A segurança do Windows é um tópico fundamental para qualquer profissional de TI, pois o sistema operacional é amplamente utilizado em ambientes corporativos e domésticos. Nesta aula, vamos explorar os principais mecanismos de segurança nativos do Windows, incluindo políticas locais, Windows Defender, logging e técnicas de hardening. Você aprenderá a configurar e auditar essas funcionalidades para proteger sistemas contra ameaças comuns, como malware, acesso não autorizado e ataques de força bruta.

Entender a segurança do Windows não se resume a instalar um antivírus; envolve uma abordagem em camadas, que combina configurações de sistema, monitoramento contínuo e boas práticas de administração. Vamos mergulhar em cada um desses pilares, fornecendo exemplos práticos que podem ser aplicados imediatamente em ambientes reais.

Local Policies

As políticas locais (Local Policies) são um conjunto de configurações que controlam a segurança e o comportamento do sistema em um computador individual. Elas são gerenciadas através do snap-in "Política de Segurança Local" (secpol.msc) ou via Política de Grupo (gpedit.msc) em edições Pro/Enterprise. As políticas locais são divididas em três categorias principais: Políticas de Auditoria, Atribuição de Direitos do Usuário e Opções de Segurança.

As Políticas de Auditoria permitem registrar eventos de segurança, como logons, acesso a objetos e mudanças de política. A Atribuição de Direitos do Usuário define quais usuários ou grupos têm privilégios específicos, como "Fazer logon localmente" ou "Desligar o sistema". Já as Opções de Segurança incluem configurações como "Contas: Limitar uso de senhas em branco" e "Rede: Não permitir enumeração de SAM".

Para abrir as políticas locais, pressione Win + R, digite secpol.msc e pressione Enter. Aqui está um exemplo de como habilitar a auditoria de logon via linha de comando usando auditpol:

auditpol /set /subcategory:"Logon" /success:enable /failure:enable

Esse comando habilita a auditoria de sucessos e falhas de logon, o que é essencial para detectar tentativas de acesso indevido. Você pode verificar as configurações atuais com auditpol /get /category:*.

Defender

O Windows Defender (agora chamado Microsoft Defender) é a solução antivírus integrada ao Windows. Ele oferece proteção em tempo real contra malware, vírus e outras ameaças, além de recursos como proteção baseada em nuvem, proteção contra ransomware e controle de aplicativos. O Defender é ativado por padrão, mas pode ser configurado para atender às necessidades específicas da organização.

Uma das funcionalidades importantes é o "Controle de Aplicativos e Navegador", que permite bloquear aplicativos não confiáveis e explorar proteções como o SmartScreen. Além disso, o Defender inclui o "Firewall do Windows Defender", que gerencia regras de entrada e saída de tráfego.

Para gerenciar o Defender via PowerShell, você pode usar os cmdlets do módulo Defender. Por exemplo, para verificar o status da proteção em tempo real:

Get-MpComputerStatus

Para iniciar uma verificação rápida:

Start-MpScan -ScanType QuickScan

É fundamental manter o Defender atualizado e realizar verificações periódicas. Em ambientes empresariais, o Defender pode ser gerenciado centralmente via Microsoft Endpoint Manager (Intune).

Logging

O logging (registro de eventos) é crucial para a segurança, pois permite rastrear atividades do sistema, detectar incidentes e realizar análises forenses. O Windows registra eventos no Visualizador de Eventos (eventvwr.msc), organizado em logs como Aplicativo, Segurança, Configuração, Sistema e logs específicos de serviços.

O log de Segurança é particularmente importante, pois contém eventos de auditoria, como logons, acesso a objetos e mudanças de política. Por padrão, a auditoria pode estar desabilitada; você deve habilitá-la conforme discutido na seção de políticas locais. Além disso, é possível configurar o tamanho máximo do log e a política de retenção para evitar que ele fique cheio.

Para consultar eventos via PowerShell, use o cmdlet Get-WinEvent. Por exemplo, para listar os últimos 10 eventos de logon:

Get-WinEvent -LogName Security -MaxEvents 10 | Where-Object { $_.Id -eq 4624 }

O evento 4624 indica um logon bem-sucedido, enquanto o 4625 indica uma falha. Monitorar esses eventos ajuda a identificar tentativas de invasão. Você também pode configurar o encaminhamento de eventos para um coletor central usando o WEC (Windows Event Collector).

Hardening

Hardening é o processo de reforçar a segurança do sistema, reduzindo a superfície de ataque e aplicando configurações seguras. No Windows, isso envolve desabilitar serviços desnecessários, aplicar políticas de senha fortes, restringir privilégios, habilitar o BitLocker para criptografia de disco e manter o sistema atualizado.

Uma prática comum é usar o Security Compliance Toolkit da Microsoft, que fornece baselines de segurança para o Windows. Essas baselines podem ser aplicadas via Política de Grupo ou com scripts. Por exemplo, você pode definir uma política de senha que exija 12 caracteres e complexidade:

net accounts /minpwlen:12 /maxpwage:30

Além disso, é recomendável desabilitar o protocolo SMBv1, que é vulnerável, usando o PowerShell:

Set-SmbServerConfiguration -EnableSMB1Protocol $false

Outras medidas incluem restringir o acesso ao registro, habilitar o Credential Guard (em sistemas compatíveis) e configurar o Windows Update para instalar atualizações automaticamente. O hardening deve ser contínuo, revisando as configurações periodicamente e adaptando-se a novas ameaças.

Boas Práticas

Além das configurações técnicas, algumas boas práticas podem melhorar a segurança do Windows:

  • Manter o sistema e os aplicativos sempre atualizados.
  • Usar contas com privilégios mínimos para tarefas do dia a dia.
  • Habilitar a autenticação multifator (MFA) sempre que possível.
  • Fazer backup regular dos dados e testar a restauração.
  • Educar os usuários sobre phishing e engenharia social.

Essas práticas complementam as configurações técnicas e ajudam a criar uma defesa em profundidade.

Exercícios

  1. Explique a diferença entre as três categorias de políticas locais e dê um exemplo de configuração para cada uma.

    ✓ Resposta: As políticas locais são divididas em: Políticas de Auditoria (controlam quais eventos são registrados), Atribuição de Direitos do Usuário (define privilégios como logon local) e Opções de Segurança (configurações diversas como políticas de senha). Exemplos: Auditoria de logon, direito de "Acessar este computador pela rede", e opção "Contas: Limitar uso de senhas em branco".

  2. Descreva como habilitar a auditoria de logon via linha de comando e qual evento de logon indica sucesso e qual indica falha (IDs).

    ✓ Resposta: Use auditpol /set /subcategory:"Logon" /success:enable /failure:enable. O evento 4624 indica logon bem-sucedido e 4625 indica falha.

  3. Qual comando PowerShell verifica o status da proteção em tempo real do Windows Defender? E qual comando inicia uma verificação rápida?

    ✓ Resposta: Get-MpComputerStatus e Start-MpScan -ScanType QuickScan.

  4. Como você consultaria os últimos 10 eventos de falha de logon no log de segurança usando PowerShell?

    ✓ Resposta: Get-WinEvent -LogName Security -MaxEvents 10 | Where-Object { $_.Id -eq 4625 }.

  5. Cite três medidas de hardening para Windows e explique cada uma.

    ✓ Resposta: 1) Desabilitar SMBv1 (vulnerável): Set-SmbServerConfiguration -EnableSMB1Protocol $false. 2) Habilitar BitLocker para criptografia de disco. 3) Aplicar políticas de senha fortes via net accounts /minpwlen:12.

Referências