Active Directory
termoSignifica: Active Directory Domain Services (AD DS)
O serviço de diretório da Microsoft: a lista telefônica e a autoridade de segurança do domínio - usuários, grupos, máquinas e as permissões que os ligam.
As joias da coroa da maioria das redes corporativas, e por isso os atacantes vão direto nele. A própria visão geral da Microsoft sobre o Active Directory Domain Services descreve um serviço de diretório como aquele que fornece os métodos para armazenar dados de diretório e torná-los disponíveis a usuários e administradores da rede, guardando contas de usuário com nomes, senhas e telefones, recursos compartilhados como servidores, volumes e impressoras, e contas de computador, com a segurança integrada ao AD DS por meio da autenticação no logon e do controle de acesso aos objetos do diretório, de modo que um único nome de usuário e senha de rede alcancem tudo. Seus componentes, no mesmo documento, são o esquema que define as classes de objeto e os atributos, o catálogo global que guarda informação sobre todo objeto, o mecanismo de consulta e índice e o serviço de replicação: todos os controladores de domínio de um domínio participam da replicação e contêm uma cópia completa de toda a informação de diretório do seu domínio. Ele fala LDAP com as aplicações, Kerberos para autenticação com o NTLM como contingência, e é a base de senhas por trás da maioria dos logins RADIUS, 802.1X e de VPN num parque Windows, e é por isso que os projetos de AAA deste site voltam a ele o tempo todo.
O Active Directory é a espinha dorsal de identidade e política da maioria das empresas, combinando serviços de diretório, autenticação Kerberos e políticas de grupo. Sua centralidade é o ponto e também o risco: comprometer um controlador de domínio não compromete um servidor, compromete toda identidade da organização de uma vez. A visão geral da Microsoft sobre o Active Directory Domain Services descreve o serviço em termos simples: um serviço de diretório, como o Active Directory Domain Services (AD DS), fornece os métodos para armazenar dados de diretório e torná-los disponíveis a usuários e administradores da rede. Os dados que ela nomeia são o inventário de uma organização: contas de usuário com nomes, senhas e telefones, recursos compartilhados como servidores, volumes e impressoras, e as contas de computador das máquinas ingressadas no domínio.
O modelo de segurança é a razão de ele importar mais que qualquer outro diretório. A visão geral diz que a segurança é integrada ao AD DS por meio da autenticação no logon e do controle de acesso aos objetos do diretório, e que um único logon de rede deixa um administrador gerir os dados do diretório e deixa um usuário alcançar os recursos da rede. Os protocolos sob essa frase são os que têm verbetes próprios: o Kerberos emite os tíquetes que tornam silencioso o logon único, o NTLM permanece como contingência para tudo o que não consegue fazer Kerberos, o LDAP é como as aplicações leem o diretório e verificam senhas, e as políticas de grupo empurram configuração às máquinas. A Microsoft lista os componentes como o esquema, que define as classes de objetos e atributos que o diretório pode guardar e as restrições sobre eles; o catálogo global, que guarda informação sobre todo objeto para que uma busca encontre qualquer coisa independentemente do domínio que a detém; o mecanismo de consulta e índice, para que objetos possam ser publicados e encontrados; e o serviço de replicação, que distribui os dados: todos os controladores de domínio de um domínio participam da replicação e contêm uma cópia completa de toda a informação de diretório do seu domínio, de modo que uma mudança feita em um controlador alcança os outros.
Esse modelo de replicação é a razão de controladores de domínio merecerem um tratamento diferente do de outros servidores, com urgência própria de correções, administração em camadas para que o comprometimento de uma estação de trabalho não os alcance e monitoramento dos comportamentos específicos que precedem a escalada. Todo controlador detém o domínio inteiro, inclusive o material do qual toda chave derivada de senha é feita, e todo controlador pode originar uma mudança que todos os outros aceitarão. A maioria das cadeias de ataque publicadas contra empresas são, no fim, cadeias em direção ao Active Directory, e um ambiente que trata seus controladores de domínio como infraestrutura comum julgou mal onde está seu perímetro de verdade.
Nos projetos de AAA descritos ao longo deste glossário o diretório é a retaguarda de quase tudo. Um servidor RADIUS conferindo um login PEAP-MSCHAPv2 verifica a resposta contra o hash NT que o domínio guarda; um motor de política decidindo uma VLAN lê a filiação a grupos por LDAP; um servidor TACACS+ autenticando um administrador faz bind no domínio; um portal de autenticação web faz o mesmo para um visitante com conta patrocinada. Os grupos do diretório são, portanto, os papéis de um modelo baseado em papéis, quer alguém os tenha chamado assim ou não, e os verbetes privilege creep e segregação de funções descrevem o que acontece com esses grupos ao longo do tempo se ninguém os revisa. O artigo sobre Kerberos e SPNEGO e o artigo de fundamentos de LDAP carregam o detalhe de protocolo.
Também conhecido como: ad ds, ad, domain controller, domain services, global catalog