Identificação e Correção de Compartilhamentos Anônimos

Objetivo:

Identificar arquivos ou impressoras compartilhadas na máquina que permitem acesso sem autenticação ou que gerem logs de ANONYMOUS LOGON no controlador de domínio, e instruir como corrigir essa brecha de segurança.

Pré-requisitos:

• Acesso administrativo à máquina onde os compartilhamentos serão verificados.
• Ferramentas básicas do Windows, como "PowerShell" e "Gerenciamento do Computador" (Computer Management).

Procedimento:

1. Identificação de Compartilhamentos Anônimos

1.1 Verificação de Compartilhamentos com PowerShell: Execute o PowerShell como administrador e utilize os seguintes comandos para listar os compartilhamentos na máquina. Esses comandos funcionam tanto em sistemas em inglês quanto em português:

Get-SmbShare | Select-Object Name, Path, Description, ScopeName, ConcurrentUserLimit, EncryptData

1.2 Verificação de Permissões de Acesso: Para cada compartilhamento listado, verifique as permissões de acesso. Utilize o seguinte comando PowerShell para verificar as permissões de um compartilhamento específico

Get-SmbShareAccess -Name "NomeDoCompartilhamento" # NomeDoCompartilhamento ou ShareName

Substitua "NomeDoCompartilhamento" pelo nome do compartilhamento que deseja verificar.

Procure por entradas que permitam acesso a "Everyone" (Todos) ou "ANONYMOUS LOGON" (LOGON ANÔNIMO).

1.3 Verificação de Impressoras Compartilhadas: Para listar impressoras compartilhadas e verificar suas permissões, utilize o seguinte comando:

Get-Printer | Where-Object { $_.Shared -eq $true } | Select-Object Name, ShareName, Permissions # ShareName ou NomeDoCompartilhamento

Revise as permissões de cada impressora compartilhada para assegurar que "Everyone" (Todos) ou "ANONYMOUS LOGON" (LOGON ANÔNIMO) não possuem permissões inadequadas.

2. Verificação de Logs de ANONYMOUS LOGON no Controlador de Domínio

2.1 Habilitação de Auditoria de Logon: No controlador de domínio, certifique-se de que a auditoria de logon está habilitada:

• Abra o "Group Policy Management Console" (GPMC) ou "Console de Gerenciamento de Política de Grupo".
• Navegue até "Default Domain Policy" ou outra política relevante.
• Vá para: Computer Configuration -> Policies -> Windows Settings -> Security Settings -> Advanced Audit Policy Configuration -> Audit Policies -> Logon/Logoff -> Audit Logon.
• Ative a auditoria de sucesso e falha (Success, Failure) / (Sucesso, Falha).

2.2 Revisão dos Logs de Segurança: Utilize o Event Viewer (Visualizador de Eventos) para revisar os logs de segurança:

• Abra o "Event Viewer" (Visualizador de Eventos).
• Navegue até Windows Logs -> Security / Logs do Windows -> Segurança.
• Procure por eventos com o ID 4624 (logon bem-sucedido) e 4625 (logon falho).
• Verifique se há eventos que mencionam "ANONYMOUS LOGON" (LOGON ANÔNIMO).

3. Correção de Brechas de Segurança

3.1 Remoção de Permissões Inadequadas:

• Para compartilhamentos de pastas, use o comando PowerShell para remover permissões:

Revoke-SmbShareAccess -Name "NomeDoCompartilhamento" -AccountName "Everyone" # NomeDoCompartilhamento ou ShareName

Substitua "NomeDoCompartilhamento" pelo nome do compartilhamento que deseja modificar.

• Para impressoras, utilize o painel de controle ou comandos PowerShell para ajustar permissões:

Set-Printer -Name "NomeDaImpressora" -Permission "Remove-User 'Everyone'" # NomeDaImpressora ou PrinterName

Substitua "NomeDaImpressora" pelo nome da impressora que deseja modificar.

3.2 Configuração de Autenticação Requerida:

Certifique-se de que todos os compartilhamentos e impressoras exigem autenticação adequada. Ajuste as configurações de cada recurso compartilhado para garantir que apenas usuários autenticados e autorizados possam acessar.

3.3 Aplicação de Políticas de Segurança:

Utilize políticas de grupo (GPO) para reforçar a segurança e prevenir acessos anônimos futuros:

• Abra o "Group Policy Management Console" (GPMC) ou "Console de Gerenciamento de Política de Grupo".
• Crie ou edite uma política aplicável.
• Navegue até: Computer Configuration -> Policies -> Windows Settings -> Security Settings -> Local Policies -> Security Options.
• Configure as seguintes políticas:
  • "Network access: Let Everyone permissions apply to anonymous users" -> Disabled / Desativado.
  • "Network access: Restrict anonymous access to Named Pipes and Shares" -> Enabled / Ativado.
  • "Network security: Do not allow anonymous enumeration of SAM accounts and shares" -> Enabled / Ativado.

Conclusão:

Este procedimento técnico detalha como identificar arquivos e impressoras compartilhadas que permitem acesso anônimo e como corrigir essas brechas de segurança. Siga cada etapa cuidadosamente para garantir a segurança dos recursos compartilhados na rede e prevenir acessos não autorizados.