Recuperação de AD em caso de Ataques Ransomware

Question

Tenho dois ADs, no ambiente Azure, sendo um no brasil e outro South Central US, o ambiente é pequeno, mas preciso montar um laboratorio para recuperar o AD em caso de um ransomware, para PCN, então atualmente eu faço backup do AD principal (backup no Azure de VM), e configurei um backup do system state que vai para um fileshare em um blob no azure, criei uma rede isolada, para fazer um teste, mas não tive muto sucesso depois de voltar o restore do AD que está com as FSMOS, a VM subiu mas o AD apresentou falhas, não conseguia criar usuários e nem colocar maquinas ao dominio, queria saber se alguem já passou por isso e como montou esse ambiente isolado. Também fiz um teste, voltando o backup da VM que não tem FSMOs, e nele forcei receber as FSMos, como se estivesse perdido o AD principal e tive que ajustar o DFS para ser o autoritativo. Sei que o AD não contempla retorno no tempo, por isso estou  tentando planejar esse ambiente mas que ele fique totalmente funcional. Alguém teria uma ideia de como montar ?

Answer 1

Olá

Bem vindo à Comunidade Microsoft Azure

Tudo bem, ? Sua iniciativa de testar a recuperação do Active Directory (AD) em ambiente isolado é uma prática recomendada para atender aos requisitos de continuidade de negócios (PCN) e cenários de ransomware. Para que o processo funcione corretamente, é importante observar alguns pontos-chave:

1. Backups consistentes do AD
   • Utilize soluções compatíveis com bare-metal recovery e system state, como o Azure Backup ou ferramentas de parceiros certificadas.
     • Sempre garanta que o backup seja realizado com o AD desligado de forma consistente ou com suporte a VSS para evitar corrupção de dados.
     1. Recuperação em ambiente isolado
        • Ao restaurar a VM com FSMO roles, execute a inicialização em Directory Services Restore Mode (DSRM) e utilize o NTDSUTIL para definir se a restauração será autoritativa ou não, dependendo do cenário.
          • Verifique as zonas de rede/DNS do laboratório para evitar conflitos com o ambiente produtivo.
          1. FSMO e replicação
             • Se a VM restaurada perde as FSMO, use ntdsutil para transferi-las ou apreendê-las corretamente (Transfer or seize FSMO roles).
               • Ajuste o DFS/FRS/DFSR para autoritativo quando necessário (DFSR Authoritative Restore).
               1. Boas práticas de laboratório
                  • Use uma rede totalmente isolada ou um vNet separado no Azure, sem roteamento para o ambiente produtivo.
                    • Considere o uso de snapshots para agilizar novos testes.
                      • Documente todas as dependências do AD (DNS, DHCP, certificados) para garantir que tudo esteja restaurado.

A Microsoft também mantém uma referência completa para recuperação de floresta do Active Directory, com roteiros validados para diferentes cenários de desastre.

Se o problema persistir mesmo seguindo as práticas acima, é recomendável abrir um chamado no Suporte Microsoft para análise detalhada do seu ambiente.