Atualização de Segurança no Windows: Proteção de Administradores

A Microsoft implementou uma atualização significativa de segurança em sua mais recente edição de visualização do Windows, com o objetivo de restringir os privilégios do administrador local, tornando mais difícil para os ciberataques explorarem problemas de escalonamento de privilégios.

Novidade: Proteção do Administrador

A nova funcionalidade, chamada Proteção do Administrador, altera a capacidade de elevar privilégios, transformando-a de uma capacidade “solta” em um evento just-in-time, que é muito mais limitado em escopo. Essa mudança visa reformular a forma como o Windows lida com permissões de administrador, deslocando a abordagem do modelo de token dividido, que é controlado pelo prompt de Controle de Conta de Usuário (UAC), para um ambiente isolado e gerenciado pelo sistema.

Esse novo shadow account (conta sombra) do administrador desaparece assim que a tarefa designada é concluída, dificultando o abuso das permissões elevadas do administrador por ciberatacantes. Segundo Rudy Ooms, criador de conteúdo técnico da Patch My PC, a nova funcionalidade limitará a extensão da elevação de privilégios para contas habilitadas para administrador.

“O conceito legado antigo é que você possui um token dividido, e não é tão seguro,” afirma Ooms. “Com a nova Proteção do Administrador, as coisas mudam e ela reimagina completamente essa abordagem, eliminando o uso direto dos tokens divididos e substituindo-o por uma conta de sistema gerenciada oculta.”

Desafios para Ciberatacantes

A nova função deve tornar muito mais difícil para os ciberatacantes, que empregam técnicas de living-off-the-land, elevar seus privilégios e cooptar o acesso de administrador em sistemas comprometidos. Após um compromisso, a maioria dos atacantes utiliza aplicativos comuns, como PowerShell e serviços do sistema, combinados com privilégios administrativos para se mover lateralmente.

A funcionalidade de Proteção do Administrador é a mais recente tática das empresas de software em sua busca para eliminar modelos de confiança inadequados. É uma melhoria dramática em relação aos dias de ataques de pass-the-hash, onde os atacantes podiam adquirir privilégios elevados sem conhecer as credenciais do administrador. Com essa nova funcionalidade, os atacantes ainda podem usar as credenciais do administrador para tentar escalar privilégios, mas a janela para fazê-lo é muito menor.

“Os atacantes têm que repensar todos os seus truques antigos,” diz Jason Soroko, um fellow sênior da empresa de gerenciamento de certificados Sectigo. “Isso impacta a capacidade de um atacante de andar como administrador, e, portanto, viver à custa do sistema é [menos uma ameaça], porque as organizações possuem muitas ferramentas instaladas que são de grande uso para o atacante.”

Personalidades Divididas dos Administradores no Windows

A abordagem atual da Microsoft para lidar com privilégios elevados é conceder contas de administrador um split token. A conta do usuário será, por padrão, tratada como um usuário padrão — e com o mesmo token, “TokenElevationTypeDefault” — limitando os privilégios. Quando um usuário tenta realizar uma ação que requer privilégios administrativos, deve usar o recurso UAC para elevar seu token para “TokenElevationTypeFull”.

Embora o conceito de token dividido seja uma boa abordagem, ele apresenta problemas, de acordo com Ooms. “O problema aqui é que essa abordagem mantém os direitos de administrador relativamente ocultos, mas não inacessíveis,” ele afirma. “Uma vez que o token de administrador elevado seja ativado, qualquer malware em execução em segundo plano pode potencialmente sequestrá-lo e realizar ações maliciosas. Essencialmente, enquanto os tokens divididos são melhores do que operar como um administrador ‘sempre ativo’, eles ainda são vulneráveis a esse tipo de ataque.”

Se a Proteção do Administrador estiver habilitada, os usuários que elevam seus privilégios mudarão para uma conta de administrador de sistema isolada e gerida, que protege o token do administrador.

“Na minha opinião, isso aumentará muito a postura de segurança, pois reduz a superfície de ataque,” diz Ooms.

Contas Projetadas para Propósitos Específicos e Melhor Monitoramento

A Microsoft declinou comentar sobre a funcionalidade, mas um porta-voz afirmou que a empresa planeja compartilhar mais informações em sua conferência de tecnologia Microsoft Ignite em novembro. Nas notas de lançamento do Windows Preview, a empresa declarou: “A proteção do administrador é um recurso de segurança de plataforma em desenvolvimento no Windows 11, que visa proteger os direitos de administrador flutuantes para usuários administradores, permitindo que eles ainda realizem todas as funções administrativas com privilégios de administrador just-in-time. Esse recurso está desativado por padrão e precisa ser habilitado através da política de grupo.”

Embora a funcionalidade melhore significativamente a segurança do sistema, a criação e destruição de uma conta de administrador sombra para tarefas específicas também é uma vantagem para as empresas que monitoram a atividade das contas.

“Se você está monitorando contas privilegiadas, sua capacidade de monitorar essas contas privilegiadas de curta duração e garantir que elas não estejam realizando ações indevidas [é muito melhor],” diz Soroko. “Você pode contextualizar para que essa conta foi criada, agora há novas oportunidades para as pessoas que estão defendendo.”

#Windows11, #Segurança, #Cibersegurança, #Atualização, #Administração, #Privilegios, #Microsoft, #Tecnologia

autor ref: Robert Lemos, Contributing Writer
ref:https://www.darkreading.com/endpoint-security/windows-preview-limit-administrator-privileges