Cibersegurança e segurança da informação

Active Directory Penetration Testing: Guia de Teste e Proteção

6 min de leituraPublicado: 5 de agosto de 2026

Ilustração visual profissional sobre Active Directory Penetration Testing na área de Penetration Testing

Resposta rápida

O Active Directory Penetration Testing deve ser realizado apenas dentro de um Scope e Rules of Engagement aprovados. O processo inclui recolha de informações, validação controlada, Evidência, avaliação de risco, remediação e Retest.

Um teste de penetração profissional é um processo autorizado e definido, não uma coleção de comandos. Scope, Rules of Engagement, evidências, avaliação de risco, remediação e Retest são partes integrantes do trabalho. Este artigo foca-se no Active Directory Penetration Testing e destina-se a estudantes de PT e profissionais de Segurança Windows. O objetivo é fornecer um método de trabalho que possa ser aplicado na prática, em entrevistas profissionais e em ambientes de trabalho, sem se contentar com uma definição de dicionário.

O principal desafio é que os dados estão quase sempre incompletos. Trusts, delegation, ACLs podem indicar uma direção, mas o seu significado depende do tempo, do ativo, do utilizador e da atividade esperada. Por isso, construiremos o teste em torno de uma questão de investigação, das evidências necessárias e de um critério claro para a conclusão.

O cenário prático no artigo é: construir um Checklist para um domínio de laboratório. Todos os exemplos são dados de laboratório ou descrições de processos. No caso de Penetration Testing, Web ou Cloud, deve-se trabalhar apenas com autorização expressa, um Scope definido e a capacidade de interromper o teste.

Scope e Arquitetura

O processo de Active Directory Penetration Testing é construído em etapas com pontos de paragem. Define-se um objetivo, Scope, fontes, ações permitidas, evidências necessárias, funções e critérios de conclusão. Em ambientes ofensivos, adicionam-se condições de Stop e um canal de emergência.

Em cada etapa deve haver um Output claro: mapa de ativos, Timeline, Finding, Rule, Playbook ou relatório. A transição para a próxima etapa só ocorre quando o Output é suficiente e fiável; isso evita trabalho aleatório ou expansão do Scope sem autorização.

Mapeamento de Identidade e Privilégios

O tópico 'Mapeamento de Identidade e Privilégios' é uma parte central do trabalho de Active Directory Penetration Testing. Recomenda-se dividi-lo em três perguntas: Qual é a entrada, que decisão se quer tomar e que evidência é suficiente para justificá-la. Estas perguntas evitam o uso automático de ferramentas sem compreender o objetivo.

Na prática, registe os trusts, delegation, ACLs, service accounts, tiering, compare com o comportamento esperado e defina pelo menos um Pivot. O resultado deve ser verificável por outro analista, incluindo limitações e próximos passos.

Kerberos e Service accounts

O tópico 'Kerberos e Service accounts' é uma parte central do trabalho de Active Directory Penetration Testing. Recomenda-se dividi-lo em três perguntas: Qual é a entrada, que decisão se quer tomar e que evidência é suficiente para justificá-la. Estas perguntas evitam o uso automático de ferramentas sem compreender o objetivo.

Delegation, GPO e Trusts

O tópico 'Delegation, GPO e Trusts' é uma parte central do trabalho de Active Directory Penetration Testing. Recomenda-se dividi-lo em três perguntas: Qual é a entrada, que decisão se quer tomar e que evidência é suficiente para justificá-la. Estas perguntas evitam o uso automático de ferramentas sem compreender o objetivo.

Findings, Detection e Remediation

A resposta ao Active Directory Penetration Testing deve reduzir o risco sem apagar as evidências que ainda são necessárias. Começa-se com uma ação reversível e focada, valida-se a propriedade e a autoridade, e documenta-se o tempo, o executor e o resultado.

A remediação a longo prazo aborda a raiz: permissões, configuração, Validation, Telemetry, processo ou treino. Após a implementação, realiza-se um Retest e monitorizam-se sinais de recorrência, em vez de se contentar com o fecho do Ticket.

Pontos de Teste Exclusivos

Neste tópico, recomenda-se construir antecipadamente um mapa de evidências focado. Os principais pontos de teste são: trusts, delegation, ACLs, service accounts, tiering, attack paths. A lista não é um Checklist automático; cada item é escolhido porque pode ligar uma entidade, ação e tempo, ou explicar um comportamento legítimo.

trusts: Defina o valor esperado, o que será considerado excecional e qual fonte adicional validará a descoberta.
delegation: Defina o valor esperado, o que será considerado excecional e qual fonte adicional validará a descoberta.
ACLs: Defina o valor esperado, o que será considerado excecional e qual fonte adicional validará a descoberta.
service accounts: Defina o valor esperado, o que será considerado excecional e qual fonte adicional validará a descoberta.
tiering: Defina o valor esperado, o que será considerado excecional e qual fonte adicional validará a descoberta.
attack paths: Defina o valor esperado, o que será considerado excecional e qual fonte adicional validará a descoberta.

Quando um dos focos não está disponível, deve-se documentar a lacuna e escolher uma alternativa. Por exemplo, se o Process identifier não for estável, pode-se usar o tempo, Host, User e Parent; se o Payload for encriptado, usam-se Metadados, volume, frequência e contexto TLS/DNS.

Processo de Trabalho Recomendado

Defina um Scope e uma questão de trabalho sobre Active Directory Penetration Testing.
Registe as fontes de dados e as evidências necessárias: trusts, delegation, ACLs, service accounts.
Crie uma Baseline curta de comportamento normal ou resultado esperado.
Realize o teste mínimo num ambiente de laboratório e guarde o tempo, a entrada e a saída.
Construa uma Timeline ou tabela de comparação e separe o facto da interpretação.
Faça um Pivot para uma fonte adicional para validar ou refutar a explicação inicial.
Resuma a decisão, as limitações, a ação recomendada e os critérios de Retest.

Cenário Prático

O cenário escolhido é a construção de um Checklist para um domínio de laboratório. O objetivo do exercício não é provar a capacidade de ataque, mas sim praticar a recolha, comparação e documentação de forma segura. Antes de iniciar o trabalho, definem-se dados simulados, um período de tempo e um resultado esperado.

No final do exercício, deve-se apresentar um produto que outro analista ou testador possa rever: uma captura de ecrã ou exportação da evidência, uma Timeline curta, uma suposição inicial, uma evidência de validação, uma limitação e uma recomendação. Quando não há evidência suficiente, a conclusão correta é que o cenário não foi comprovado.

Etapa	O que é realizado	Produto
Preparação	Defina Scope, tempo e objetivo. Registe quais campos ou evidências de trusts, delegation, ACLs são esperados.	Plano de teste curto
Criação de Dados	Execute uma ação segura e simulada relacionada com o Active Directory Penetration Testing, sem informações reais ou impacto num sistema de produção.	Evento/Pedido/Fluxo controlado
Recolha	Recolha a evidência bruta e o contexto de uma fonte adicional. Verifique o Time zone, os identificadores e a integridade.	Duas evidências ligadas
Análise	Escreva o que cada evidência prova, o que não prova e qual é a explicação legítima possível.	Conclusão provisória
Conclusão	Escolha um fecho, escalada, Finding ou Tuning; adicione uma recomendação e Retest.	Produto documentado

Checklist Prático

Verificar e documentar: Scope e ROE.
Verificar e documentar: Hora do teste e fonte.
Verificar e documentar: Request/Response ou saída da ferramenta.
Verificar e documentar: Impacto comprovado em laboratório.
Verificar e documentar: Classificação de risco.
Verificar e documentar: Remediação e Retest.
Indicar Time zone, versão da ferramenta e hora de recolha.
Guardar os dados brutos antes de filtrar ou alterar.
Escrever o que a descoberta prova e o que ainda é desconhecido.
Definir proprietário e ação de acompanhamento com prazo.

Erros Comuns

Iniciar um teste sem um Scope assinado.
Usar um Exploit agressivo como padrão.
Não guardar Evidência.
Reportar apenas o CVSS sem contexto.
Não propor uma remediação aplicável.
Não realizar Retest.

Resumo e CTA

Active Directory Penetration Testing: Guia de Teste e Proteção é um tópico que conecta o conhecimento técnico com a disciplina de trabalho. Comece com uma pergunta, recolha apenas evidências relevantes, mantenha o contexto e o tempo, e escolha uma ação que possa ser justificada e retestada.

No curso Cybersecurity & AI da HPI, estes princípios são praticados usando sistemas, logs e laboratórios. Um passo natural é passar para os artigos relacionados, realizar o exercício de laboratório e guardar o produto como parte de um portfólio profissional.

Perguntas frequentes

É permitido realizar Active Directory Penetration Testing num site público?

Não sem autorização expressa do proprietário do sistema. Mesmo um teste que pareça simples pode alterar dados, ativar mecanismos de defesa ou ser considerado acesso não autorizado.

O que fazer quando alguns dados estão em falta?

Documentar a ausência, verificar uma fonte alternativa e reduzir o nível de confiança. Não se devem preencher campos por suposição ou apresentar Unknown como correto.

Quanto tempo as evidências devem ser guardadas?

O tempo depende da política, regulamentação, custo e tipo de incidente. É importante definir antecipadamente Retention, Legal hold e a capacidade de exportar evidências num formato verificável.

Como praticar sem comprometer um sistema real?

Usar máquinas virtuais, dados simulados, CTF ou um laboratório dedicado. Em testes autorizados, define-se Scope, Stop conditions e backup antes de iniciar o trabalho.