A fase silenciosa: por que a enumeração de grupos do Active Directory merece atenção

A TrustedSec parte de uma assimetria: quase toda equipe alerta quando alguém entra no Domain Admins, mas quase ninguém alerta quando alguém consulta quem está lá. A enumeração é mapeada no MITRE ATT&CK como Permission Groups Discovery: Domain Groups (T1069.002). Qualquer usuário autenticado lê a associação de grupos por padrão, e ferramentas como SharpHound, PowerView e cmdlets do módulo ActiveDirectory fazem isso em minutos.

Para registrar a leitura, são duas peças. Primeiro, a política Audit Directory Service Access (Success) em todos os controladores de domínio. Segundo, uma SACL em cada grupo, com entrada para Everyone ou Authenticated Users, tipo Success, aplicada a This object only, para Read member. Com isso, cada leitura gera o Event 4662 no DC que respondeu. Em grupos built-in, como Administrators, aparece o Event 4799, que exige também a política Audit Security Group Management. O 4662 não registra a origem: é preciso casar o SubjectLogonId com o TargetLogonId de um 4624 no mesmo DC para obter IP e nome da estação.

Os pontos cegos são claros. Directory sync (Entra Connect), Exchange, ferramentas de inventário e scripts com Get-ADGroupMember geram milhares de eventos por dia. Ferramentas baseadas em SAMR, como net group /domain, escapam do sinal, assim como leituras de memberOf e tokenGroups. Grupos com adminCount=1 têm a SACL redefinida pelo AdminSDHolder mais ou menos a cada 60 minutos, então a regra precisa ir também para o AdminSDHolder. A própria TrustedSec admite que essa configuração contraria recomendações do CIS e pesa em logs e licenciamento de SIEM.

A saída proposta são grupos-isca (honeypot) com nome atraente, um ou dois usuários falsos com logon restrito e SPN falso para atrair Kerberoasting (Event 4769). Fora do escopo de sync e inventário, qualquer 4662 neles é verdadeiro positivo. A correlação decisiva: o mesmo SubjectLogonId lendo a isca e grupos administrativos reais em poucos minutos. O script QuietPhase (PowerShell 7.2 ou superior, módulo ActiveDirectory, sessão como Domain Admin) audita DCs e SACLs, roda em modo relatório por padrão e só altera algo com -Apply.

A cobertura anterior toca no mesmo tema pelo outro lado. Em 19 de junho de 2026, o CEVIU noticiou "Red teamers detectam honeypots no Active Directory sem autenticar, e os defensores precisam saber como", sobre atacantes que identificam honeytokens e iscas via chamadas MS-SAMR e LSA pela porta 445, evitando alertas de varreduras LDAP. Isso conversa direto com a lacuna de SAMR descrita agora: a auditoria de leitura do atributo member não vê esse caminho, e os próprios grupos-isca podem ser detectados por quem enumera sem LDAP. A TrustedSec recomenda detecções separadas para SAMR (logs de criação de processo, Defender for Identity).

Para quem opera um SOC ou cuida de AD, a leitura aqui é que a detecção de reconhecimento é barata em ferramentas, mas cara em volume e em disciplina de filtragem. Começar pelos grupos-isca entrega um alerta de alta confiança com pouco ruído, antes de mexer nos grupos reais. E vale tratar a cobertura de SAMR como complemento obrigatório, não opcional.