Modelo de camada para Active Directory Domain Services

O modelo de camada Active Directory Domain Services (AD DS) é uma arquitetura de segurança que separa identidades administrativas, estações de trabalho e ativos gerenciados em camadas de confiança. Ele impede que cibercriminosos que comprometam o dispositivo de um usuário final roubem credenciais com privilégios mais elevados e escalem até o plano de controle de identidade. Essa abordagem de estratificação lógica baseia-se em privilégios de identidade, em vez de segmentação física da rede, embora as duas abordagens sejam complementares.

Este artigo explica como o modelo de camada agrupa ativos na Camada 0, Camada 1 e Camada 2, como as PAWs (estações de trabalho de acesso privilegiado) impõem limites de camada e como adotar o modelo em seu ambiente.

Como o modelo de camada se encaixa com o modelo do Enterprise Access

O modelo aplica princípios de segurança focados em integridade semelhantes ao modelo biba: sistemas de menor confiança não devem influenciar sistemas de confiança mais alta. A mesma abordagem de migração recomendada pelos documentos técnicos Mitigating Pass-the-Hash (PtH) Attacks (v1 e v2) reforça esta abordagem. Esses documentos formalizam o risco de roubo de credenciais e movimentação lateral em Active Directory e informam o design de administração em camadas, PAWs e controles de isolamento de credenciais.

O EAM (Enterprise Access Model) fornece uma estrutura mais ampla para proteger o acesso entre sistemas locais, várias nuvens, acesso do usuário e caminhos de acesso ao aplicativo. O modelo de camada do AD DS é um componente do EAM como um método chave para evitar o escalonamento de privilégios não autorizados e impor hierarquia administrativa para o AD DS e dependências intimamente relacionadas.

Para baixar o modelo e examinar as diretrizes de implantação, consulte o repositório de modelo de camada Active Directory e o site de documentação de implantação.

O diagrama mostra dois planos horizontais. O plano de acesso com privilégios superiores contém dispositivos e estações de trabalho, uma conta, intermediários e uma interface que alcançam uma zona sombreada de sistemas de identidade e ativos comercialmente críticos entre locais, nuvem, OT e IoT. O plano de acesso do usuário inferior contém os mesmos quatro elementos para o trabalho diário. Setas tracejadas marcam os caminhos de elevação autorizados do plano de acesso do usuário até o plano de acesso privilegiado. Ícones de aviso vermelho e símbolos de proibição bloqueiam caminhos não autorizados de dispositivos de usuário para sistemas de identidade, de contas de usuário a intermediários privilegiados e de interfaces de usuário a sistemas comercialmente críticos. Um destaque intitulado Proteção de Ativos engloba todo o modelo, listando atualizações de segurança, DevSecOps e proteção de dados em repouso e em trânsito. Uma legenda abaixo diz "Abordagem completa de ponta a ponta necessária para uma segurança significativa".

Limites de confiança para administração em camadas

O modelo em camadas do AD DS pressupõe que os agentes de ataques cibernéticos costumam visar dispositivos de usuário final que têm acesso à Internet, e-mail e outros canais de comunicação. Os ciberatacantes frequentemente comprometem ou recorrem à engenharia social para obter acesso a esses endpoints. Depois que um ciberataque rouba credenciais, eles seguem uma cadeia de ataque cibernético: infiltração, reconhecimento, movimentação lateral, persistência, acesso a dados e exfiltração.

O modelo de camada do AD DS impede essa cadeia de eliminação, garantindo que os administradores nunca usem credenciais de camada superior em sistemas de camada inferior, seja dentro ou fora da estrutura da UO (unidade organizacional) do modelo de camada.

Recursos de camada 0, camada 1 e camada 2 no modelo de camada do AD DS

O modelo de camada do AD DS agrupa identidades, sistemas e aplicativos em três camadas com base em seu escopo de controle sobre o ambiente. A tabela a seguir resume o escopo, os ativos de exemplo e a PAW (estação de trabalho de acesso privilegiado) necessária para cada camada.

Tier	Scope	Ativos de exemplo	Tráfego do PAW
Nível 0	Plano de controle de identidade	Controladores de domínio, AD FS, AD CS, Microsoft Entra Connect, contas de administrador de camada 0 e grupos	PAW da camada 0
Nível 1	Aplicativos e servidores empresariais	servidores membro, Exchange Server, Servidor do SharePoint, SQL Server, aplicativos de linha de negócios (LOB), contas de administrador de servidores	PAW da camada 1
Nível 2	Contas e dispositivos de usuário final	Estações de trabalho do usuário final, contas de administrador de suporte técnico, funções de administrador de conta de usuário final	PAW de Nível 2

O diagrama mostra três camadas empilhadas. A camada 0, Administradores de Domínio e Empresa, tem o mais alto nível de privilégio e controle administrativo sobre todo o ambiente por meio da capacidade de gerenciar identidades e permissões em toda a empresa. Ele abrange controladores de domínio, sistemas que operam ou gerenciam controladores de domínio e contas que acessam ou administram qualquer um desses sistemas. A camada 1, Administradores do Servidor, tem controle administrativo sobre recursos empresariais que atendem a muitos usuários ou contêm aplicativos e dados críticos aos negócios, mas não podem controlar os recursos da Camada 0. Ele abrange servidores membros e seus administradores, administradores de aplicativos empresariais e administradores de serviços de nuvem. A camada 2, a estação de trabalho e os administradores de dispositivos têm privilégios administrativos apenas em contas de usuário padrão e dispositivos de usuário único e não podem controlar os recursos da Camada 1 ou da Camada 0. Ele aborda o suporte de assistência técnica, o suporte ao dispositivo e as funções de suporte ao usuário.

Princípios de projeto do modelo em camadas

Aplique esses princípios quando você decidir se um ativo, uma conta ou uma solução pertence a uma camada específica:

• Menor privilégio em cada camada. Mesmo na Camada 0, nem todas as contas precisam de direitos de Administradores de Domínio. Restrinja as permissões ao mínimo necessário para cada função.
• Não há credenciais compartilhadas entre as camadas. Uma conta, conta de serviço ou grupo deve operar em uma única camada. Reutilizar credenciais entre camadas derruba a fronteira de confiança.
• Nenhuma carga de trabalho de linha de negócios na Camada 0. Servidores de aplicativos, aplicativos empresariais e cargas de trabalho de uso geral pertencem à Camada 1, mesmo quando um administrador do AD os possui.
• Separação de tarefas. Mantenha operadores, aprovadores e auditores como funções distintas, especialmente na Camada 0. Evite concentrar todas as funções privilegiadas em uma única equipe.
• A contenção, não o perímetro, é o limite. A segmentação de rede dá suporte ao modelo, mas não o substitui. A credencial e o teclado definem a camada, não o endereço IP.

Antipadrões comuns a serem evitados

Esses padrões aparecem frequentemente quando as equipes adotam o modelo de camada do AD DS. Cada padrão compromete as proteções que o modelo foi concebido para oferecer:

• Consolidação de tudo na Camada 0. Tratar toda a infraestrutura ou cada servidor como Camada 0 dilui a Camada 0 e aumenta a superfície de ataque do plano de controle de identidade.
• Trabalho diário com administradores de domínio. Os administradores que usam contas equivalentes a Administradores de Domínio para tarefas rotineiras expõem as credenciais de privilégio mais alto para estações de trabalho de camada inferior.
• Agentes de monitoramento, de backup ou de EDR com privilégios de Administrador de Domínio. Agentes que são executados com direitos da Camada 0 em hosts da Camada 1 ou Camada 2 criam caminhos de exposição de credenciais para o plano de controle de identidade.
• Contas de serviço compartilhadas entre camadas. Uma conta de serviço usada em servidores de camada 0 e camada 1 transforma cada servidor de Camada 1 em um ponto de exposição de credencial de camada 0.
• Tratamento de servidores de salto como uma camada separada. Um servidor de salto herda o nível de confiança de qualquer credencial que o contate. Um servidor de salto usado para alcançar controladores de domínio é um ativo de Camada 0.

Camada 0 – Plano de controle de identidade

A camada 0 contém ativos e identidades que controlam direta ou indiretamente o serviço de diretório e as permissões de toda a empresa:

• Contas e grupos administrativos de camada 0, incluindo grupos Active Directory internos, como Operadores de Backup e Operadores de Servidor.
• Controladores de domínio do AD DS e componentes principais do serviço de diretório.
• Serviços de identidade como Microsoft Entra Connect, proxy de aplicativo Microsoft Entra, Serviços de Federação do Active Directory (AD FS) (AD FS) e AD CS (Active Directory Certificate Services).
• Sistemas que operam ou gerenciam sistemas de identidade de Nível 0, incluindo soluções de backup, monitoramento, aplicação de patches, hipervisor, antivírus e detecção e resposta de pontos de extremidade (EDR), ou qualquer agente com controle direto em nível de sistema operacional ou em nível de objeto do Active Directory.

O diagrama explica que o Nível 0 representa o controle direto das identidades da empresa e que a criticidade de segurança de todos os ativos do Nível 0 é equivalente, porque todos controlam efetivamente uns aos outros. O primeiro grupo lista os ativos de software e identidade da Camada 0: aplicativos em execução como um serviço em um controlador de domínio, aplicativos que controlam um agente em controladores de domínio, contas de serviço executadas em controladores de domínio e usuários que têm uma conta privilegiada em qualquer outro aplicativo de Camada 0. O segundo grupo lista os ativos de hardware e acesso da Camada 0: dispositivos em que um usuário privilegiado se conecta diretamente a um controlador de domínio ou a qualquer outro servidor de Camada 0, o hardware em que os sistemas de Camada 0 são executados, qualquer pessoa com acesso a esse hardware físico e qualquer pessoa com acesso administrativo a hosts de máquina virtual em que os computadores de camada 0 são executados.

Camada 1 – Gerenciamento de aplicativos e servidor corporativo

A camada 1 contém servidores membros e as identidades que os gerenciam:

• Servidores membros e funções de administrador de servidor.
• Soluções de ITIM (gerenciamento de infraestrutura de TI) que controlam servidores de Camada 1.
• Microsoft aplicativos de servidor, como Exchange Server, Servidor do SharePoint e SQL Server.
• Soluções de servidor de terceiros.
• Aplicativo de LOB.

O diagrama explica que a Camada 1 representa o controle de aplicativos e servidores empresariais. O primeiro grupo lista os ativos de carga de trabalho de Camada 1: servidores de aplicativos e serviços de aplicativo na nuvem. O segundo grupo lista os ativos de hardware e acesso da Camada 1: o hardware em que os sistemas de Camada 1 são executados, qualquer pessoa com acesso a esse hardware físico, qualquer pessoa com acesso administrativo a hosts de máquina virtual em que os computadores de camada 1 são executados e dispositivos em que as credenciais de Camada 1 são inseridas ou armazenadas, como dispositivos móveis usados para acesso remoto.

Camada 2 – Suporte a conta de usuário final e dispositivo

A camada 2 contém as identidades que gerenciam os dispositivos e as contas dos usuários finais, incluindo funções de help desk e suporte a dispositivos, funções de administrador de dispositivos dos usuários finais e funções de administrador de contas dos usuários finais.

O diagrama explica que o Tier 2 corresponde ao controle de estações de trabalho e dispositivos do usuário. A lista inclui os ativos de hardware e de acesso da Camada 2: o hardware no qual os sistemas da Camada 2 são executados, qualquer pessoa que tenha acesso a esse hardware físico e qualquer pessoa com acesso administrativo aos sistemas da Camada 2. Também mostra os dispositivos onde as credenciais de Nível 2 são inseridas ou armazenadas, incluindo estações de trabalho, laptops, tablets e telefones.

PAWs (estações de trabalho de acesso privilegiado) necessárias para cada nível

O modelo de camada do AD DS só funciona quando você inicia de uma estação de trabalho administrativa confiável que corresponde à camada que você está administrando: uma PAW de camada 0 para ativos de camada 0, uma PAW de camada 1 para a camada 1 e uma PAW de camada 2 para a camada 2. Para o gerenciamento baseado em nuvem de zonas de destino privilegiadas, use uma Estação de Trabalho de Acesso Privilegiado para Gerenciamento de Serviços de Nuvem (PAWCSM) que corresponda ao escopo privilegiado de destino.

Se um administrador de camadas entrar em uma estação de trabalho de usuário final não confiável ou em uma estação de trabalho da camada errada, as credenciais de camada superior serão expostas a um ambiente não confiável mais baixo. Essa exposição derruba o limite de contenção do qual o modelo em camadas do AD DS depende. A confiança começa no primeiro teclado físico usado para entrar.

Para obter mais informações, consulte a visão geral das Estações de Trabalho de Acesso Privilegiado.

Use uma PAW para acessar ativos de Tier 0

A partir de uma PAW de Nível 0, pode ser necessário realizar vários saltos ou usar soluções diferentes antes de alcançar o endpoint de Nível 0. Às vezes, a complexidade da rede requer servidores de salto de camada 0 para simplificar as regras de firewall. As soluções de cofre de dados fornecem fluxos de trabalho de aprovação e acesso just-in-time (JIT) a contas privilegiadas.

O princípio fundamental é que o teclado físico limpo e confiável é o ponto de partida, e quaisquer saltos intermediários ou soluções permanecem dentro do mesmo nível que o endpoint de destino.

Limpar teclado físico confiável

O teclado físico confiável limpo é a estação de trabalho em que você entra fisicamente para iniciar uma sessão privilegiada. Para que o modelo em camadas do AD DS se mantenha, essa estação de trabalho deve:

• Seja reforçado e dedicado ao uso administrativo para um nível específico.
• Permaneça livre de cargas de trabalho de produtividade, como email, navegação na Web e software não gerenciado.
• Corresponda ao nível do ativo de destino. Uma sessão de Nível 0 deve originar-se de um PAW de Nível 0, nunca de um dispositivo de Nível 2 que você também usa para o trabalho diário.
• Verifique a procedência da cadeia de suprimentos e os controles de segurança física. Um PAW comprometido pode expor credenciais e quebrar o modelo.
• Ser usado exclusivamente para tarefas administrativas. O uso de uma PAW para trabalho não administrativo aumenta o risco de comprometimento.

Se você digitar credenciais de camada superior em uma estação de trabalho de camada inferior, exporá imediatamente essas credenciais a esse ambiente de menor confiança. O teclado, não o destino, define o nível de confiança efetivo da sessão.

Modelo de acesso remoto

O modelo de acesso remoto descreve como uma sessão que se origina em um PAW limpo alcança um ponto de extremidade de nível superior sem diminuir a confiança da sessão. A sessão é iniciada de um PAW que corresponde ao nível de destino, por meio de soluções aprovadas de elevação JIT ou cofre de credenciais. Estações de trabalho de nível inferior nunca iniciam sessões em endpoints de nível superior usando credenciais de nível superior.

Qualquer servidor de salto intermediário, host bastion ou gateway de gerenciamento remoto herda o nível de confiança de todas as credenciais que o acessam. Um servidor de salto usado para alcançar um controlador de domínio é, portanto, um ativo de Nível 0, mesmo que a rede o coloque em um segmento de perímetro. Essa contenção impede que os ataques pass-the-hash e pass-the-ticket aumentem entre as camadas, mesmo quando os invasores comprometem dispositivos de camada inferior individuais.

O diagrama mostra seis caminhos de acesso de uma PAW (estação de trabalho de acesso privilegiado) para um servidor de Camada 0, organizados como linhas. As três primeiras linhas começam a partir de uma PAW física Tier 0 associada a um domínio: a primeira linha conecta a PAW diretamente ao servidor Tier 0; a segunda conecta por meio de um jump server Tier 0 antes de chegar ao servidor Tier 0; e a terceira conecta por meio de uma solução de vault Tier 0 antes de chegar ao servidor Tier 0. As três últimas linhas começam com um PAW na nuvem: a quarta linha conecta-se por meio de um PAW virtual de Nível 0 ingressado no domínio antes de alcançar o servidor de Nível 0; a quinta linha conecta-se por meio de um modelo de retorno de Nível 0 antes de alcançar o servidor de Nível 0; e a sexta linha conecta-se por meio de uma solução de cofre de Nível 0 antes de alcançar o servidor de Nível 0.

Mantenha o Tier 0 com escopo bem definido

A camada 0 é a camada mais sensível no modelo de camada do AD DS. Mantenha-o o menor possível. Cada conta adicional, servidor ou aplicativo na Camada 0 expande a superfície de ataque do plano de controle de identidade.

Práticas recomendadas para manter o Tier 0 pequeno

• Minimize o número de administradores humanos de Tier 0. Uma meta comum é ter menos de cinco pessoas com acesso equivalente ao de Administradores de Domínio e nenhuma conta de serviço com privilégios de Administrador de Domínio.
• Minimize os servidores de camada 0 para o que é necessário para controle e recuperação de identidade.
• Nem todas as contas de Camada 0 precisam ser membros de Administradores de Domínio. Aplique o princípio do menor privilégio no Nível 0.
• Evite trazer soluções que não sejam de camada 0, como aplicativos LOB, para a Camada 0.
• Saiba que manter o Nível 0 pequeno geralmente redistribui responsabilidades entre as equipes:
  • As equipes centrais de Active Directory podem ser responsáveis pela validação de backups e pela prontidão para recuperação.
  • Especialistas de camada 1 fornecem suporte sem expandir a Camada 0.
  • As equipes de segurança migram do grupo Administradores de Domínio para funções de auditoria alinhadas ao princípio do menor privilégio.

Migrar servidores e soluções de gerenciamento para a Camada 1

Concentre-se na migração de soluções e identidades que gerenciam servidores membros:

• Comece com soluções que gerenciam toda a Camada 1, como backup, monitoramento, aplicação de patch e hipervisores.
• Identifique contas de serviço sobrecarregadas e com permissões excessivas e divida-as para reduzir o impacto.
• Trate a migração de camada 1 como um exercício de análise, planejamento e melhoria de segurança. Não trate isso como se fosse apenas mover objetos entre OUs.

Migrar dispositivos do usuário final e o ciclo de vida da identidade para o Tier 2

A migração de ativos de Nível 2 concentra-se no gerenciamento de dispositivos do usuário final e no ciclo de vida da identidade:

• Entenda o ciclo de vida atual da identidade na empresa, incluindo os fluxos de trabalho de ingresso, movimentação e desligamento.
• Entenda como você ingressa no domínio, gerencia e desativa dispositivos do usuário final.
• Migre para dispositivos gerenciados pela nuvem sempre que possível.
• Identifique as dependências do aplicativo em UOs específicas. Por exemplo, caminhos de UO codificados podem causar falhas após a migração.

Adotar o modelo de camada do AD DS

A implantação técnica do modelo de camada do AD DS geralmente é rápida e pode ser feita em minutos após a execução dos scripts de implantação. O alinhamento organizacional, as funções e as responsabilidades e as atualizações de processo demoram mais e são fatores importantes para o sucesso a longo prazo.

Siga estas etapas de alto nível para adotar o modelo de camada do AD DS:

1. Alinhem o escopo e o patrocínio. Defina os limites, os proprietários e o impacto esperado com a liderança.
2. Inventário e classificação de ativos. Identifique equivalentes de Camada 0 e ativos de alto valor da Camada 1.
3. Projete o modelo operacional. Defina personas administrativas, PAWs e fluxos de trabalho operacionais.
4. Implementar estrutura e controles. Crie as UOs, grupos, políticas de grupo e restrições de acesso necessários.
5. Implementem o projeto piloto e migrem em fases, começando com o Nível 0, depois o Nível 1 e, por fim, o Nível 2.
6. Valide continuamente. Monitore desvios, audite atividades privilegiadas e detecte violações de nível.

Atividades de fortalecimento da segurança pós-implantação para o modelo em camadas do AD DS

Depois de implantar o modelo de camada do AD DS, conclua as seguintes atividades para proteger e operacionalizar o ambiente:

• Confirme os requisitos adicionais de fortalecimento de segurança, como as linhas de base de SHF (Security Hardening Framework) e o SOE (Ambiente Operacional Padrão).
• Planejar a limpeza de políticas de grupo herdadas obsoletas.
• Implantem soluções de "teclado limpo": PAWs locais para os Níveis 0 e 1 e PAWs na nuvem (PAWCSM) para gerenciamento de privilégios baseado em nuvem.
• Proteja o AD DS e os sistemas operacionais dos controladores de domínio.
• Identifique os servidores equivalentes da Camada 0 e migre-os.
• Integre ativos de alto valor da Camada 1 ao modelo.

Conteúdo relacionado

• Modelo de acesso corporativo
• Visão geral das Estações de Trabalho de Acesso Privilegiado
• Práticas recomendadas para proteger o Active Directory
• Diretrizes de implantação do modelo de camada Active Directory
• Documentos técnicos sobre mitigação de Pass-the-Hash