Implementando Políticas de Grupo Anti-Ransomware

Quando Usar

• Fortalecer um ambiente Windows Active Directory contra a execução e propagação de ransomware.
• Implementar defesa em profundidade bloqueando caminhos de execução de ransomware via Políticas de Grupo.
• Configurar regras do AppLocker ou WDAC para impedir a execução de executáveis não autorizados em diretórios graváveis pelo usuário.
• Habilitar o Acesso Controlado a Pastas para proteger diretórios críticos contra modificações não autorizadas de arquivos.
• Restringir vetores de movimento lateral (RDP, SMB, WMI) que o ransomware usa para se espalhar pelo domínio.

Não use como uma defesa autônoma contra ransomware. As configurações de GPO complementam, mas não substituem a detecção de endpoints, backups, segmentação de rede e treinamento de conscientização do usuário.

Pré-requisitos

• Ambiente Windows Server 2016+ Active Directory com o Console de Gerenciamento de Políticas de Grupo (GPMC).
• Privilégios de Administrador de Domínio ou Proprietários Criadores de Políticas de Grupo.
• Windows 10/11 Enterprise ou Education (necessário para AppLocker e WDAC).
• Microsoft Defender Antivírus habilitado (necessário para Acesso Controlado a Pastas e regras ASR).
• Python 3.8+ para o script de auditoria que valida a conformidade da GPO.
• OU de teste para validar as configurações da GPO antes da implantação em todo o domínio.

Fluxo de Trabalho

Etapa 1: Bloquear Caminhos de Execução de Ransomware com AppLocker

Configure o AppLocker para impedir a execução de executáveis em locais comuns de staging de ransomware:

AppLocker GPO Path:
  Computer Configuration → Policies → Windows Settings →
  Security Settings → Application Control Policies → AppLocker

Key Rules:
━━━━━━━━━
1. DENY executable rules for user-writable paths:
   - %USERPROFILE%\AppData\Local\Temp\*     (email attachment extraction)
   - %USERPROFILE%\AppData\Roaming\*         (CryptoLocker staging)
   - %USERPROFILE%\Downloads\*               (web downloads)
   - %TEMP%\*                                (temporary extraction)
   - %USERPROFILE%\Desktop\*                 (social engineering drops)

2. ALLOW default rules:
   - C:\Windows\* (signed by Microsoft)
   - C:\Program Files\* and C:\Program Files (x86)\*
   - Administrator group: all paths

3. Enable Application Identity service:
   Computer Configuration → Policies → Windows Settings →
   Security Settings → System Services →
   Application Identity → Automatic

Etapa 2: Habilitar Acesso Controlado a Pastas

Proteja diretórios críticos contra modificações não autorizadas:

Controlled Folder Access GPO Path:
  Computer Configuration → Administrative Templates →
  Windows Components → Microsoft Defender Antivirus →
  Microsoft Defender Exploit Guard → Controlled Folder Access

Settings:
━━━━━━━━━
1. Configure Controlled folder access: Enabled → Block mode
2. Configure protected folders: Add custom paths
   - \\fileserver\shares\finance
   - \\fileserver\shares\hr
   - C:\Users\*\Documents
   - C:\Users\*\Desktop

3. Configure allowed applications: Whitelist trusted apps
   - C:\Program Files\Microsoft Office\*
   - C:\Program Files\Adobe\*
   - Line-of-business applications

Default protected folders (automatic):
  Documents, Pictures, Videos, Music, Desktop, Favorites

Etapa 3: Configurar Regras de Redução de Superfície de Ataque (ASR)

Habilite regras ASR que visam mecanismos de entrega de ransomware:

ASR Rules GPO Path:
  Computer Configuration → Administrative Templates →
  Windows Components → Microsoft Defender Antivirus →
  Microsoft Defender Exploit Guard → Attack Surface Reduction

Critical ASR Rules for Ransomware Prevention:
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
GUID                                    Rule
BE9BA2D9-53EA-4CDC-84E5-9B1EEEE46550   Block executable content from email
D4F940AB-401B-4EFC-AADC-AD5F3C50688A   Block Office apps from creating child processes
3B576869-A4EC-4529-8536-B80A7769E899   Block Office apps from creating executable content
75668C1F-73B5-4CF0-BB93-3ECF5CB7CC84   Block Office apps from injecting into processes
D3E037E1-3EB8-44C8-A917-57927947596D   Block JavaScript/VBScript from launching downloads
5BEB7EFE-FD9A-4556-801D-275E5FFC04CC   Block execution of obfuscated scripts
92E97FA1-2EDF-4476-BDD6-9DD0B4DDDC7B   Block Win32 API calls from Office macros
01443614-CD74-433A-B99E-2ECDC07BFC25   Block executable files unless they meet prevalence criteria

Set each rule to: Block (1) or Audit (2) for initial testing

Etapa 4: Restringir Vetores de Movimento Lateral

Bloqueie SMB, RDP e WMI para limitar a propagação de ransomware:

Restrições de Rede:
━━━━━━━━━━━━━━━━━━━━
1. Desabilitar SMBv1:

…