Privileged Access Workstations: Protegendo o acesso administrativo ao AD

A maioria das organizações ainda permite que contas privilegiadas tenham mais acesso do que deveriam. O Netwrix 2026 Data and Identity Security Report constatou que 64% têm pelo menos algum acesso superprovisionado a dados críticos. Credenciais roubadas continuam sendo a forma mais fácil de entrar, representando 22% das violações segundo o Verizon 2025 Data Breach Investigations Report.

Para Active Directory, essa combinação transforma um laptop comum em um risco de Nível 0. O dispositivo onde um administrador faz login tem tanta confiança quanto a própria identidade.

Uma credencial de Domain Admin digitada em um laptop comprometido está comprometida, não importa o quão protegido esteja o controlador de domínio por trás. Os atacantes sabem disso e roubam credenciais de administrador nos mesmos dispositivos onde os administradores leem e-mails e navegam na web.

Fechar essa lacuna começa por fornecer aos administradores um dispositivo dedicado para o trabalho de Tier 0, separado de tudo o que fazem no dia a dia.

O que é uma estação de trabalho de privileged access (PAW)?

Uma estação de trabalho de acesso privilegiado (PAW) é um dispositivo dedicado e reforçado reservado para tarefas administrativas privilegiadas. Não executa cliente de e-mail, não permite navegação geral na web e aceita logons apenas de contas administrativas designadas, portanto, as credenciais que controlam o AD e Microsoft Entra ID permanecem fora de dispositivos expostos a riscos diários.

Um administrador faz login em um PAW para editar GPOs, gerenciar zonas DNS, promover ou rebaixar controladores de domínio, ou redefinir uma senha de Domain Admin. Nenhum desses trabalhos envolve email ou navegador, então nenhum precisa acontecer em um dispositivo que os utilize.

Um laptop reforçado para uso diário não é a mesma coisa que um PAW. Endpoint detection and response, criptografia de disco e uma política de senha forte reduzem o risco em um dispositivo que ainda lê e-mails e navega na web. Um PAW elimina esse risco em vez de gerenciá-lo, já que os aplicativos que apresentam maior risco de comprometimento (clientes de e-mail, navegadores, aplicativos de chat) estão totalmente ausentes do dispositivo.

Qual é a diferença entre um PAW e um jump server?

Um PAW e um jump server protegem pontos diferentes no caminho de acesso. Um jump server direciona sessões de administrador para seu destino; um PAW é o endpoint confiável onde a sessão começa. Proteger apenas o jump server deixa uma brecha, pois ele ainda herda a confiança do dispositivo que se conecta a ele. Por isso, o dispositivo inicial do administrador também precisa ser bloqueado, não apenas o caminho que a sessão percorre.

Um administrador protegido apenas por um jump server ainda inicia cada sessão em seu laptop diário, fazendo login e conectando-se a partir dele. Se esse laptop tiver um keylogger ou um infostealer rodando em segundo plano, as credenciais do administrador são capturadas no momento em que são digitadas, antes mesmo da sessão alcançar o jump server. O jump server nunca vê a violação, porque ela já aconteceu um salto antes.

A maioria das implementações empresariais usa ambos juntos em vez de escolher um. O PAW serve como o dispositivo confiável onde o administrador se autentica, e o jump server ou bastion host adiciona uma camada de segmentação de rede sobre ele, roteando essa sessão já confiável para controladores de domínio, Entra ID ou outros sistemas Tier 0. Remover qualquer uma das partes reabre a lacuna que a outra cobria.

Por que as estações de trabalho de acesso privilegiado são importantes para o Active Directory

Um PAW conquista seu lugar porque o acesso Tier 0 não seguro apresenta riscos em múltiplas frentes. A exposição de credenciais, lacunas de auditoria e aplicação inconsistente de políticas têm a mesma causa raiz: sessões privilegiadas executadas em dispositivos usados para cargas de trabalho genéricas e amplas, protegidos de forma frouxa para permitir exatamente esse tipo de trabalho, o que gera muitos registros ruidosos que dificultam detectar acessos privilegiados suspeitos.

Reduzindo o raio de impacto de uma credencial comprometida

Restringir as credenciais Tier 0 a um único dispositivo reforçado significa que uma estação de trabalho comum totalmente comprometida não fornece ao invasor nada que alcance Active Directory.

Sem essa contenção, a mesma violação ocorre rapidamente, como mostrou uma CISA red team assessment quando a equipe comprometeu um controlador de domínio Windows cerca de duas semanas após o acesso inicial, e depois se moveu lateralmente para todos os hosts Windows associados ao domínio.

As equipes que desejam medir essa exposição antecipadamente podem usar uma privileged account attack surface assessment estruturada para identificar quais contas apresentam esse risco antes de um invasor.

Fechando o caminho mais usado pelos atacantes

Um PAW bloqueia o phishing, o caminho mais usado pelos atacantes. Como um PAW não tem cliente de email nem navegação web geral, uma mensagem de phishing nunca chega à caixa de entrada do dispositivo, e as credenciais de administrador nunca tocam na máquina onde um phishing poderia ocorrer. Essa barreira é importante, pois o phishing superou as credenciais roubadas como a rota mais comum para obter acesso, segundo o IBM Cost of a Data Breach Report 2025.

Esse bloqueio é aplicado no nível de build, pois a imagem reforçada do PAW exclui completamente os aplicativos de e-mail e navegador, em vez de apenas restringi-los após a instalação.

Oferecer aos administradores um ambiente limpo para o trabalho de Tier 0

Um administrador que faz uma alteração de esquema ou edita um GPO a partir de um PAW pode confiar no estado do dispositivo sem considerar atividades de produtividade não relacionadas daquela manhã. As regras de isolamento do PAW reduzem esse risco de contaminação, e o Microsoft Defender for Endpoint gera sinais de conformidade e risco que reforçam essa confiança com telemetria.

Transformando o menor privilégio em um controle aplicado

Uma política de least privilege significa pouco se contas privilegiadas circulam livremente. Domain Admin credentials são expostas em todos os dispositivos onde membros do grupo Domain Admins fazem login para solucionar problemas, um padrão que a Microsoft Incident Response documentou repetidamente. As regras de deny-logon rules vinculadas a PAWs tornam os limites de nível um fato técnico, e não uma intenção escrita.

Oferecendo às equipes de segurança uma resposta defensável durante auditorias

Com uma arquitetura PAW implementada, a equipe de segurança pode mostrar aos auditores e aos respondedores de incidentes exatamente onde e como o acesso Tier 0 acontece, em vez de oferecer uma garantia geral de que o acesso está controlado.

Netwrix Auditor reforça essa resposta. Seus relatórios de alteração de AD e GPO incluem a estação de trabalho de origem onde o usuário estava logado quando fez a alteração, para que uma equipe possa verificar que toda alteração de Nível 0 veio de um PAW designado. Essa mesma visibilidade de alterações ajuda as equipes a comprovar o controle de grupos privilegiados em ambientes de produção, como Berry College fez com alertas sobre alterações nos grupos Domain Admins e Enterprise Admins.

Como o PAW aplica o modelo Tier 0

Os PAWs funcionam porque transformam o modelo de administração em camadas da Microsoft de um diagrama para algo que um domínio realmente aplica. Sem um dispositivo que bloqueie fisicamente o acesso de menor confiança, os limites das camadas existem apenas como documentação de políticas que os administradores podem escolher seguir ou ignorar.

O que é o modelo Tier 0

O modelo de administração em camadas divide o ambiente por confiança. A Camada 0 contém o plano de controle de identidade, controladores de domínio, serviços principais de diretório, Microsoft Entra Connect, Active Directory Federation Services (AD FS) e Active Directory Certificate Services (AD CS). A Camada 1 contém servidores e aplicações empresariais, e a Camada 2 contém estações de trabalho dos usuários finais.

Cada nível requer seu próprio limite de confiança e contas de administrador dedicadas que nunca cruzam níveis. O modelo atual Enterprise Access da Microsoft estende isso para ambientes híbridos e em nuvem, com o Nível 0 mapeando o plano de controle.

O princípio da fonte limpa

O princípio da fonte limpa significa que toda dependência de segurança de um sistema deve ser pelo menos tão confiável quanto o próprio sistema. Um PAW protege o Nível 0 apenas se nada de menor confiança o tocar, direta ou indiretamente.

Gerenciar ou configurar remotamente um PAW a partir de um laptop comum quebra o modelo de uma forma concreta: torna o laptop uma dependência de segurança do PAW e reintroduz exatamente a exposição que o PAW existe para prevenir.

Como um PAW transforma o modelo em uma regra aplicada

O modelo em camadas define o limite, e o princípio da fonte limpa explica por que ele deve ser mantido, mas nenhum se aplica sem um mecanismo físico, que é exatamente o que um PAW fornece.

Os GPOs de negação de logon bloqueiam uma credencial Tier 0 de se autenticar em outro lugar, o controle de aplicativos bloqueia código não aprovado no dispositivo e as regras de firewall bloqueiam todos os caminhos de rede, exceto o gerenciamento Tier 0.

Hardware e política fecham conjuntamente o limite, mantendo-o contra erros administrativos acidentais e tentativas de ataque.

Como implantar um PAW para Active Directory Tier 0

Implantar um PAW funciona melhor como uma sequência de controles específicos e verificáveis, em vez de um único gesto de endurecimento. Pular ou reordenar uma etapa tende a deixar uma lacuna que as etapas seguintes presumem já estar fechada.

Passo 1: Escolha o fator de forma

Escolha hardware físico para qualquer PAW que acesse o Tier 0; nunca use uma máquina virtual. Um hypervisor comprometido pode expor diretamente a memória e os snapshots da VM, entregando ao invasor as credenciais que PAW existe para proteger.

Ferramentas como VMkatz extraem hashes NT LAN Manager (NTLM), tickets Kerberos e credenciais de domínio diretamente de um snapshot de VM. Novas vulnerabilidades de escape continuam surgindo, e CVE-2025-22226 é um exemplo recente, vazando memória VM do processo VMware vmx em 2025.

Adquira um laptop que já tenha TPM 2.0, UEFI Secure Boot e suporte a VBS/HVCI integrados, em vez de reutilizar um dispositivo aposentado que antecede esses requisitos. Acompanhe cada PAW como um ativo de Tier 0 etiquetado no inventário, separado do ciclo padrão de renovação do usuário final, para que não entre silenciosamente em um cronograma mais lento de patches e substituições.

Reserve PAWs virtuais para administração de recursos em nuvem ou de nível inferior, onde o hipervisor esteja em um nível de confiança apropriado. Controladores de domínio e AD sempre recebem um laptop físico dedicado.

Passo 2: Construa a imagem reforçada

Comece com o Windows 11 Enterprise com a security baseline atual (versão 25H2). Este também é um bom momento para aplicar uma lista de verificação de system-hardening além dos controles específicos de PAW listados abaixo. A build requer:

• Hardware com Trusted Platform Module (TPM) 2.0, Unified Extensible Firmware Interface (UEFI) Secure Boot, BitLocker e suporte a Virtualization-Based Security (VBS)/Hypervisor-Protected Code Integrity (HVCI).
• Credential Guard e processo protegido pela Local Security Authority (LSA) ativado com bloqueio UEFI, conforme a baseline.
• Microsoft Defender for Endpoint integrado seguindo a sequência recomendada pela Microsoft para EDR onboarding sequence, depois gestão de vulnerabilidades, controles de proteção Defender e redução da superfície de ataque.
• Sem cliente de e-mail e sem navegação geral; mantenha o trabalho produtivo em uma conta e dispositivo totalmente separados.
• Defina os direitos de administrador local para "Nenhum" ao ingressar.

Essa combinação dá ao PAW uma linha de base mínima e mensurável antes que qualquer administrador faça login.

Considere isto como uma build definitiva e submeta cada modificação ao mesmo processo de gestão de mudanças que qualquer outra alteração de Nível 0, em vez de permitir instalações ad hoc em um único dispositivo.

Passo 3: Crie OUs dedicadas e aplique restrições de logon com GPO

Crie uma estrutura dedicada de unidade organizacional (OU) Tier 0, separada do restante do Active Directory. Crie uma OU Admin contendo Admin\Tier 0\Accounts e Admin\Tier 0\Groups.

Coloque os membros de Domain Admins e Enterprise Admins na OU de contas Tier 0 e vincule o GPO do computador PAW à OU de dispositivos Tier 0. Mantenha esta OU plana e livre de exceções aninhadas, pois um link GPO herdado de uma OU pai é a forma mais comum de esse isolamento falhar silenciosamente.

Para restrições de logon, use dois grupos de segurança, Tier0-Users e Tier0-Computers, e duas GPOs:

• Um GPO "T0 Initial Isolation (Computer)" aplica todos os cinco direitos de negação para esses grupos em todo o domínio.
• Um GPO "T0 Access (Computer)" remove as negações apenas nos sistemas Tier 0.
• A ordem dos links importa: primeiro Default Domain Controllers Policy, depois T0 Initial Isolation e, por fim, T0 Access, para que os sistemas Tier 0 nunca se bloqueiem.

Essa sequência mantém a restrição de domínio padrão, permitindo que os sistemas Tier 0 permaneçam administráveis.

Aplique cinco configurações de User Rights Assignment ao GPO de negação:

1. Negar logon local.
2. Negar o logon através do Remote Desktop Services.
3. Negar o acesso a este computador pela rede.
4. Negar logon como trabalho em lote.
5. Negar logon como serviço.

Os direitos Deny prevalecem sobre seus equivalentes Allow.

Para controle de aplicativos, use App Control for Business (o nome atual do Windows Defender Application Control) em vez do legado AppLocker, que ainda recebe correções de segurança, mas sem novos recursos.

Passo 4: Implantar o Windows LAPS na conta de administrador local do PAW

Uma senha local estática de administrador no PAW oferece a um invasor um caminho pass-the-hash e de movimento lateral assim que é capturada uma vez. Feche-a com Windows LAPS, incorporado no Windows 11 23H2 e posteriores, que faz backup da senha no AD ou Microsoft Entra ID e a rotaciona automaticamente em vez de deixá-la fixa indefinidamente.

Defina a rotação para 30 dias ou menos com comprimento mínimo de 14 caracteres e confirme que a rotação pós-autenticação está ativa para que a senha seja alterada no momento em que a conta gerenciada fizer login, em vez de esperar apenas pelo cronograma fixo.

Essa segunda rotação é mais importante que a baseada no calendário, pois limita por quanto tempo uma senha em texto claro capturada permanece utilizável se alguém a obtiver. Desative primeiro qualquer implantação Legacy Microsoft LAPS, pois a Microsoft a descontinuou a partir do Windows 11 23H2 e não receberá mais atualizações.

Ative o Windows LAPS através do modelo de Política de Grupo LAPS (Modelos Administrativos, Sistema, LAPS no Group Policy Management Console), e defina o diretório de backup de senha para Microsoft Entra ID para PAWs conectados ao Entra ou para Active Directory para os conectados ao domínio. Em dispositivos gerenciados pelo Intune, aplique a mesma configuração via perfil de configuração de proteção de conta em vez de GPO.

Passo 5: Restringir o acesso à rede e alcançar Tier 0 apenas via RDP

Configure um perfil de firewall Privileged no PAW com controles rigorosos de entrada e saída, fechando todos os caminhos, exceto os necessários para a gestão Tier 0:

• Bloqueie todo o tráfego de entrada, incluindo regras definidas localmente.
• Restrinja o tráfego de saída a regras explícitas para Domain Name System (DNS), Dynamic Host Configuration Protocol (DHCP), Network Time Protocol (NTP), Network Connectivity Status Indicator (NCSI), Hypertext Transfer Protocol (HTTP) e Hypertext Transfer Protocol Secure (HTTPS).
• Bloquear a mesclagem de regras para que os administradores locais não possam adicionar suas próprias exceções.
• Restrinja o acesso à internet de saída apenas aos endpoints de patching e gerenciamento.
• Mantenha a lista ProxyOverride limitada ao que o dispositivo precisa para autenticar-se no Microsoft Entra ID e acessar as interfaces de gerenciamento.

Esses controles mantêm o PAW limitado aos caminhos de gerenciamento necessários para o trabalho de Nível 0.

Para Remote Desktop Protocol (RDP) em controladores de domínio, use Restricted Admin mode em vez de uma sessão padrão, iniciando mstsc.exe com/RestrictedAdmin para que as credenciais nunca cheguem ao destino e não possam ser reutilizadas após a desconexão.

Erros comuns que prejudicam uma implantação de PAW

Uma implantação PAW pode falhar mesmo quando todos os controles técnicos estão em vigor, geralmente por causa de como é gerenciada no dia a dia, e não de como foi construída. A maioria das falhas está relacionada à conveniência, a um administrador, a uma exceção de política ou a uma ferramenta de gerenciamento que contorna o limite em vez de passar por ele.

Gerenciando o PAW a partir de um dispositivo de menor confiança

Um administrador que configura ou gerencia remotamente seu PAW a partir de seu laptop do dia a dia tornou esse laptop uma dependência de Nível 0. Qualquer ferramenta usada para gerenciar ou monitorar o PAW precisa ser confiável no nível do PAW ou superior, pois um caminho de gerenciamento com menor confiança concede ao invasor o mesmo acesso que o PAW existe para negar. Execute o gerenciamento e monitoramento do PAW a partir de uma confiança equivalente ao Nível 0, mesmo quando o caminho de menor confiança for mais conveniente.

Deixar o PAW migrar para um segundo laptop do dia a dia

Uma extensão de navegador aqui, um app de chat ali, e em um ano o PAW não corresponde mais à sua golden image. Aplique controle de deriva tecnicamente em vez de depender de um memorando de política. App Control for Business bloqueia a execução de software não aprovado, e a gestão de mudanças mantém o PAW alinhado à golden image.

Bloqueando até que os administradores encontrem uma solução

Se restringir demais o PAW, os administradores farão tarefas de Nível 0 a partir de um dispositivo não gerenciado, comprometendo todo o modelo, pois um PAW difícil de usar leva as pessoas a procurar alternativas. Um processo de exceção viável nomeia um aprovador, geralmente o proprietário da plataforma do PAW, e adiciona a ferramenta solicitada à política de App Control como uma regra verificada, em vez de uma exceção geral. Defina uma data de revisão para cada exceção para que aprovações temporárias não se tornem lacunas permanentes.

Tratar o lançamento como tudo ou nada

Equipes que tentam cobrir todos os papéis de administrador ao mesmo tempo travam antes mesmo de o Tier 0 estar protegido. Em vez disso, implemente em fases: comece com os administradores AD, depois expanda para todos os administradores e adicione controles adicionais depois. Proteger primeiro os administradores de domínio e os administradores AD/Microsoft Entra proporciona redução de risco mensurável em semanas.

Deixar a infraestrutura de gerenciamento PAW em um nível inferior

O sistema de imagem, a delegação de GPO e o backend LAPS que gerenciam os PAWs são ativos de Nível 0, independentemente dos rótulos. Comprometer o Microsoft Endpoint Configuration Manager pode permitir a execução de código em controladores de domínio, conforme documentado pela SpecterOps em Tier Zero: Members and Modification.

Exija que qualquer pessoa com direitos de delegação GPO cumpra os padrões de Domain Admin, pois a delegação GPO é um caminho direto para a execução de código em todos os dispositivos que a política afeta. Aplique o mesmo nivelamento e restrições de acesso à infraestrutura de gerenciamento PAW como aos PAWs que ela gerencia.

Onde o PAW se encaixa em uma estratégia completa de privileged access

Privileged Access Management (PAM) adiciona controles de aprovação, elevação e sessão que governam por quanto tempo os direitos privilegiados persistem e o que os administradores podem fazer com eles.

PAW controla onde; PAM controla como e quando

Um PAW limita o trabalho do Nível 0 a um dispositivo confiável, enquanto o PAM restringe os direitos elevados nesse dispositivo ao tempo necessário para a tarefa. Em uma implantação combinada, a ferramenta PAM verifica a conformidade do dispositivo e confirma que a solicitação se origina de um PAW aprovado antes de conceder uma elevação com tempo limitado e revogá-la automaticamente quando a sessão ou o período terminar.

Nenhum controle isolado protege completamente o acesso Tier 0, pois os atacantes contornam qualquer defesa isolada que encontrarem primeiro. Combinar o confinamento no nível do dispositivo do PAW com a elevação temporizada do PAM fecha ambas as rotas ao mesmo tempo, já que uma credencial roubada ainda precisa de um dispositivo aprovado, e um dispositivo aprovado ainda precisa de uma concessão ativa e limitada no tempo para fazer algo com ela.

PAW é a base sobre a qual são construídos MFA e o acesso condicional

A autenticação multifator (MFA) e o acesso condicional confirmam quem está fazendo login e de qual contexto. O Microsoft Digital Defense Report 2025 credita à MFA o bloqueio de 99% das tentativas de acesso não autorizadas. Essas verificações só fazem sentido se o dispositivo em si não tiver sido comprometido por atividade não relacionada, pois um keylogger vê a sessão após o sucesso da MFA.

Os filtros de dispositivo de acesso condicional podem exigir que funções privilegiadas sejam ativadas apenas a partir de um PAW compatível, vinculando a verificação de identidade à verificação do dispositivo. Na prática, isso significa criar uma política de Conditional Access direcionada ao grupo da função privilegiada, com um filtro de dispositivo que exija a associação a um grupo ou tag de conformidade reservado para PAWs.

Defina o controle de concessão para bloquear o acesso imediatamente quando essa tag estiver ausente, em vez de recorrer a uma etapa de verificação mais fraca. O guia da Netwrix para alcançar zero trust para usuários privilegiados aborda essa combinação de identidade e dispositivo com mais profundidade, e as verificações de identity security posture ajudam as equipes a identificar acessos permanentes excessivos antes que se tornem um caminho de privileged access.

Lista de verificação PAW para administradores AD/Entra

Use esta lista de verificação para decidir se o piloto está pronto para uso em produção. Cada item precisa de um responsável e de uma forma de provar que o controle funciona.

• Contas separadas para uso diário e operações privilegiadas?
• Contas privilegiadas usadas apenas a partir de PAWs, nunca de máquinas de usuários gerais?
• Imagem de SO minimalista e reforçada com software limitado?
• Acesso à rede restrito a sistemas de gerenciamento e controladores de domínio?
• A atividade PAW é monitorada e registrada?
• Plano documentado para reconstruir um PAW rapidamente se a equipe suspeitar de comprometimento?

Avance com um piloto apenas quando cada item tiver um responsável e um método de validação. Equipes que desejam uma base mais ampla antes desse piloto podem combinar esta lista de verificação com uma avaliação de risco de identity and access management que cubra as contas e grupos envolvidos.

Como a Netwrix ajuda com privileged access workstation

Contas de administrador permanentes são a lacuna que um PAW sozinho não fecha. Um PAW limita essas contas a um dispositivo confiável, mas as contas em si geralmente permanecem provisionadas indefinidamente uma vez concedidas.

O mesmo Netwrix 2026 Data and Identity Security Report constatou que 76% das organizações não conseguem revogar imediatamente o acesso permanente quando ele não é mais necessário.

O relatório constatou separadamente que organizações onde AI expandiu significativamente o número de identidades que requerem acesso relataram uma taxa de violação de 43% nos últimos 12 meses, em comparação com 11% onde AI não alterou materialmente os padrões de acesso. Eliminar o privilégio permanente resolve ambos os problemas ao mesmo tempo, pois não existe conta persistente que um PAW comprometido possa expor.

Netwrix Privilege Secure operacionaliza privilégios zero-standing ao provisionar uma conta efêmera somente quando um usuário solicita acesso, e é limitada a essa única sessão. A documentação v26.03 refere-se a essa conta como Activity Token. Netwrix Privilege Secure a destrói quando a sessão termina, enquanto a limpeza pós-sessão e a gravação da sessão ajudam a fechar a janela de acesso e preservar as evidências de auditoria.

Eastern Carver County Schools, um distrito de Minnesota com 9.300 alunos, mais de 2.000 funcionários e recursos limitados de TI, eliminou contas privilegiadas permanentes que os testadores de penetração exploravam repetidamente. Substituí-las por acesso just-in-time via Netwrix Privilege Secure concluiu a implantação em dias e forneceu prova de conformidade para auditorias sem estresse.

Para um caso interno de negócios, esses resultados conectam a arquitetura PAW a um tempo de valor mais rápido, menor carga operacional e prontidão para auditoria. O administrador de sistemas de informação Craig Larsen disse assim: "Netwrix Privilege Secure é tão simples de instalar e colocar em funcionamento que não poderíamos ter resolvido nosso problema de gerenciamento de contas privilegiadas sem ele."

Solicite uma demonstração para ver como a Netwrix pode ajudar você a substituir privilégios permanentes de Tier 0 por acesso just-in-time e comprovar cada sessão privilegiada de ponta a ponta.