Há um tempo, estava lendo um artigo da Microsoft em que se falava de Segurança no Active Directory. No caso, foi abordado as principais entradas em que os invasores procuram para comprometer o AD. Foi daí que foi levantado os usuários VIPs. Gostei tanto dessa discussão que resolvi escrever sobre o assunto.
Em uma rede, tanto baseada em domínio como Workgroup, temos que estar de olhos nas contas do usuários para uma maior segurança. E diferente de muitos, em que pensam que os invasores só estão de olhos em usuários que estão nos mais altos grupos de privilégios: administradores do domínio, empresa e esquema, eles também procuram outras formas de comprometer nosso AD e uma das portas de entrada é pelos usuários VIPs. Mas que são estes usuários? O que eles podem fazer? Como através deles meu AD pode ser comprometido?
Os usuários VIPs, não são necessariamente, usuários em que estão em grupos com altos níveis de permissões do AD: Help Desk, administradores do domínio, empresa, esquema.. mas sim, são usuários que possuem posições importantes na empresa, por exemplo: Diretores, Executivos, Juristas, Engenheiros e por aí vai. São usuários que dentro do contexto, tem acesso a documentações importantes da empresa que em mãos erradas podem causar sérios transtornos. Mas como através deles meu AD pode ser comprometido? Através dos usuários VIPs, os invasores podem ter acesso a essas informações sigilosas e buscarem métodos como Engenharia Social para buscar uma forma de comprometer a empresa. Além do mais, muitos destes usuários considerados VIPs tem acesso à toda documentação da T.I., uma porta aberta para o invasor ter acesso ao coração do domínio, o Active Directory.
Algumas boas práticas para tentar o máximo deter este tipo de ataque são monitorar estes usuários, através dos Logs, procurar sempre deixar as estações do domínio atualizadas com antivírus atualizado, sem softwares desatualizados e sem uso e não esquecer nunca de propagar para os funcionários boas práticas de segurança.