PENTESTY · ANÁLISE EDITORIAL · · 4 min de leitura
Windows legado: como verificar o bloqueio de logons privilegiados
Um equipamento antigo precisa de manutenção sem receber credenciais capazes de administrar toda a empresa. Transforme essa separação em um critério de aceite.
Por Pentesty
Um relato de pentest, com data não divulgada
Em entrevista publicada em 29 de outubro, Dahvid Schloss relatou um pentest autorizado: credenciais administrativas obtidas em um equipamento Windows 7 teriam permitido ampliar o acesso ao domínio. Cliente e data do teste não foram informados. A repercussão brasileira motivou esta análise retrospectiva. Não obtivemos relatório técnico do cliente para conferência independente.
Separe domínio, conectividade e permissão de logon
Pertencer ao domínio define uma relação de identidade e administração. Segmentar exige controlar os caminhos de rede permitidos. Já as permissões de logon delimitam contas e tipos de sessão. Examine essas dimensões separadamente; retirar uma máquina do domínio não comprova isolamento da rede.
Uma senha complexa pode ser exposta no equipamento em que é utilizada. A complexidade não delimita a circulação do segredo nem os recursos controlados pela conta. Retire da manutenção as identidades com autoridade sobre o restante da empresa. A revisão de acesso remoto em OT complementa a análise de conectividade.
Desenhe o caminho de manutenção antes do bloqueio
A arquitetura de acesso privilegiado da Microsoft trata identidade, dispositivo, interface e destino como partes do mesmo caminho. Para o equipamento legado, estabeleça uma identidade de manutenção limitada ao trabalho necessário e uma origem administrativa aprovada.
Descreva a tarefa legítima: ajustar uma configuração da aplicação, consultar um diagnóstico ou recuperar o serviço. Indique o destino e a duração necessários. Evite transformar cada atendimento em uma sessão de administração do domínio. A análise das permissões de integração com diretórios ajuda a revisar a autoridade concedida a ferramentas de suporte.
Comprove a negativa e a manutenção legítima
Defina os tipos de sessão cobertos pelo bloqueio, incluindo acesso local e remoto quando aplicáveis. Uma regra para um deles não comprova a cobertura dos demais. Na homologação, use contas de teste e uma réplica representativa para verificar a política sem inserir credenciais administrativas reais no equipamento vulnerável.
Compare dois resultados: a identidade privilegiada de teste recebe a negativa prevista; a identidade de manutenção executa somente a tarefa aprovada pelo caminho permitido. Confirme também que ela não consegue administrar um destino fora do escopo. A evidência deve mostrar o resultado no destino, além da configuração pretendida na ferramenta de gestão.
Se a réplica divergir da instalação, registre a diferença. Uma confirmação no equipamento em operação exige autorização, janela e critérios de interrupção próprios. Não é necessário extrair segredos ou reproduzir uma exploração para demonstrar que uma tentativa de logon foi negada.
Atualização e proteção de credenciais precisam de aceite próprio
O boletim MS17-010 foi publicado em março de 2017. É contexto histórico, sem identificar a falha do teste narrado. Para conferir uma instalação, a orientação de verificação da Microsoft considera atualizações instaladas e versão de arquivo, com ressalva sobre atualizações substitutas.
Relacione sistema, arquitetura e pacote aplicável ao equipamento examinado. Não conclua que a correção está ausente apenas porque um identificador antigo não aparece: confira a substituição pelos canais de atualização. Essa conferência específica não comprova atualização completa do equipamento.
O texto histórico sobre KB2871997, de 2014, descreve proteção de credenciais e impactos de compatibilidade. Avalie a aplicabilidade ao sistema e às dependências presentes antes de alterar configurações. Uma mudança aprovada precisa preservar a manutenção sem reabrir o caminho bloqueado.
Feche o aceite por equipamento e tarefa
Entregue uma matriz para repetir a conferência após manutenção, troca de fornecedor ou alteração de política, incluindo as pendências.
- Bloqueio: conta de teste, origem, destino, tipo de logon e negativa observada.
- Continuidade: tarefa permitida, identidade limitada e resultado funcional.
- Correção: sistema identificado e evidência da atualização aplicável.
- Exceção: dependência legada, restrição compensatória e condição de revisão.
Perguntas frequentes
Retirar o computador do domínio resolve a segmentação?
A saída do domínio altera a relação de identidade. Verifique separadamente os caminhos de rede e as permissões de sessão que continuam disponíveis.
Uma senha complexa protege um segredo já exposto?
A complexidade não recupera a confidencialidade perdida. Investigue a exposição e trate as credenciais e sessões afetadas pelo procedimento de resposta aplicável.
Como validar o bloqueio sem usar uma conta administrativa real?
Use identidades de teste representativas em ambiente autorizado. Compare a negativa esperada com a manutenção permitida e documente as diferenças em relação à produção.
A falta de uma KB antiga comprova ausência da correção?
Confira as atualizações substitutas e os critérios aplicáveis à versão do sistema. A lista de um pacote histórico, isoladamente, não encerra essa verificação.
Fontes e referências
- The Register: entrevista sobre um pentest, publicada em 29 de outubro
- Microsoft: boletim MS17-010, de março de 2017
- Microsoft: critérios para verificar a instalação de MS17-010
- MSRC: visão histórica da proteção de credenciais em KB2871997
- Microsoft: arquitetura de acesso privilegiado
- Cyber Security Brazil: referência editorial da notícia
Análise original da Pentesty, publicada em 29 de outubro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.