo «pass-the-hash». O Windows Defender Application Control protege a integridade do sistema operativo de base, permitindo apenas a execução de determinadas aplicações (também conhecido como «lista branca») – uma excelente medida de segurança para um servidor que execute uma carga de trabalho dedicada, como o AD.
Gestão de Acesso Privilegiado para AD
Se tiver a orientação de restringir rigorosamente o acesso às suas contas administrativas do AD, o AD 2016 introduz também a Gestão de Acesso Privilegiado (PAM). Em conjunto com umaimplementação dedicadado MIM, a PAM consiste numa floresta «vermelha» especial e altamente segura que se cria para controlar os grupos administrativos de uma floresta do AD de destino.
O AD 2016 inclui atualizações nos grupos de segurança, denominadas «entidades-sombra», que permitem que os grupos de administradores da floresta de destino sejam «replicados» para a floresta vermelha através de uma nova forma de relação de confiança entre florestas. Quando uma conta de administrador na floresta vermelha é adicionada a um grupo de administradores «sombra» nessa floresta, essa conta obtém o mesmo SID que o grupo de administradores e, consequentemente, os mesmos direitos. Com esta funcionalidade implementada, as contas administrativas são removidas da floresta de destino e passam a existir apenas na floresta vermelha protegida.
O AD 2016 também tem actualizações para o protocolo Kerberos que permitem que a associação a grupos (armazenada no campo PAC do bilhete Kerberos) seja limitada no tempo. Quando combinados com os shadow principals e o fluxo de trabalho de pedido de acesso incorporado no MIM, os administradores podem pedir e receber direitos de administrador (através da associação a grupos) durante um período de tempo especificado. Quando o tempo expira, estes direitos são automaticamente revogados.
Razões para ficar onde está
Sinceramente, não há muitas razões para permanecer num nível AD baixo.
Se tiver uma floresta de teste numa rede isolada, a funcionar em controladores de domínio físicos, que não suporta dispositivos cliente, talvez possa adiar um pouco.
Talvez o orçamento seja um problema neste momento. A sua gestão precisa de ver o panorama geral: a maioria das empresas tem muito menos de cinquenta DCs. O custo do licenciamento, da actualização e da implementação de novas capacidades nestes servidores é trivial quando comparado com o custo de uma violação resultante da obtenção de credenciais de domínio de versões mais antigas do AD.
A compatibilidade do AD com aplicações muito antigas, ou com software cliente incorporado mais antigo que funcione em hardware muito dispendioso, como equipamento de fabrico informatizado, pode ser uma questão mais complicada. Mas o 2008 R2 não será viável por muito mais tempo: o fim do suporte (com o SP1 aplicado, note-se) ocorre a14 de janeiro de 2020. Faltam apenas um ano e quatro meses. O fim do suporte significa que a Microsoft deixará de fornecer atualizações de segurança – um serviço essencial no mundo atual de vulnerabilidades e patches, que se assemelha a um jogo do gato e do rato. As florestas do 2012 e do 2012 R2 têm mais tempo: 10 de outubro de 2023. (Note-se que tanto o 2012 como o R2 têm a mesma data de fim de suporte.)
Recomendações
As minhas recomendações são:
- Se os seus DCs estiverem a executar o 2008 R2, independentemente dos cenários acima referidos, deve planear as suas actualizações e efectuar imediatamente testes de compatibilidade de aplicações.
- Para os utilizadores do 2012 ou do 2012 R2, as melhorias na virtualização e na segurança de base do sistema operativo justificam uma atualização. Também será aconselhável colaborar com as equipas de engenharia de servidores e de segurança, na qualidade de parte interessada, para impulsionar a implementação das melhorias de segurança do 2016 na imagem de compilação da plataforma padronizada. Os problemas de compatibilidade das aplicações deverão ser mínimos.
- A menos que se enquadre no cenário híbrido específico do Hello for Business, as melhorias na gestão de dispositivos não constituirão um forte incentivo para a adoção do AD 2016.
Quando se analisa atentamente a opção de atualizar para o AD 2016 em comparação com manter o sistema atual, para além da compatibilidade das aplicações, não há realmente boas razões para não atualizar. Provavelmente, a principal razão para não atualizar é a complacência: o sistema está a funcionar bem tal como está. No entanto, as melhorias de segurança, tanto no sistema operativo de base como no AD, irão reforçar significativamente a proteção da sua organização contra atacantes. E isso significa que deve começar a planear as suas atualizações já hoje.
