A Administração de Segurança de Infraestrutura e Segurança Cibernética dos Estados Unidos (CISA) divulgou um relatório detalhado sobre os resultados de operações de teste de intrusão (Red Team) realizadas em duas organizações de infraestrutura crítica. O documento, intitulado "A Tale of Two SOCs", expõe vulnerabilidades operacionais e técnicas que podem comprometer a segurança de setores essenciais, mesmo quando há investimento significativo em ferramentas de segurança.
Descoberta e escopo do relatório
O relatório compara dois cenários de ataque paralelos: um contra uma organização do setor de Serviços Governamentais e Instalações e outro contra uma entidade do setor de Sistemas de Água e Esgoto. Ambas as organizações foram submetidas a técnicas de ataque quase idênticas, mas os resultados revelaram disparidades significativas na capacidade de detecção e resposta.
Os operadores da CISA utilizaram phishing para obter uma posição inicial nas redes. A partir daí, exploraram configurações incorretas do Active Directory, como a Cota de Conta de Máquina padrão e modelos de Serviços de Certificado do Active Directory mal configurados, para escalar privilégios e mover-se lateralmente pela rede. Essas falhas de configuração são comuns e frequentemente negligenciadas em ambientes corporativos complexos.
Impacto e alcance
Na Organização A, a equipe de teste de intrusão obteve privilégios de domínio elevados e alcançou sistemas de negócios sensíveis e recursos em nuvem sem ser detectada. Os atacantes conseguiram ler e-mails da equipe do SOC e implantar keyloggers nas próprias máquinas dos defensores sem disparar nenhuma resposta de segurança.
Na Organização B, a história foi diferente. O SOC isolou estações de trabalho comprometidas entre 2 e 20 minutos após a execução do payload de phishing, cortando as comunicações de comando e controle antes que a intrusão se espalhasse. Devido a essa detecção rápida, a CISA mudou para um modelo de "assumir violação", concedendo à equipe de teste de intrusão acesso equivalente ao que teriam se o ataque de phishing tivesse passado despercebido.
Apesar do acesso profundo, os defensores da Organização B isolaram um host bastião comprometido na zona desmilitarizada de tecnologia operacional e bloquearam um sign-in no Azure suspeito sinalizado pelo alerta automatizado da Microsoft. Isso demonstrou que a detecção em camadas continuou funcionando mesmo após a rede ser assumida como comprometida.
Análise técnica detalhada
A análise técnica destaca falhas críticas no Active Directory que permitiram a escalada de privilégios. A fraqueza na Cota de Conta de Máquina foi explorada para criar contas de máquina não autorizadas. Além disso, a equipe de teste de intrusão colheu credenciais em texto claro através de um arquivo do System Center Configuration Manager (SCCM) e utilizou ataques DCSync para obter credenciais do controlador de domínio, incluindo a conta krbtgt sensível usada para forjar Golden Tickets.
Essas técnicas permitem que atacantes assumam o controle total do domínio e criem tickets de autenticação que podem persistir indefinidamente, contornando a maioria das verificações de segurança tradicionais. A exploração de templates de certificados vulneráveis (ESC1) também facilitou a obtenção de certificados de assinatura de código, permitindo a execução de código malicioso com privilégios elevados.
Operação e falhas de processo
A CISA atribui os pontos cegos da Organização A não à falta de ferramentas, mas à disfunção operacional. A organização executava múltiplos SOCs e múltiplas plataformas EDR sem comunicação entre equipes. Milhares de alertas de falso positivo de atividades de negócios rotineiras enterraram os indicadores genuínos de comprometimento.
Os analistas também não possuíam procedimentos operacionais padrão para escalar atividades suspeitas e tinham autoridade limitada para agir. Alertas reais, incluindo um ligado à atividade da equipe de teste de intrusão em um servidor SCCM, foram descartados como falsos positivos após os defensores simplesmente não conseguirem identificar o proprietário do sistema.
Medidas de mitigação recomendadas
O alerta central da CISA é que as ferramentas de detecção são tão eficazes quanto os humanos e processos por trás delas. A agência recomenda que operadores de infraestrutura crítica corrijam fraquezas comuns do Active Directory, como Cotas de Conta de Máquina irrestritas e templates de certificados vulneráveis ESC1.
Além disso, é necessário impor a expiração de credenciais para contas de serviço e nuvem e adotar Acesso Condicional para identidades de carga de trabalho para fechar lacunas em torno de permissões de aplicativos. As organizações também precisam de procedimentos de escalonamento documentados, visibilidade entre equipes e analistas capacitados, já que o sucesso da Organização B veio de triagem rápida e isolamento decisivo, não de qualquer produto de segurança único.
Perguntas frequentes
Qual é o principal risco identificado?
O principal risco é a combinação de configurações incorretas do Active Directory com processos de SOC ineficientes, permitindo que atacantes avancem lateralmente sem detecção.
Como evitar esses ataques?
Implemente hardening do Active Directory, revise permissões de conta de máquina, monitore templates de certificados e estabeleça procedimentos claros de resposta a incidentes.
Isso afeta o Brasil?
Sim, organizações brasileiras que utilizam Active Directory e infraestrutura de nuvem similar estão sujeitas às mesmas vulnerabilidades e devem adotar as recomendações de mitigação.