Active Directory: 17 técnicas de ataque e como se defender

O Active Directory continua sendo o alvo que decide o desfecho de boa parte das intrusões corporativas. Quem controla o diretório controla autenticação, autorização e, na prática, a capacidade de se mover por toda a rede. Não é por acaso que atacantes correm para lá assim que conseguem o primeiro acesso.

Dois materiais ajudam a entender o tamanho do problema em 2026. O primeiro é a orientação conjunta Detecting and Mitigating Active Directory Compromises, conduzida pelo ACSC da Austrália e assinada também por CISA, NSA, pelo centro canadense e pelos centros nacionais do Reino Unido e da Nova Zelândia, publicada em setembro de 2024. O documento organiza 17 técnicas de comprometimento do diretório e as respectivas estratégias de mitigação.

O segundo é a leitura que a equipe de resposta a incidentes da Sophos publicou em 7 de outubro de 2026, assinada por Anthony Bradshaw, que lidera a operação global de resposta a incidentes do MDR da empresa. O texto cruza as 17 técnicas com o que a equipe encontra em campo — e com os números do Active Adversary Report 2026. É um material de fornecedor, com as ressalvas que isso implica, mas a base estatística e o mapeamento são úteis.

O que os números de 2026 mostram

O Active Adversary Report 2026 da Sophos analisou 661 casos de resposta a incidentes e MDR, em organizações de 70 países e 34 setores, no período de 1º de novembro de 2024 a 31 de outubro de 2025. Alguns resultados ajudam a dimensionar o papel da identidade:

• 67% dos incidentes investigados começaram com ataques relacionados a identidade.
• Em 59% dos casos, a autenticação multifator simplesmente não estava presente.
• A força bruta respondeu por 15,6% dos acessos iniciais, praticamente empatada com a exploração de vulnerabilidades, em 16%.
• O tempo médio de permanência do atacante na rede caiu para três dias.
• Uma vez dentro, o atacante alcançou o servidor de Active Directory em 3,4 horas, em média.
• 88% dos ataques de ransomware e 79% das ações de exfiltração ocorreram fora do horário comercial.

Cabe uma observação metodológica. O texto da Sophos também cita a edição de 2025 do mesmo relatório, que registrou mediana de 11 horas entre a primeira ação do atacante e a primeira tentativa de alcançar o diretório. Os dois números não se contradizem: um é mediana de uma amostra, o outro é média de outra, em período distinto. Lidos juntos, indicam a mesma direção — a corrida até o Active Directory é medida em horas, não em dias.

Há ainda um dado que afeta diretamente a capacidade de investigar: a perda de registros por problemas de retenção dobrou de um ano para o outro, com destaque para firewalls configurados com retenção padrão de sete dias e, em alguns casos, de 24 horas. Quando a permanência média é de três dias e o log vive 24 horas, a investigação começa cega.

As 17 técnicas, agrupadas por objetivo

A orientação conjunta lista as técnicas de forma plana. O agrupamento por objetivo do atacante, proposto na leitura da Sophos, facilita a tradução para controles práticos.

1. Obtenção de credenciais

São as técnicas que transformam acesso nenhum, ou quase nenhum, em credencial válida: password spraying (tentar poucas senhas comuns contra muitas contas, evitando bloqueios), Kerberoasting (solicitar tíquetes de serviço e quebrá-los offline para obter a senha de contas de serviço), AS-REP Roasting (abusar de contas sem pré-autenticação Kerberos) e senhas em Group Policy Preferences, resquício de configurações antigas em que credenciais ficavam acessíveis no SYSVOL.

Nenhuma delas é nova — o Plugged Ninja já tratou da defesa de contas do diretório contra ataques baseados em senha — e é exatamente essa longevidade que explica por que seguem funcionando.

2. Escalada de privilégios e movimentação lateral

Aqui a credencial comum vira domínio: abuso do MachineAccountQuota (que por padrão permite a qualquer usuário criar contas de computador), delegação irrestrita, DCSync (fingir ser um controlador de domínio e pedir a replicação de hashes), extração do ntds.dit (a base do diretório inteira) e Shadow Credentials, que associa credenciais alternativas a uma conta existente.

3. Certificados e autenticação

O bloco que mais cresceu em relevância nos últimos anos: comprometimento do AD CS, a autoridade certificadora do domínio, que permite forjar o chamado Golden Certificate; além do clássico Golden Ticket (falsificação de tíquetes Kerberos a partir da conta krbtgt) e do Silver Ticket, sua variante restrita a um serviço.

4. Persistência e ambientes híbridos

Técnicas voltadas a permanecer e a atravessar a fronteira entre o diretório local e a nuvem: Golden SAML, comprometimento do Microsoft Entra Connect, bypass de relação de confiança unidirecional, abuso de SID History e Skeleton Key, que injeta uma senha-mestra na memória do controlador de domínio.

O agrupamento deixa visível um padrão: as quatro primeiras técnicas exploram senhas fracas ou mal guardadas; o segundo e o terceiro blocos exploram configurações padrão que nunca foram revisadas; o quarto explora a costura entre ambiente local e nuvem, que é onde muita organização ainda não tem visibilidade.

Por que detectar ataques ao Active Directory é difícil

A característica que une boa parte dessas técnicas é que elas usam funcionalidades legítimas do protocolo. Pedir um tíquete de serviço Kerberos é operação normal. Replicar dados entre controladores de domínio é operação normal. Criar uma conta de computador é operação normal, e o padrão do MachineAccountQuota permite que qualquer usuário o faça.

O sinal de ataque raramente está no evento isolado: está no contexto. Uma conta de serviço que nunca pediu tíquetes passar a pedir dezenas em sequência; uma estação de trabalho — e não um controlador de domínio — solicitar replicação de diretório; uma conta de computador recém-criada por um usuário comum logo antes de uma escalada. Por isso a orientação conjunta e o texto da Sophos convergem no mesmo ponto: correlacionar sinais de autenticação, endpoint e diretório vale mais do que qualquer assinatura isolada.

É justo registrar o limite do material da Sophos. O texto é conceitual e termina cada seção apontando para os serviços da própria empresa; não traz consultas de detecção, identificadores de evento nem procedimentos passo a passo. Para engenharia de detecção concreta, a referência continua sendo o documento original da orientação conjunta, que o próprio texto da Sophos indica.

Controles que sustentam a defesa

1. MFA resistente a phishing para todo acesso administrativo e remoto. Com 59% dos incidentes sem MFA alguma, esse é o controle de maior retorno — e convém lembrar que a Sophos relatou um caso de março de 2025, em sua própria operação, em que credenciais foram capturadas e a MFA foi contornada: resistente a phishing não é o mesmo que MFA genérica.
2. Contas de serviço gerenciadas em grupo (gMSA), que eliminam a senha estática explorada pelo Kerberoasting.
3. Reduzir o MachineAccountQuota a zero, salvo necessidade documentada. É uma linha de configuração que remove uma técnica inteira.
4. Tratar os sistemas Tier 0 — controladores de domínio, AD CS, Entra Connect — como ambiente separado, com credenciais e estações administrativas dedicadas.
5. Revisar a configuração do AD CS, especialmente modelos de certificado que permitam inscrição ampla com nome alternativo definido pelo solicitante.
6. Logging centralizado com retenção real. Diante do dado de retenção do relatório, vale medir quantos dias de registro de firewall, endpoint e diretório existem de fato — e comparar com a permanência média de três dias.
7. Monitorar fora do horário comercial. Com 88% do ransomware detonando fora do expediente, cobertura noturna e de fim de semana deixa de ser luxo.

Impactos e o que considerar

O lado favorável é que praticamente nenhum desses controles exige compra de produto novo: gMSA, MachineAccountQuota, separação de camadas e revisão de modelos de certificado são configurações do próprio ambiente. A limitação é que várias delas quebram integrações antigas — contas de serviço com senha fixa em aplicações legadas, automações que dependem de criação livre de contas de computador. Essa é a razão mais comum pela qual ambientes maduros seguem com configurações padrão de uma década atrás.

Há também o que os números não dizem. A amostra do relatório é composta por organizações que contrataram resposta a incidentes ou MDR de um fornecedor específico, o que tende a sobre-representar certos perfis e setores. Os percentuais descrevem bem a direção do problema, mas não devem ser lidos como estatística universal do mercado.

Conclusão

A orientação conjunta de 2024 segue atual porque as técnicas que ela cataloga não dependem de falhas novas: dependem de senhas fracas, configurações padrão e da costura entre diretório local e nuvem. Os dados de 2026 reforçam o diagnóstico — dois terços dos incidentes começam na identidade e o diretório é alcançado em poucas horas.

Para quem administra Active Directory, o caminho prático é ir pelo grupo de técnicas, não pela lista: fechar a obtenção de credenciais com MFA resistente a phishing e gMSA, fechar a escalada com MachineAccountQuota e separação de Tier 0, revisar o AD CS e, só então, investir em detecção correlacionada. O que vale acompanhar é se as próximas edições do relatório mostram queda nas 3,4 horas até o diretório — ou se o número continua caindo apenas do lado do atacante.

Fontes e referências

• CISA — Detecting and Mitigating Active Directory Compromises (orientação conjunta)
• CISA — Alerta de lançamento da orientação conjunta, setembro de 2024
• Sophos — CISA’s 17 Common Active Directory Compromise Techniques: A Sophos MDR Perspective, por Anthony Bradshaw
• Sophos — Active Adversary Report 2026: ataques de identidade dominam