Especialização em Active Directory - Windows Server 2022

Instalação inicial do Windows Server 2019.

Neste vídeo quero demonstrar como instalar o Windows Server 2025 Preview da Microsoft. Também falo do projeto Windows Insider e passo em uma visão geral inicial do 2025.

Neste vídeo vamos subir nosso primeiro controlador de domínio.

Neste vídeo quero demonstrar a promoção de controlador de domínio com o Windows Server 2025 Preview, já com o nível funcional de floresta em 2025.

Esta é uma aula que mostra como adicionar o Windows 11 ao domínio de forma simples e fácil.

Neste vídeo demonstro:

1. Como preparar o Hyper-V para receber uma VM com Windows 11

2. Como instalar o Windows 11

3. Setup inicial e como criar a conta local

4. Detalhes importantes de instalação

O RSAT é um dos pacotes de ferramentas mais interessante (e útil) disponível pelos Domain Admin. Vamos neste vídeo, instalar o RSAT em uma estação de trabalho com o Windows 10.

O arquivo anexo tem exemplos de desenho e também do laboratório que será montado neste treinamento.

Neste vídeo demonstro rapidamente como adicionar estações de trabalho ao domínio.

Neste vídeo faremos uma análise sobre o funcionamento do comando Whoami. Ferramenta excelente para análise situacional e validação de informações de um usuários.

Neste vídeo mostro rapidamente como você pode fazer o acesso remoto a estações de trabalho, dentro e fora do domínio com o Windows 11. Vamos utilizar a assistência rápida do Windows 11, que é muito mais simples e intuitiva que o Remote Assist do Windows 10.

Você encontrará ao longo deste treinamento diversas dicas e boas práticas que estimulam o pensamento crítico. A ideia é você se divertir, aprender e entender que a segurança deve ser parte da realidade de um bom administrador de redes.

As contas de serviços gerenciadas foram introduzidas pela primeira vez no Windows Server 2008 . Elas são uma maneira inteligente de garantir o gerenciamento do ciclo de vida dos principais usuários dos serviços do Windows em um ambiente de domínio. As senhas para essas contas são mantidas no Active Directory e atualizadas automaticamente. Além disso, simplificam o gerenciamento de SPN para os serviços que alavancam essas contas. A partir do Windows Server 2012 , estes também podem ser configurados como Contas de Serviço Gerenciadas por Grupo que são úteis para Server Farms.

Neste vídeo vamos criar usuários utilizando um arquivo em lote. Vamos usar um arquivo feito em Excel, convertendo para CSV e então importando para dentro do AD.

Neste vídeo (atendendo a pedidos), mostro passo a passo como usar a planilha de Excel com os atributos editados. Vale a pena ver.

Neste vídeo vamos trabalhar com o estilo de instalação conhecido como Server Core

Neste vídeo vamos começar a falar do formato de instalação Server Core e começar a configuração base desse servidor.

Neste vídeo vamos promover o SRV-02 a controlador de domínio usando o powershell dentro de uma sessão remota (PSSession).  Trata-se de um laboratório prático e bem interessante utilizando o Windows Server.

Neste vídeo vamos trabalhar com algumas ferramentas de linha de comando para conhecer melhor nossa estrutura de controle de domínio. São dicas rápidas que podem ajuda-lo a conhecer melhor sua estrutura de domínio.

Neste vídeo fizemos a instalação de um controlador de domínio em um domínio filho (subdomínio).

Neste vídeo faço a validação de nosso ambiente considerando o cenário atual e algumas das próximas configurações. É nosso ponto de validação dentro do treinamento e tem o intuito de apontar também os próximos passos.

Neste vídeo ensino de forma correta como montar um AD utilizando o IFM (instalação pela mídia).

Neste exemplo vamos subir um controlador de domínio somente leitura para autenticar usuários específicos.

Neste vídeo montamos as primeiras configurações referente a replicação do AD

Neste vídeo vamos montar um servidor de roteamento para segregar nossa estrutura de redes.

Neste vídeo faremos a revisão completa da estrutura de redes de nossos laboratórios.

Neste vídeo fazemos os refinamentos de servidores para manter a conectividade do ambiente.

Neste vídeo fazemos os refinamentos de servidores para manter a conectividade do ambiente.

Este é um artigo com leitura obrigatória. Vai ajuda-lo a entender melhor o conceito por trás das configurações.

Aqui fazemos um pente fino nos serviços e sites do Active Directory; em especial no item SITES.

Estes são comandos básicos que podem te ajudar a identificar problemas de replicação em seu ambiente. Vale a pena conhecer.

Neste vídeo vamos configurar os apontamentos condicionais do DNS em ambos os servidores.

Neste vídeo vamos testar o funcionamento de logon utilizando a relação de confiança entre domínios de florestas diferentes.

Revisão do módulo e validação da estrutura

Neste vídeo vou mostrar como subir ou descer níveis funcionais do Active Directory. Também falo da importância de manter os níveis funcionais dentro da configuração mais alta.

Este é um vídeo teórico. Aqui vamos abordar os detalhes sobre o schema e conhecer mais sobre o assunto.

Para poder mudar ou atribuir novas classes e atributos ao Schema, é preciso registrar a DLL schmmgmt.dll. Neste vídeo demonstro os passos e onde encontrar a configuração.

FSMO

A Operação de Mestre Único Flexível (Flexible Single Master Operation) é das 5 funções em que o AD inteiro atua. Quando deseja adicionar um novo controlador de domínio ou sincronizar a hora ou criar novos itens (ex. Grupos ou usuários), uma dessas funções é chamada em ação. Por padrão, as funções FSMO são criadas no primeiro controlador de domínio, mas podem ser divididas em duas ou três máquinas (dependendo da sua infraestrutura). Os 5 papéis são:

• Mestre de Esquema (Floresta)

• Domínio de nomeação de domínio (floresta)

• Controlador de Domínio Primário (Domínio)

• Mestre de infra-estrutura (domínio)

• RID (domínio)

Se perder um controlador de domínio com uma dessas funções, algumas funcionalidades poderão ficar limitadas. Por exemplo, sem o Controlador de Domínio Primário, a infraestrutura não pode receber atualizações de senha quando as senhas são alteradas para o computador e para as contas de usuário. Para obter mais informações sobre funções FSMO e sobre como otimizar o canal, consulte o artigo da Microsoft: Posicionamento e otimização de FSMO em controladores de domínio do Active Directory.

Como mover as FSMO entre controladores de domínio

Neste vídeo vamos simular uma perda forçada de um dos servidores, gerando então a necessidade de limpeza dos resíduos lógicos dentro do Active Directory. Faremos a limpeza de metadados utilizando a ferramenta de linha de comando ntdsutil.

A limpeza de metadados é um procedimento necessário após uma remoção forçada de Active Directory Domain Services (AD DS). Você executa a limpeza de metadados em um controlador de domínio no domínio do controlador de domínio que você removeu forçosamente. A limpeza de metadados remove dados de AD DS que identificam um controlador de domínio para o sistema de replicação. A limpeza de metadados também remove as conexões de replicação de FRS (serviço de replicação de arquivo) e de Sistema de Arquivos Distribuído (DFS) e tenta transferir ou executar todas as funções de mestre de operações (também conhecidas como operações de mestre único flexíveis ou FSMO) mantidas pelo controlador de domínio desativado.

Catálogo Global

Um catálogo global é um catálogo de vários domínios que permite uma pesquisa mais rápida de objetos sem a necessidade de um nome de domínio. Ele ajuda a localizar um objeto de qualquer domínio usando sua réplica parcial, somente leitura, armazenada em um controlador de domínio. Como ele usa apenas informações parciais e um conjunto de atributos que são mais comumente usados ​​para pesquisa, os objetos de todos os domínios, mesmo em uma floresta grande, podem ser representados por um único banco de dados de um servidor de catálogo global.

Um catálogo global é criado e mantido pelo sistema de replicação do AD DS. Os atributos predefinidos que são copiados em um catálogo global são conhecidos como Conjunto de Atributos Parciais. Os usuários podem adicionar ou excluir os atributos armazenados em um catálogo global e, portanto, alterar o esquema do banco de dados. A prática recomendada é adicionar o GC em cada Controlador de Domínio da sua infra-estrutura, mas nos mesmos casos, pode ser melhor evitar isso.

Testando as portas do meu controlador de domínio

O PortQryUI é uma ferramenta leve, utilizada para teste de portas em servidores. Aqui faremos uso com as portas relacionadas aos controladores de domínio.

Neste vídeo mostro rapidamente como emitir um certificado auto assinado utilizando o IIS e o powershell

Neste vídeo vamos configurar uma autoridade certificadora raiz

Neste vídeo fazemos a configuração de uma autoridade certificadora subordinada

Neste vídeo fazemos a administração básica dos certificados digitais.

Neste vídeo vamos criar um backup da autoridade certificadora

Neste vídeo demonstro de forma rápida como criar um GPO que replica um certificado digital gerado pela nossa autoridade Certificadora (CA)

Neste vídeo pretendo demonstrar como emitir um certificado digital através de um portal WEB

Neste vídeo faremos uso da certificação digital para mostrar a proteção dos arquivos do Office (permissionamento e encriptação).

Este vídeo introduz o conceito de compliance e trás algumas matérias sobre o assunto.

Aqui vamos abordar os conceitos básicos que sustentam a segurança da informação.

Este artigo coloca informações básicas que devem ser consideradas para o entendimento sobre segurança da informação. As configurações feitas em um ambiente precisam garantir a confidencialidade, integridade, disponibilidade, autenticidade e a legalidade dentro de um ambiente cibernético.

Neste vídeo vamos configurar us grupo de administração local de estações de trabalho e/ ou servidores. Aqui mostro a vocês como organizar permissões de usuários, grupos e contas de serviço da forma correta.

Este conjunto de scripts em powershell vai ajuda-lo a fazer um inventário leve de ambiente.

Conceito conhecido com TELA LIMPA

Descrição: Política para orientar os usuários que computadores e terminais devem ser mantidos desligados ou protegidos de travamento de tela e teclados quando não utilizados.

Formato de aplicação: GPO

Justificativa: Reduzir o risco de acesso não autorizado, perda e dano da informação durante e fora do horário normal de trabalho.

Referências: ISO/IEC 27002:2013 - Itens 11.2.1 - 11.2.8  e 11.2.9; NIST 800/53 - Itens CM - IA - SI; PCI DSS"

Atendimento a LGPD (art 6º , inciso VII)

Descrição: Produção de Registros (log) de eventos das atividades do usuário, exceções, falhas e eventos de segurança da informação, mantidos e analisados criticamente a intervalos regulares.

Justificativa: Ter rastreabilidade do ambiente de rede e sistemas, através de registro de eventos, para investigação de desvios. acessos indevidos ou uso indevido da informação de usuários comuns e usuários privilegiados.

Referências: ISO/IEC 27002:2013 - Item 12.4; NIST 800/53 - Itens AC - AU - CM - IA - RA - SI; PCI DSS

Neste vídeo demonstro como localizar contas que armazenem suas senhas com criptografia reversível. Vamos localizar e desabilitar a configuração de criptografia reversível em contas de usuários em nosso ambiente. Faremos uso do powershell para essa atividade.

Listar usuários: Get-ADUser -Filter * -Properties * | Select-Object name,AllowReversiblePasswordEncryption

Desativar vulnerabilidade: Get-ADUser -Filter * | Set-ADUser -AllowReversiblePasswordEncryption $false

Configuração de política de senha para todo o ambiente.

LLMNR

O Link-Local Multicast Name Resolution (LLMNR) é um protocolo baseado no formato de pacote do DNS que permite que os hosts executem a resolução de nomes para outros hosts na mesma sub-rede. Ele está embutido no Windows Vista, Windows Server 2008, Windows 7, Windows 8 e Windows 10. O LLMNR está definido na RFC 4795. Quando ativado, ele é um recurso utilizado antes do NetBios.

Imagine a seguinte situação em uma rede doméstica, onde existem 2 computadores executando o Windows 7, um se chama Client-A e o outro Client-B. Se Client-A quiser acessar recursos do Client-B será necessário digitar o caminho UNC (Universal Naming Convention) na forma \\Client-B. Caso o Client-A não tenha uma estrutura NetBios, ele irá utilizar primeiro o LLMNR a fim de tentar resolver o nome Client-B.

Caso ele não localize em seu cache o Client-B, ele irá mandar um pacote na rede e todos os hots da rede que estiverem com o NETWORK DISCOVERY habilitados irão ouvir o tráfego enviado. Se o Client-B estiver na mesma sub-rede e com o NETWORK DISCOVERY habilitado, ele irá ouvir a consulta e responderá ao Client-A. Como um mecanismo de resolução de nomes, o LLMNR oferece algumas vantagens importantes como não precisar de nenhuma configuração adicional e também é compatível com o IPv6, algo que o NetBios não é.

O que é um ataque de LLMNR / NBT-NS Poisoning?

Através da escuta na rede por pacotes broadcast LLMNR e NetBIOS é possível manipular a vítima de forma que ela pense que está se conectando com um servidor autêntico. A vítima faz buscas errôneas em busca de servidores que não existem ou que não estão disponíveis, nesse momento o atacante responde indevidamente essas buscas  dizendo que ele é o servidor que a vítima está buscando. Durante o processo de autenticação, o cliente enviará ao atacante o hash Net-NTLM (na maioria das vezes NTLMv2) do usuário que está realizando a solicitação, esse hash é armazenado na máquina do atacante para tentar ser quebrado de forma offline posteriormente com a ajuda de ferramentas como Hashcat ou John the Ripper.

Não saia desativando o NTLM sem saber exatamente quais aplicações fazem uso desse recurso.

Neste vídeo vamos criar uma política de grupo baseada em chave de registro para desabilitar o protocolo SMBv1.

Para desabilitar o SMBv1 em todos os computadores, você pode usar a preferência de registro da política de grupo. Isso permitirá que você crie a configuração de registro acima em todos os computadores.

Deixei aqui algumas dicas e conteúdo sobre as melhorias de segurança do Windows Server 2016. O vídeo esta em inglês e fica como complemento ao treinamento. Vale a pena assistir, mesmo que você tenha dificuldade com o idioma. Também vou deixar o vídeo na próxima aula para quem não conseguir acessar o link que deixei nos recursos complementares.

Este é um vídeo complementar (em ING) sobre as melhorias de segurança relacionadas ao Windows Server. Vale a pena conhecer mais sobre as boas práticas relacionadas a segurança dos dados. Deixei aqui o vídeo para os alunos que não podem acessar a URL fora da plataforma.

Deixei aqui um artigo bem detalhado de como utilizar o MFA com o Microsoft Azure. Vale a pena acompanhar a evolução desse recurso que se torna cada vez mais importante, para não dizer indispensável.

Este conjunto de ferramentas permite que os administradores de segurança corporativa baixem, analisem, testem, editem e armazenem linhas de base de configuração de segurança recomendadas pela Microsoft para Windows e outros produtos Microsoft, comparando-as com outras configurações de segurança.

Este documento (em ING), possui grande riqueza de informações que ajudam a entender e aprimorar a segurança do ambiente.

Versão prévia do Windows Server 2025 trás boas melhorias e novidades, vale a pena ler sobre o assunto.