Existem muitas perguntas na Internet sobre qual o software que deve ser instalado num controlador de domínio (DC). Que funções devem ser implementadas? Que aplicações são necessárias? Para responder a estas perguntas, é necessário considerar, em primeiro lugar, quais as funções que um DC deve desempenhar .
Que funções do Windows Server deve executar num DC?
Em última análise, um controlador de domínio deve ter apenas um objetivo: controlar um domínio. Este aloja os Serviços de Domínio do Active Directory (ADDS) e, normalmente, o Sistema de Nomes de Domínio (DNS). É realmente tudo o que precisa.
Quaisquer funções de servidor para além dessas devem estar em servidores separados. Uma vez que os DCs alojam o Active Directory, albergam as chaves do reino. Os DCs são, normalmente, as joias da coroa do seu ambiente de identidade e devem ser protegidos a todo o custo.
Aqui na Semperis, acreditamos que os centros de dados devem ser reduzidos ao mínimo indispensável. Dessa forma, se algo acontecer a um centro de dados, basta criar outro para o substituir. Eis a regra geral no que diz respeito aos centros de dados: utilize sempre o mesmo sistema operativo de base, os mesmos níveis de correções, o mesmo software e as mesmas funções.
Que software deve instalar num DC?
E quanto ao software instalado nos vossos servidores de domínio? Este tema é um pouco mais complexo e depende, na verdade, dos requisitos de segurança da vossa organização.
Lembre-se de que um DC deve ser facilmente substituível. No mínimo (do ponto de vista da segurança), deve utilizar software antivírus e uma solução EDR ou XDR. Estas podem estar integradas no sistema operativo (por exemplo, o Microsoft Defender) ou pode utilizar uma ferramenta de terceiros. Além disso, poderá querer algo para recolher registos. Isso é o máximo que recomendamos.
Cada programa de software implementado num centro de dados representa mais uma via de ataque. Isto é especialmente verdadeiro no caso de qualquer programa que exija a instalação de um agente (de IA ou de outro tipo). Um agente pode permitir o comando e controlo diretos de qualquer sistema em que esteja instalado.
É por isso que, durante qualquer projeto de Análise Forense de Identidades e Resposta a Incidentes (IFIR), a Semperis configura os centros de dados com uma instalação mínima. Só depois de a situação se estabilizar é que permitimos que os clientes comecem a implementar software adicional… desde que aceitem o risco que isso implica.
O que é que poderia correr mal?
Infelizmente, muitos ambientes não seguem estas diretrizes, implementando, em vez disso, funções adicionais e todo o tipo de software (navegadores, aplicações, partilhas de ficheiros, etc.) nos seus controladores de domínio. Esta abordagem não só aumenta a complexidade em situações de recuperação, como também amplia a superfície de ataque dos seus controladores de domínio. A última coisa que se quer é dar a um agente malicioso mais formas de comprometer o Nível 0.
Eis um exemplo. Suponhamos que alguém decida que seria uma boa ideia instalar o Google Chrome num controlador de domínio para poder navegar na Internet. Essa pessoa vai ainda mais longe e instala algumas extensões do Chrome… mas uma dessas extensões tem código C2 incorporado que permite a um agente malicioso entrar diretamente e assumir o controlo do controlador de domínio. A partir daí, o atacante pode simplesmente copiar e extrair o ficheiro NTDS.DIT, deixando ao agente malicioso todo o tempo do mundo para descodificar todas as contas de utilizador e palavras-passe.
Outro exemplo: a vossa organização está a tentar manter-se a par das novidades em matéria de agentes de IA, mas a IA de agente que escolheram ainda não foi totalmente testada. Ainda assim, alguém concede acesso de agente a uma conta com privilégios excessivos. E, sendo a IA a ferramenta prestável que é, quando um atacante tenta manipulá-la para obter informações ou acesso a partir dessa conta, a IA cede de bom grado. Escusado será dizer que a situação descamba completamente. Já começamos a observar este problema em ambientes reais.
Conclusão: Proteja os seus controladores de domínio
Resumindo: precisa do ADDS e do DNS (juntamente com as respetivas ferramentas de gestão) nos seus controladores de domínio. É tudo. Implemente funções como o DHCP, o servidor de ficheiros e quaisquer outras em servidores separados.
Basta manter as coisas o mais simples possível no que diz respeito aos controladores de domínio e, automaticamente, irá melhorar a sua postura de segurança em matéria de identidade.
Mais recursos para a segurança de DC e a defesa da identidade
