Uma credencial de administrador roubada é o atalho mais barato que um atacante pode comprar. A Microsoft coloca a segurança do acesso privilegiado como prioridade máxima de segurança em qualquer organização: contas e estações de administração permitem um acesso tão amplo ao parque que um único roubo de credencial pode encerrar o negócio — e é exactamente esse o padrão dos ataques de ransomware operados por humanos. O site já cobre a deteção (no artigo do Defender for Identity) e a escalação de privilégios (no artigo de segurança do Active Directory). Falta o pedaço que evita chegar lá: separar o que um admin toca todos os dias do que só ele pode tocar.

Este guia apresenta a arquitectura do tiering de administração, as contas dedicadas e as estações PAW (Privileged Access Workstations), com a tradução prática para uma PME.

Neste artigo

1. O modelo de tiers e o Enterprise Access Model

O modelo clássico da Microsoft divide os sistemas geridos por níveis de confiança. O princípio por trás é o clean-source principle: os dados e as credenciais fluem sempre de uma origem limpa para um destino controlado — e uma credencial de nível mais alto nunca deve ser exposta a um sistema de confiança menor.

  • Tier 0 — controlo directo da segurança da organização: controladores de domínio, a própria base AD, o Entra Connect, autoridades de certificação, soluções de segurança. Quem controla Tier 0 controla tudo.
  • Tier 1 — servidores e aplicações de negócio: administração de sistemas que servem dados, sem controlar a infra-estrutura de identidade.
  • Tier 2 — postos de trabalho e utilizadores: administração de dispositivos onde as pessoas trabalham.

A Microsoft substituiu este modelo pelo Enterprise Access Model: o Tier 0 expandiu-se para o control plane (identidade, redes onde o controlo de acesso é a única defesa possível), o Tier 1 dividiu-se nos planos de gestão e de dados/cargas de trabalho, e o Tier 2 dividiu-se em acesso de utilizadores e de aplicações. Da antiga arquitectura de floresta administrativa (ESAE, a «red forest»), a Microsoft deixou de recomendar o padrão, substituindo-o pela estratégia moderna de acesso privilegiado com o plano de modernização (RAMP) — e mantendo componentes como as PAW e o modelo por tiers; a floresta separada fica reservada a cenários de excepção. A recomendação actual não passa por construir uma floresta separada para administrar, mas por separar contas, estações e caminhos de acesso com princípios Zero Trust. O tiering continua a ser a forma mais simples de explicar a separação a uma equipa pequena, e é esse o vocabulário que usamos no resto do artigo.

⚠️ Atenção

O erro mais comum da PME não está no desenho do modelo: está na conta de administrador que sai da caixa e fica aberta no Outlook e na internet na máquina onde toda a gente a vê. Antes do tiering perfeito, corrija o hábito.

2. Separar as contas admin das diárias

A regra base: duas identidades por pessoa. A conta diária lê o e-mail, navega e corre office. A conta administrativa só se usa onde o trabalho administrativo acontece — nunca para ler mail, nunca para navegar, nunca numa estação normal.

O porquê é o roubo de credenciais: malware no posto de trabalho apanharia o que aí se escreve. Se a conta que escreve lá é a mesma que domina o domínio, o atacante acabou de apanhar as chaves de toda a empresa. Com uma conta dedicada, o máximo que ele apanha de uma estação Tier 2 comprometida é uma conta de utilizador normal.

Na prática:

  • Uma conta admin por nível de tier (admin-AD, admin-SRV, admin-PC), com nomes óbvios e sem sincronizar para o Entra ID aquela que não precisa de cloud (contas Tier 0 on-premises vivem no AD).
  • Nenhum mail, browser ou programas de produtividade dentro das sessões administrativas.
  • As tarefas pontuais correm a partir de uma estação do mesmo nível ou superior — nunca um runas a partir da estação diária: escrever a credencial privilegiada numa sessão de menor confiança é exactamente o que o princípio clean-source proíbe.
  • MFA resistente a phishing (passkeys/chaves de segurança/FIDO2 ou certificados) nas contas administrativas — SMS não conta.

3. Tier 0 primeiro: reduzir a credencial suprema

Numa PME, comece por mapear quem é afinal Tier 0, porque quase sempre é mais gente do que parece: os membros de Domain Admins, Enterprise Admins e Schema Admins são o começo — depois somam-se operadores de CA, quem gere o Entra Connect (o sincronizador de identidade), quem administra os controladores de domínio via acesso administrativo, e os serviços que correm com contas privilegiadas. A auditoria destes pertence ao artigo do Defender for Identity, que deteta os caminhos de execução que os atacantes usam.

Depois de saber quem é, reduza:

  • Menos contas em Tier 0 — cada membro permanente é um alvo a proteger 24/7. Uso pontual justifica conta temporária (Just Enough Administration ou grupo temporário com expiração).
  • Contas de serviço Tier 0 com gMSA — a password muda sozinha e ninguém a escreve.
  • Restringir onde as contas Tier 0 fazem logon: por GPO, negar o logon destas contas nos sistemas Tier 1 e Tier 2 — a permissão de logon destas contas fica nos controladores de domínio, nunca num servidor de ficheiros qualquer.
  • Credenciais locais Tier 2 com Windows LAPS: cada posto de trabalho tem a password do administrador local única e rotativa, sem partilhas.

Os caminhos que escalam privilégios entre florestas e domínios — o clássico «admin de um sistema qualquer» que acaba em Domain Admin — já têm dois artigos no site: prevenir a escalação de privilégios no AD e o abuso de confiança entre florestas. O tiering é o trabalho que fecha esses caminhos na origem.

4. PAW: a estação de administração dedicada

A PAW (Privileged Access Workstation) é a estação endurecida onde, e só onde, a conta administrativa faz logon. A hierarquia de dispositivos da Microsoft tem três níveis: Enterprise (o posto normal, produtividade e web), Specialized (para utilizadores de maior risco: tira os direitos de administrador local e limita as aplicações instaladas, mantendo mail e navegação — quem fica sem mail e sem navegação é a PAW) e Privileged — a PAW — a configuração máxima para papéis cuja quebra tem impacto material no negócio: sem mail, sem navegação sem justificação, sem aplicações de produtividade, com as defesas de hardware activadas (virtualização-based security, Secure Boot, HVCI) — a produtividade corre em conta e estação separadas, nunca dentro da PAW.

O que uma PAW tem de diferente do servidor de salto (jump host):

  • A credencial administrativa escreve-se na máquina, não se envia para lá por sessão remota. Num jump host comum, o credential theft continua a ser possível lá dentro, porque é um servidor exposto à rede como outro qualquer.
  • Sem uso diário: a conta diária do admin está noutro dispositivo (o desktop dele).
  • Gerida como ativo de segurança: Intune para política, actualizações obrigatórias e menos aplicações, monitorização reforçada.

A PME não precisa de começar por hardware dedicado por admin. Uma estação física sem outro uso, ou o perfil administrativo num dispositivo separado, já elimina a exposição do dia-a-dia. O hardware dedicado e o nível Privileged completo ficam para as contas que realmente controlam tudo.

5. Implementar na PME: uma ordem possível

  • Mês 1 — inventário. Lista de contas privilegiadas, onde fazem logon e a partir de onde. Quantos Admins o domínio tem afinal?
  • Mês 2 — contas separadas. Criar contas dedicadas, tirar os admins da conta diária, MFA resistente a phishing, LAPS nas estações.
  • Mês 3 — restrições. Onde cada tier pode fazer logon, gMSA nas contas de serviço Tier 0, revisão dos grupos privilegiados permanente.
  • Mês 4 — estação dedicada. Primeira PAW para a conta Tier 0 principal — hardware existente, limpa, sem mail ou web. Depois endurece (VBS/HVCI, Intune).
  • Contínuo — monitorizar. Defender for Identity nos controladores para apanhar movimentos laterais e uso anómalo de contas privilegiadas.

6. Erros comuns

  • Comprar a PAW e continuar a abrir mail nela «só cinco minutos».
  • Reutilizar a conta de admin no Entra ID sincronizada a partir do AD — cada exposição cloud é um alvo à parte (para on-premises, contas Tier 0 não sincronizam).
  • Tratar o jump server como solução completa: é intermediário, não estação de confiança, e acumula credenciais todos os dias.
  • Tiering no papel, e na prática um «admin de tudo» com a password no bloco de notas.

7. Checklist

  • [ ] Inventário de contas Tier 0/1/2 actualizado, com donos por conta
  • [ ] Contas diárias sem pertencer a nenhum grupo privilegiado
  • [ ] MFA resistente a phishing nas contas administrativas
  • [ ] Restrições de logon por tier aplicadas por GPO
  • [ ] gMSA nas contas de serviço Tier 0, LAPS nos Tier 2
  • [ ] PAW em uso, sem mail e sem navegação, monitorizada
  • [ ] Revista dos grupos privilegiados agendada trimestralmente

Veredicto

O tiering não é luxo de enterprise: é a tradução organizacional do princípio de que a credencial que abre tudo nunca deve andar onde o dia-a-dia acontece. As contas dedicadas e um mínimo de PAW custam pouca coisa e cortam o caminho que a maioria dos ataques de ransomware usa — do posto de trabalho comprometido para o domínio inteiro. Comece pelo inventário, depois pelas contas, e só depois pelo hardware.

Artigos Relacionados

Fontes Oficiais