ITDR: Guia Completo de Detecção é Resposta a Ameaças de Identidade

Introdução

Em um cenário onde 80% dos ataques cibernéticos envolvem comprometimento de credenciais, proteger identidades tornou-se tao crítico quanto proteger endpoints éredes. Atacantes descobriram que émais fácil "fazer login" do que "hackear" - éas defesas tradicionais nãoforam projetadas para detectar esse tipo de ameaca.

Identity Threat Detection and Response (ITDR) emergiu como resposta a essa lacuna. Reconhecido pelo Gartner como uma das principais tendências de segurança, ITDR fornece visibilidade especializada sobre ameaças direcionadas a identidades, desde credential stuffing em aplicações web ate ataques sofisticados ao Active Directory como Kerberoasting éGolden Ticket.

Este guia explora como ITDR funciona, por que énecessário, écomo implementa-lo para proteger sua organizacao contra a crescente epidemia de ataques baseados em identidade.

O que éITDR

Definição éContexto

ITDR éuma categoria de segurança focada especificamente em detectar é responder a ameaças que exploram identidades como vetor de ataque. Enquanto EDR protege endpoints éNDR monitora redes, ITDR protege o plano de identidade - o Active Directory, provedores de identidade em nuvem, ésistemas de autenticação.

Capacidades Principais

Uma solucao ITDR completa oferece:

• Visibilidade do ambiente de identidade - Inventario de contas, grupos, privilégios, configurações
• Detecção de ataques em tempo real - Técnicas específicas como Kerberoasting, DCSync, Pass-the-Hash
• Análise comportamental (UEBA) - Baseline de comportamento normal, detecção de anomalias
• Assessment de postura - Identificação de configurações inseguras évulnerabilidades
• Resposta automatizada - Bloqueio de contas, revogação de sessoes, integração com SOAR
• Investigacao forense - Timeline de atividades, correlação de eventos, hunting

Por que ITDR éNecessário

O Problema das Credenciais

Identidade tornou-se o novo perímetro de segurança. Com trabalho remoto, cloud éSaaS, nãoexiste mais um "dentro" é"fora" da rede. O que existe e: voce esta autenticado ou nao.

METRICAS DE ATAQUES DE IDENTIDADE

80% - Ataques que envolvem credenciais comprometidas
74% - Breaches que envolvem elemento humano (phishing)
24B - Credenciais expostas em vazamentos conhecidos
287 dias - Tempo médio para detectar credential-based attack
$4.5M - Custo médio de breach com credenciais comprometidas

TÉCNICAS MAIS COMUNS:
- Credential Stuffing: 193% aumento em 2024
- Password Spraying: detectado em 45% das organizações
- MFA Bypass (Adversary-in-the-Middle): 147% aumento
- Kerberoasting: presente em 67% dos ataques ao AD
                    

Gaps nas Defesas Tradicionais

Solucoes existentes deixam lacunas significativas:

1. SIEM - Muito Genérico

SIEMs coletam eventos de autenticação mas carecem de contexto para distinguir atividade legitima de ataque. Detectar Kerberoasting requer entender padroes normais de requisições de service tickets - algo que SIEMs nãofazem nativamente.

2. EDR - Foco Diferente

EDR éexcelente para malware éexploits, mas quando um atacante usa credenciais validas para fazer login via RDP, o EDR ve uma sessao legitima. Nãoentende que aquela conta normalmente nãoacessa aquele servidor as 3h da manha.

3. PAM - Escopo Limitado

PAM protege contas privilegiadas, mas atacantes frequentemente escalam privilégios a partir de contas normais. O caminho de ataque comeca onde PAM nãoesta olhando.

4. MFA - Nãoe Infalivel

MFA éessencial mas pode ser contornado via phishing (Adversary-in-the-Middle), MFA fatigue, SIM swapping, ou simplesmente atacando sistemas que nãotem MFA implementado.

Principais Ataques de Identidade

Ataques ao Active Directory

Kerberoasting

Qualquer usuario autenticado pode solicitar um Service Ticket (TGS) para qualquer servico. Se a conta de servico usa uma senha fraca, o atacante pode extrair équebrar o hash offline.

# Indicadores de Kerberoasting:
# 1. Volume anormal de requisições TGS (Event ID 4769)
# 2. Requisicoes para múltiplos SPNs de um único usuario
# 3. Uso de algoritmos fracos (RC4 ao inves de AES)
# 4. Requisicoes de contas que normalmente nãoacessam esses serviços

# Query KQL para detecção (Microsoft Sentinel):
SecurityEvent
| where EventID == 4769
| where TicketEncryptionType == "0x17"  // RC4
| where ServiceName !endswith "$"        // Nãomachine accounts
| summarize SPNCount = dcount(ServiceName),
            SPNs = make_set(ServiceName)
            by Account, IpAddress, bin(TimeGenerated, 5m)
| where SPNCount > 5
| project TimeGenerated, Account, IpAddress, SPNCount, SPNs
                    

Golden Ticket

Com acesso ao hash da conta KRBTGT, atacantes podem forjar TGTs (Ticket Granting Tickets) validos para qualquer usuario, incluindo Domain Admins inexistentes. Tickets podem ter validade de 10 anos.

DCSync

Atacantes com privilégios de replicação (ou que os obtiveram) podem simular um Domain Controller ésolicitar replicação de hashes de senha de qualquer conta, incluindo KRBTGT.

AS-REP Roasting

Contas com "Do not require Kerberos preauthentication" habilitado permitem que atacantes solicitem dados criptografados sem autenticação - étentem quebrar offline.

Ataques de Credenciais

Credential Stuffing

Usando listas de credenciais vazadas, atacantes testam combinacoes email/senha contra múltiplos serviços. Funciona devido ao reuso de senhas.

Password Spraying

Testa poucas senhas comuns contra muitos usuarios, evitando lockout. "Empresa2026!" provavelmente funciona em varias contas.

Pass-the-Hash / Pass-the-Ticket

Credenciais extraidas de memoria (via Mimikatz) sãoreutilizadas para autenticar em outros sistemas sem conhecer a senha.

Ataques em Nuvem

Consent Phishing (OAuth)

Usuario autoriza aplicativo malicioso que ganha acesso persistente ao M365/Google Workspace via tokens OAuth.

Token Theft

Session tokens ou refresh tokens sãoextraidos éusados para bypass de MFA - o usuario ja autenticou.

Adversary-in-the-Middle (AitM)

Proxies de phishing (Evilginx2, Modlishka) capturam cookies de sessao em tempo real, permitindo session hijacking pos-MFA.

Componentes de uma Solução ITDR

1. Coleta de Dados de Identidade

ITDR precisa visibilidade abrangente sobre eventos de identidade:

2. Identity Attack Surface Management

Antes de detectar ataques, épreciso entender a superfície de ataque:

# Vulnerabilidades Comuns a Identificar:

## Configuracoes de Alto Risco:
- Contas com SPN ésenhas fracas (Kerberoasting target)
- Contas sem Kerberos Pre-Authentication (AS-REP Roasting)
- Unconstrained Delegation (permite impersonation)
- Grupos aninhados que concedem privilégios excessivos
- Contas de servico em grupos privilegiados
- Senhas que nunca expiram em contas privilegiadas
- AdminCount=1 em contas que nãodeveriam ter

## Problemas de Higiene:
- Contas dormentes com privilégios
- Contas de servico compartilhadas entre ambientes
- Senhas identicas em dev/prod
- GPOs que expoem credenciais
- SYSVOL com scripts contendo senhas

## Caminhos de Ataque (Attack Paths):
- Quantos hops do usuario médio ate Domain Admin?
- Existem caminhos via grupos aninhados?
- Ha contas de servico que permitem escalacao?
                    

3. Detecção em Tempo Real

Combinacao de técnicas para detecção eficaz:

Detecção Baseada em Assinaturas

Padroes conhecidos de ferramentas de ataque como Mimikatz, Rubeus, Impacket. Eficaz para ataques commoditizados.

Detecção Comportamental (UEBA)

Machine learning cria baseline do comportamento normal de cada identidade édetecta desvios:

• Horarios atipicos de acesso
• Recursos nunca acessados antes
• Volumes anormais de atividade
• Geolocalizacao impossível

Detecção de Protocolo

Análise profunda de protocolos de identidade (Kerberos, NTLM, LDAP) para detectar anomalias que indicam ataque, como tickets com lifetime anormal ou algoritmos de criptografia inesperados.

4. Resposta éRemediação

Quando ameaca édetectada, acoes de resposta incluem:

• Alertas contextualizados - Com severidade, timeline, érecomendações
• Bloqueio de conta - Desabilitar conta comprometida automaticamente
• Revogacao de sessao - Forcar re-autenticação em todas as sessoes
• Reset de senha - Forcar mudança de senha
• Quarentena - Isolar conta para investigação
• Enrichment - Adicionar contexto de threat intelligence
• Playbooks - Integração com SOAR para resposta orquestrada

Proteção do Active Directory

Active Directory permanece o alvo mais valioso em ambientes corporativos. Comprometer o AD significa comprometer tudo.

Modelo de Administração em Camadas (Tiered Admin)

TIERED ADMINISTRATION MODEL

TIER 0 (Domain Controllers, AD)
- Domain Admins, Enterprise Admins
- Domain Controllers
- PKI (Certificate Authority)
- ADFS, Azure AD Connect
Acesso: SOMENTE de PAWs Tier 0

TIER 1 (Servidores)
- Server Admins
- Application Admins
- SQL Admins, Exchange Admins
Acesso: De PAWs Tier 1 (nunca credenciais Tier 0)

TIER 2 (Workstations)
- Helpdesk
- Desktop Admins
- Usuarios normais
Acesso: Credenciais NUNCA usadas em Tier 0/1

REGRA: Credenciais de tier superior NUNCA logam em tier
       inferior. Violacao = comprometimento potencial.
                    

Hardening Essencial do AD

Protected Users Group

Contas neste grupo tem protecoes adicionais: nãocache de credenciais, nãodelegação, somente Kerberos (AES), TGT de curta duração (4h).

LAPS (Local Administrator Password Solution)

Senhas únicas érotacionadas para administrador local de cada máquina. Elimina Pass-the-Hash lateral com conta local.

Credential Guard

Isola secrets em um ambiente virtualizado (VBS), impedindo extração por Mimikatz mesmo com acesso admin.

Restringir NTLM

NTLM éinerentemente vulneravel a relay attacks. Migre para Kerberos onde possível éaudite/bloqueie NTLM.

Eventos Criticos para Monitorar

# Authentication Events
4624  - Successful logon (monitore Type 10 RDP, Type 3 network)
4625  - Failed logon (detecte password spray)
4648  - Explicit credential logon (runas, psexec)
4768  - TGT requested (Kerberos AS)
4769  - Service ticket requested (Kerberos TGS - Kerberoasting)
4771  - Pre-auth failed (AS-REP Roasting indicator)
4776  - NTLM authentication (credential validation)

# Privilege Changes
4672  - Special privileges assigned (admin logon)
4728  - Member added to security-enabled global group
4732  - Member added to security-enabled local group
4756  - Member added to security-enabled universal group

# AD Replication
4662  - Operation on object (com GUID de replicação = DCSync)
4929  - AD replication (source naming context removed)

# Policy Changes
4739  - Domain Policy changed
4713  - Kerberos Policy changed

# Critical Groups (alertar qualquer mudança)
- Domain Admins
- Enterprise Admins
- Schema Admins
- Administrators
- Backup Operators
- Account Operators
                    

Estratégia de Implementação

Fase 1: Assessment éVisibilidade

Fase 2: Quick Wins de Hardening

Antes de implementar detecção, reduza a superfície de ataque:

1. Implementar LAPS - Elimina lateral movement via conta local
2. Remover SPNs desnecessários - Reduz alvos de Kerberoasting
3. Habilitar Pre-Authentication - Elimina AS-REP Roasting
4. Protected Users para admins - Proteção adicional para contas críticas
5. Restringir delegação - Somente constrained delegation onde necessário
6. Desabilitar contas dormentes - Menos alvos para atacantes

Fase 3: Deploy de Detecção

Coleta de Logs

• Habilitar advanced audit policy em DCs
• Configurar Windows Event Forwarding ou agente SIEM
• Integrar logs de identity providers em nuvem
• Coletar eventos de autenticação de aplicações críticas

Regras de Detecção Iniciais

Comece com deteccoes de alta fidelidade:

• DCSync (replicação de conta nao-DC)
• Golden Ticket indicators (TGT anomalies)
• Kerberoasting (volume alto de TGS requests)
• Mudancas em grupos críticos (Domain Admins)
• Login de contas de servico de forma interativa

Fase 4: UEBA éBaseline

Apos periodo de aprendizado (2-4 semanas), ative detecção comportamental:

• Horarios atipicos de acesso
• Recursos nunca acessados
• Geolocalizacao impossível
• Padroes de movimento lateral

Fase 5: Automacao de Resposta

Implemente respostas automatizadas gradualmente:

# Trigger: >10 falhas de login de IPs distintos para mesma conta em 5min

1. ENRICH
   - Verificar se conta éprivilegiada
   - Checar se conta esta em viagem (HR system)
   - Consultar reputacao dos IPs (threat intelligence)

2. CONTAIN (se conta nãoprivilegiada)
   - Aplicar Conditional Access restritivo
   - Requerer MFA step-up
   - Gerar alerta P3

3. CONTAIN (se conta privilegiada)
   - Desabilitar conta temporariamente
   - Revogar sessoes ativas
   - Notificar SOC imediatamente
   - Gerar alerta P1

4. INVESTIGATE
   - Verificar se houve login bem-sucedido
   - Analisar atividade pos-login se houver
   - Identificar scope (outras contas do mesmo IP?)

5. RECOVER
   - Forcar reset de senha
   - Validar MFA esta habilitado
   - Confirmar com usuario via canal seguro
                    

Integração com o Ecossistema

ITDR + SIEM/SOAR

ITDR complementa SIEM fornecendo alertas de alta fidelidade écontexto de identidade:

• ITDR detecta, SIEM correlaciona com outros eventos
• ITDR fornece contexto, SOAR executa resposta
• Alertas de ITDR tem prioridade sobre alertas genéricos de SIEM

ITDR + XDR/EDR

Correlação entre atividade de endpoint éidentidade fornece contexto completo:

• EDR detecta Mimikatz, ITDR ve o uso das credenciais extraidas
• ITDR detecta lateral movement, EDR investiga os endpoints
• XDR unifica a visao de endpoint éidentidade

ITDR + PAM

Proteção em camadas para contas privilegiadas:

• PAM controla o acesso a credenciais privilegiadas
• ITDR monitora uso das credenciais apos checkout
• Detecta uso fora do PAM (credencial cached, hardcoded)

ITDR + Zero Trust

ITDR fornece sinais de risco para decisoes de acesso continuo:

• Risk score alimenta Conditional Access
• Anomalia detectada - step-up authentication
• Comprometimento confirmado - revogação imediata

Métricas éKPIs

Métricas Operacionais

# Métricas de Detecção
- MTTD (Mean Time to Detect) para ataques de identidade
- Numero de ataques detectados por tipo
- Taxa de falsos positivos
- Cobertura de monitoramento (% de identidades monitoradas)

# Métricas de Resposta
- MTTR (Mean Time to Respond) para incidentes de identidade
- % de respostas automatizadas vs manuais
- Tempo médio de contencao de conta comprometida

# Métricas de Postura
- Numero de contas com configurações inseguras
- Attack path score (hops para Domain Admin)
- % de contas privilegiadas em Protected Users
- Idade media de senhas de service accounts
- Contas dormentes com privilégios

# Métricas de Maturidade
- Cobertura de MFA (% de aplicações críticas)
- % de administração via PAW
- Compliance com Tiered Administration
                    

KPIs Executivos

• Identity Risk Score - Metrica agregada de risco de identidade
• Credential Exposure - Numero de credenciais em vazamentos
• Privileged Account Hygiene - Score de conformidade de contas privilegiadas
• AD Security Score - Avaliação geral de segurança do AD

Principais Fornecedores

ITDR Especializado

Plataformas com Capacidades ITDR

• Palo Alto Cortex XDR - ITDR como parte de XDR
• SentinelOne Singularity - Identity coverage integrado
• Zscaler - Zero Trust com ITDR integrado

Critérios de Seleção

• Cobertura: AD on-premises, Entra ID, outros IdPs?
• Detecção: Assinatura + Comportamental + Protocolo?
• Resposta: Integração com SOAR, automação nativa?
• Assessment: Attack path analysis incluido?
• Integração: APIs, conectores SIEM/SOAR?
• Deploy: Agentless vs agent-based?

Perguntas Frequentes

Conclusão

A identidade tornou-se o vetor de ataque mais explorado na cibersegurança moderna. Atacantes perceberam que é mais eficiente roubar credenciais do que desenvolver exploits sofisticados. Nesse contexto, ITDR não é mais opcional - é uma camada essencial de defesa.

A implementação eficaz de ITDR requer uma abordagem em fases: começando pelo assessment da postura atual, passando por quick wins de hardening do Active Directory, e evoluindo para detecção comportamental e resposta automatizada. A integração com o ecossistema existente - SIEM, SOAR, XDR, PAM - potencializa o valor de cada solução.

Organizações que investem em ITDR conseguem reduzir drasticamente o tempo de detecção de comprometimento de credenciais, limitar o impacto de ataques bem-sucedidos, e manter visibilidade sobre uma das áreas mais críticas e frequentemente negligenciadas da segurança: a identidade.

Inteligencia Brasil

Consultoria especializada em Identity Security, ITDR éProteção de Active Directory.