Recuperação de Floresta do Active Directory – Identificar o problema

  • Artigo

Aplica-se a: Windows Server 2022, Windows Server 2019, Windows Server 2016, Windows Server 2012 R2 e 2012

Quando os sintomas de uma falha em toda a floresta aparecem, como nos logs de eventos ou em outras soluções de monitoramento, trabalhe com o Suporte da Microsoft para determinar a causa da falha e avaliar possíveis soluções.

[!IMPORTANTE] Este guia não aborda recomendações de segurança sobre como recuperar uma floresta que foi invadida ou comprometida. Em geral, é recomendável seguir as Práticas recomendadas para proteger o Active Directory e as técnicas de mitigação Pass-the-Hash para proteger o ambiente. Para saber mais, confira Minimizar ataques PtH (Pass-the-Hash) e outras técnicas de roubos de credenciais.

Exemplos de falhas em toda a floresta

  • Todos os controladores de domínio foram logicamente corrompidos ou fisicamente danificados a um ponto em que a continuidade dos negócios é impossível; por exemplo, todos os aplicativos de negócios que dependem do AD DS não estão funcionais.
  • Um administrador não autorizado comprometeu o ambiente do Active Directory.
  • Um invasor intencionalmente (ou um administrador acidentalmente) executa um script que espalha dados corrompidos pela floresta.
  • Um invasor intencionalmente (ou um administrador acidentalmente) estende o esquema do Active Directory com alterações mal-intencionadas ou conflitantes.
  • O conteúdo, ou um backup de um Controlador de Domínio, foi exposto a uma parte externa, mas as credenciais vazadas não foram usadas para modificar dados do AD. Nesse caso, talvez você não precise restaurar o banco de dados do AD do backup e reinstalar todos os controladores de domínio. Talvez seja necessário redefinir todas as senhas de usuários, computadores, relações de confiança e contas (g)MSA.
  • Um invasor instalou software mal-intencionado em controladores de domínio e você foi aconselhado pelo Suporte da Microsoft a recuperar a floresta a partir do backup.
  • Nenhum dos DCs pode replicar com seus parceiros de replicação.
  • Não é possível fazer alterações no AD DS em nenhum controlador de domínio.
  • Novos controladores de domínio não podem ser instalados em nenhum domínio.

Próximas etapas