O Active Directory (AD) é o principal armazenamento de identidade para muitas organizações. Como tal, o AD também se tornou um alvo importante para os maus actores. Se os atacantes obtiverem acesso ao AD, obtêm acesso a todos os recursos da organização. Num cenário híbrido local/nuvem, que é comum actualmente, isso inclui o acesso aos recursos da nuvem da organização. No entanto, muitas das recomendações originais de segurança e arquitectura do AD são inadequadas para satisfazer as necessidades da empresa moderna. Claramente, a modernização do AD é fundamental para uma postura de segurança sólida.
Modernização do AD versus equívocos, configurações incorrectas
Quando o AD foi introduzido pela primeira vez, há mais de duas décadas, a concepção dos domínios do AD foi fortemente influenciada por limitações de largura de banda e preocupações com a replicação. Estas restrições, combinadas com limites de objectos e desafios de migração de domínios antigos do Windows NT 4, resultaram na adopção de vários domínios numa concepção de floresta.
Na altura, um equívoco de segurança comum era que um domínio deveria ser o limite de segurança para unidades independentes dentro da organização. No início da minha carreira, por exemplo, trabalhei para uma instituição financeira que seguia estas boas práticas e tinha mais de uma dúzia de domínios AD na sua floresta principal.
Esta ideia errada deu origem a uma falsa sensação de segurança, porque qualquer domínio comprometido neste cenário conduziria a um ambiente totalmente comprometido.
Avançámos 20 anos. Actualmente, sabemos que os domínios não são um limite de segurança. De facto, vários domínios criam desafios de gestão que, por sua vez, apresentam exposições de segurança desnecessárias.
Modernização de AD versus dívida técnica acumulada
Outra grande exposição de segurança envolve a gestão de ambientes multi-florestais. Muitas organizações acumularam esses ambientes ao longo dos anos, muitas vezes através de fusões e aquisições.
Tal como acontece com muitos sistemas, a acumulação de dívidas técnicas é comum. Mas a sensibilidade do AD torna o risco de segurança associado muito mais elevado.
Os ambientes com várias florestas criam vários desafios de gestão e segurança para as equipas de TI e de gestão de identidades. Por exemplo, considere as relações de confiança que são definidas entre várias florestas. Se a floresta menos segura for violada, ela pode ser usada como uma cabeça de ponte para ambientes mais sensíveis.
Uma resolução mais segura: Consolidação do AD
A maior melhoria de segurança pode ser alcançada através do agrupamento do maior número possível de florestas numa única floresta. Esta consolidação não só tem um impacto positivo na postura de segurança da organização, como também reduz frequentemente os custos totais de gestão, eliminando o ambiente multi-floresta mais complexo e distribuído.
Naturalmente, esta consolidação requer um planeamento cuidadoso, tendo em consideração o impacto nas aplicações, nos princípios de segurança, etc. As organizações também devem considerar a sensibilidade dos diferentes ambientes. A melhor prática é separar os ambientes de acordo com o nível de sensibilidade. Por exemplo, separe o seu ambiente de desenvolvimento/teste da produção.
Os ambientes florestais AD modernos também devem dividir os domínios em unidades organizacionais (OUs), se for necessária uma gestão independente, ou em grupos, se não houver necessidade de unidades independentes. Esta configuração permite que a organização reduza o número de domínios que precisam de ser geridos.
Uma vez consolidados os ambientes, a organização pode utilizar uma localização para impor as suas políticas de segurança através de objectos de Política de Grupo (GPOs) da Microsoft, Intune, System Center Configuration Manager (SCCM) ou outros meios. Também é possível consolidar a gestão de permissões e todos os outros aspectos de um ambiente de identidade devidamente protegido.
Por onde começar a migração segura do AD
Ao abordar a tarefa crítica da modernização do AD, tenha em mente a segurança. O seu objectivo é um ambiente mais seguro e mais fácil de gerir. Mas também deve garantir que o próprio processo de migração é seguro. A migração é um momento delicado; evitar exposições de segurança é fundamental.
Comece por analisar e avaliar a maturidade da segurança dos ambientes que planeia combinar. Continue esse processo como parte do seu plano de migração para que não introduza novos pontos fracos na postura de segurança à medida que migra para novos domínios.
Pode utilizar ferramentas gratuitas de avaliação da segurança do AD, como Purple Knight e Forest Druid para estas avaliações iniciais. Se o seu ambiente exigir uma atenção mais profunda, considere a possibilidade de recorrer a uma equipa externa de cibersegurança para obter assistência.
Tenha também em consideração as suas ferramentas de migração, especialmente em ambientes maiores. Dê prioridade a ferramentas que sejam fáceis de utilizar; a complexidade cria potenciais exposições de segurança. Procure ferramentas que evitem exposições adicionais nos seus sistemas de identidade (por exemplo, bases de dados sensíveis), que podem ser objecto de abusos. Uma ferramenta simples e segura como o Semperis Migrator for AD atende a esses requisitos.
Saiba mais sobre a segurança e migração do AD
Pode obter mais informações sobre as ferramentas de segurança e migração do AD mencionadas anteriormente nas seguintes hiperligações:
