Por que a atividade do Active Directory fora do horário deve acionar alarmes

A maioria dos ciberataques não acontece durante o horário de pico de trabalho. Eles acontecem quando ninguém está olhando para os painéis, a TI está em casa e os sistemas não estão no lugar para tomar ação. A atividade de AD que ocorre após o expediente, especialmente em contas privilegiadas, nunca deve ser ignorada.

O Active Directory é um alvo primário para atacantes. É onde as identidades dos usuários são resolvidas, o acesso é permitido ou retirado, e privilégios são atribuídos ou negados. Esse papel central o torna um ativo de alto valor para agentes de ameaça. Como detalhado no relatório State of Active Directory Security da Lepide, quase 25% das organizações relatam detectar atividades suspeitas fora do horário comercial, geralmente relacionadas a credenciais comprometidas ou ameaças internas.

Por que a atividade de AD após o expediente importa

Você é menos propenso a responder rapidamente

As equipes de segurança têm menos chances de estar fazendo qualquer registro em tempo real fora do horário de trabalho regular. Avisos automáticos podem ser colocados em espera e ter uma prioridade secundária. E mesmo quando os alertas chegam, eles podem passar horas sem atenção.

Esse é precisamente o espaço de manobra que os atacantes precisam. Depois de terem acessado um ambiente, geralmente por meio de phishing, preenchimento de credenciais ou uso de contas desatualizadas, eles começam a atacar na horizontal. Eles têm como objetivo escalar privilégios, entrando em sistemas sensíveis e, de acordo com o relatório de Segurança do Active Directory da Lepide, 33% dos incidentes de cibersegurança envolvem internos acessando sistemas fora do horário comercial, muitas vezes aproveitando contas que são mal monitoradas ou com permissões excessivas.

Comportamentos legítimos podem esconder ameaças

Nem toda atividade fora do horário é maligna, e é isso que a torna arriscada. Os administradores podem fazer login tarde para corrigir um servidor. Um desenvolvedor pode precisar acessar o AD para aplicar uma atualização. Essas são atividades aceitáveis; no entanto, elas são ruidosas. Ações maliciosas podem ser ocultadas nesse ruído.

A menos que seus sistemas tenham sido ajustados para identificar mudanças de comportamento, você tenderá a descartar quaisquer eventos suspeitos como não maliciosos. Na maioria das violações, as fases iniciais parecem rotineiras. O problema é que aqueles que implementam portas dos fundos e permitem que usuários desconhecidos acessem grupos sensíveis geralmente não são administradores reais.

É por isso que o contexto é importante. Os alertas são inúteis quando não estão correlacionados com os níveis básicos de atividades dos usuários de qualquer forma (papéis de trabalho, tendências de tempo, etc.). De acordo com o relatório State of Active Directory Security da Lepide, mais de 20% dos ataques decorrem de contas comprometidas que não foram devidamente monitoradas ou desativadas, muitas das quais foram exploradas fora do horário de expediente.

Quando a atividade fora do horário deve levantar bandeiras vermelhas

Mudanças no grupo privilegiado e criação de nova conta

Modificações em grupos sensíveis, como Administradores de Domínio, Administradores Empresariais ou Administradores de Esquema, que ocorram fora do horário comercial devem ser consideradas de alto risco. Da mesma forma, quando novas contas são criadas e adicionadas a grupos privilegiados durante horários fora do expediente, isso é um grande sinal de alerta.

Mudanças de permissão em ativos críticos

Modificações não autorizadas em compartilhamentos de arquivos, GPOs ou objetos de diretório no meio da noite raramente são benignas. Essa janela dá aos atacantes a oportunidade de mudar silenciosamente os privilégios de acesso, alterar as capacidades de registro ou estabelecer portas dos fundos. Mesmo mudanças legítimas merecem ser analisadas com a maior atenção.

Logins de locais incomuns ou contas inativas

Quando uma conta inativa é acessada às 3 da manhã e está usando um novo endereço IP, não é coincidência. É um indicador. Junte isso à vulnerabilidade dos sistemas privilegiados, e provavelmente você terá um incidente.

O relatório State of Active Directory Security da Lepide destaca que 25% das organizações detectam atividade suspeita fora do horário comercial. Essa porcentagem provavelmente representa apenas o que é visível, pois, sem monitoramento em tempo real, muitos mais incidentes passam despercebidos.