Pontos principais
- O que é o Microsoft LAPS?
O Microsoft Local Administrator Password Solution (LAPS) é um recurso do Windows que gerencia com segurança as senhas de administrador local de dispositivos associados ao domínio, reduzindo riscos de movimentação lateral e melhorando a conformidade. - Por que usar o Microsoft LAPS?
Automatiza o gerenciamento seguro de senhas, centraliza o armazenamento de credenciais no Active Directory ou no Azure AD e atende aos padrões corporativos de segurança e auditoria. - Pré-requisitos para a implantação
Exige Windows 10/11 Pro ou Enterprise, Windows Server 2019 ou superior, Active Directory ou Azure AD e a instalação das ferramentas de gerenciamento de Política de Grupo do LAPS. - Microsoft LAPS x LAPS antigo
O LAPS moderno (2023 em diante) vem integrado ao Windows, tem suporte ao Azure AD e oferece auditoria e logs melhores que a versão antiga. - Boas práticas de configuração do LAPS
- Use configurações seguras de Política de Grupo para limitar o acesso às senhas armazenadas.
- Ative a criptografia dos atributos de senha.
- Audite e monitore os logs de acesso às senhas com frequência.
- Troque as senhas em ciclos mais curtos para reduzir a exposição.
Proteger contas privilegiadas é uma das maiores preocupações dos profissionais de cibersegurança, e o Entra ID, serviço de gerenciamento de identidade e acesso da Microsoft, é a base da maioria das organizações.
O Microsoft Entra ID centraliza contas de usuários, computadores e recursos, garantindo o controle de acesso, e as contas de administrador local têm um poder considerável dentro dos sistemas Windows. Gerenciar mal essas senhas pode causar graves violações de segurança, por isso elas exigem proteção rigorosa contra acessos não autorizados.
Se preferir uma explicação em vídeo deste guia, assista a Como implantar o Windows LAPS.
O que é o Windows LAPS?
O Windows Local Administrator Password Solution (LAPS) é um recurso nativo do Windows criado para resolver a vulnerabilidade das senhas de administrador local, mantendo-as seguras, aleatórias e exclusivas. As senhas são geradas automaticamente e são complexas e exclusivas para cada conta de administrador local em cada computador, o que aumenta a segurança.
O objetivo deste guia é dar o conhecimento e as habilidades práticas necessárias para implantar e usar o Windows LAPS com eficiência. Ao final, você vai entender a importância do gerenciamento seguro de senhas em ambientes do Active Directory e terá o preparo para implementar o LAPS como uma solução robusta.
Windows LAPS x Microsoft LAPS
O Windows LAPS sucede o antigo Microsoft LAPS, que já está bloqueado nas versões mais recentes do sistema operacional. Até o momento desta publicação, o Microsoft LAPS ainda tem suporte, mas isso vale apenas por tempo limitado.
Por que usar o Windows LAPS?
O LAPS permite gerenciar senhas de administrador local de forma centralizada, o que traz três vantagens principais:
Segurança do LAPS
O valor central do LAPS está em mudar a forma como as senhas de administrador local são tratadas. Essa mudança fortalece a postura de segurança das organizações ao eliminar o risco de reutilização de senhas e reduzir o alcance de um comprometimento, das seguintes formas:
- Senhas de administrador local aleatórias e exclusivas: o LAPS garante que cada conta de administrador local em cada computador da organização tenha uma senha complexa e exclusiva. Essas senhas são trocadas periodicamente, o que reduz o risco de acesso não autorizado.
- Postura de segurança mais forte: ao eliminar a previsibilidade das senhas de administrador local, o LAPS reduz as ameaças ligadas à reutilização e ao roubo de senhas. É uma camada de defesa essencial em ataques de roubo de credenciais.
Conformidade regulatória
Muitos marcos regulatórios exigem que as organizações adotem práticas seguras de senha e de gerenciamento de conformidade. O LAPS atende a esses requisitos e ajuda a garantir conformidade com normas como HIPAA, GDPR e PCI DSS.
Gerenciamento de senhas simplificado em ambientes do Active Directory
Gerenciar senhas de administrador local em um grande número de computadores é uma tarefa enorme, que tradicionalmente exigia muito esforço. O LAPS simplifica esse processo ao usar automação de TI em várias etapas, como a geração, a rotação e o armazenamento seguro dessas senhas no Active Directory.
Pré-requisitos e requisitos de sistema do LAPS
Antes de partir para a instalação e a configuração do LAPS, é importante verificar se o ambiente está pronto para a implantação. Pontos a considerar:
- Versões do Windows compatíveis: o LAPS funciona em clientes e servidores Windows — as versões mínimas suportadas são Windows 11 e Windows Server 2019.
- Compatibilidade com o Microsoft Entra ID: o LAPS depende do Microsoft Entra ID para armazenar e recuperar senhas, então os clientes que quer gerenciar precisam estar conectados a um domínio do Active Directory.
- Permissões e funções necessárias para a implantação do LAPS: para implantar o LAPS, é preciso ter permissão no Active Directory para alterar configurações de Política de Grupo, além da permissão para atualizar objetos do AD.
- Nível funcional do domínio: se a versão do nível funcional do domínio (DFL) for anterior a 2016, não será possível ativar a criptografia de senhas do Windows LAPS. Mantenha o sistema operacional atualizado para que tudo funcione sem problemas.
Como implantar o LAPS
Se estiver no Windows 11 ou superior, o LAPS já faz parte do Windows e não precisa ser instalado manualmente. Siga as etapas abaixo para implantar o LAPS no seu ambiente:
Baixe o software do LAPS
Você pode baixar o software do LAPS no site oficial da Microsoft para garantir que está obtendo a versão mais recente. Confira sempre a origem do software do LAPS para evitar downloads de locais não confiáveis ou maliciosos e faça uma varredura de vírus antes de executar o arquivo.
Verificando a instalação
É uma boa prática confirmar se o LAPS está funcionando corretamente e se as extensões de esquema necessárias foram aplicadas ao Active Directory. Teste a recuperação de senhas de administrador local para garantir que estão disponíveis.
Ativando o Windows LAPS com o Microsoft Entra ID
Você pode gerenciar o Windows LAPS pelo Microsoft Intune para facilitar a ativação via Entra ID. Mas também dá para implantar o LAPS manualmente. Para isso:
- Entre no centro de administração do Microsoft Entra como Administrador de Dispositivos na Nuvem ou função superior.
- Acesse Entra ID > Dispositivos > Visão geral > Configurações do dispositivo.
- Localize a configuração Ativar o Local Administrator Password Solution (LAPS) e clique em Sim. Como alternativa, use o comando Update deviceRegistrationPolicy da Microsoft Graph API.
- Configure uma política no lado do cliente e defina o BackUpDirectory.
- Se usa o Microsoft Intune, gerencie as políticas do Windows LAPS pelo Intune.
- Se usa Política de Grupo (GPO), configure as definições do LAPS por meio da Política de Grupo.
Implantando o LAPS no Active Directory
💡OBSERVAÇÃO: se pretende fazer backup das senhas apenas no Microsoft Entra ID, não será preciso configurar o Active Directory.
Configurar o LAPS no ambiente do Active Directory exige definir configurações de Política de Grupo, indicar onde as senhas serão armazenadas e determinar as políticas de senha. A Política de Grupo é usada para implantar a ferramenta de gerenciamento do LAPS nos computadores e para definir a frequência de rotação das senhas.
Para configurar o LAPS no Active Directory:
- Quem usa o Repositório Central de Política de Grupo deve copiar os arquivos de modelo da Política de Grupo para o repositório central manualmente.
- Ajuste as configurações de Política de Grupo para:
- definir o local de armazenamento das senhas;
- definir a frequência de rotação das senhas;
- implantar a ferramenta de gerenciamento do LAPS nos dispositivos.
- Crie uma nova política do Windows LAPS direcionada aos dispositivos gerenciados.
Boas práticas para usar o LAPS
Siga as boas práticas abaixo para uma implantação segura e eficaz do LAPS:
- Defina políticas e acompanhamento: crie políticas de auditoria para rastrear a recuperação e o uso das senhas. Assim, dá para monitorar e revisar a atividade do LAPS, o que é essencial para segurança e conformidade.
- Configure controles de acesso: as senhas de administrador local armazenadas são um alvo valioso para invasores. Use controles de acesso e mecanismos de criptografia para proteger essas senhas contra acessos não autorizados.
- Programe manutenções e atualizações: mantenha o LAPS atualizado com as versões mais recentes e os patches de segurança. Revise e atualize a configuração do LAPS com frequência para acompanhar os requisitos de segurança.
- Resolva problemas comuns: conheça os problemas que podem surgir durante a implantação e o uso do LAPS. Resolvê-los garante que o LAPS continue operando sem falhas.
Proteja ambientes Windows com o LAPS
O LAPS vai além de proteger senhas de administrador local: ele reforça a segurança de toda a organização. Implemente o Windows LAPS e proteja seu ambiente Windows contra acessos não autorizados, mantendo a conformidade com as normas regulatórias.
