00. Fundamentos de Segurança & Classificação
Diferenciação de Camadas Operacionais
Antes de aplicar comandos, entenda que a correção de arquivos, detecção de pragas e análise de vulnerabilidades são atividades distintas:
| Ferramenta / Ação | Escopo & Função |
|---|---|
| SFC e DISM | Verificam e reparam componentes e arquivos nativos do Windows. |
| Microsoft Defender | Procura ameaças ativas e malwares no sistema. |
| Scanners de Vulnerabilidade | Identificam falhas conhecidas, softwares desatualizados e configurações inseguras. |
| Baselines & Políticas | Ajudam a padronizar o ambiente e reduzir a superfície de ataque[cite: 1]. |
Legenda de Classificação de Ações[cite: 1]
[V] Verificação
Coleta ou consulta apenas[cite: 1]. Não altera o sistema.
[C] Correção
Reparo, patching ou atualização[cite: 1]. Modifica estado.
[P] Proteção
Endurecimento e mitigação de riscos[cite: 1]. Reduz exposição.
[M] Monitoramento
Coleta contínua de eventos e auditoria[cite: 1].
Regras de Ouro antes da Execução[cite: 1]:
- Execute alterações apenas sob máquinas com autorização explícita[cite: 1].
- Faça backup do registro/estado antes de modificações[cite: 1].
- Proteja os relatórios gerados: contêm IPs, usuários e dados confidenciais[cite: 1].
01. Coleta Inicial com CMD & Script de Automação[cite: 1]
Comandos de Inventário no Prompt
[V] Verificação
Tabela de consulta rápida para auditoria nativa via CMD elevado[cite: 1]:
| Comando | Finalidade | Observação |
|---|---|---|
systeminfo |
Versão, compilação e patches básicos[cite: 1]. | Saída extensa[cite: 1]. |
whoami /all |
Identidade, SID, grupos e privilégios da sessão[cite: 1]. | Verifica privilégios[cite: 1]. |
net user / net localgroup |
Lista contas e grupos locais[cite: 1]. | Em PT-BR, grupo admin pode ser "Administradores"[cite: 1]. |
tasklist /svc |
Mapeia processos e seus serviços associados[cite: 1]. | Não substitui auditoria completa[cite: 1]. |
netstat -ano |
Lista conexões ativas, portas e PIDs[cite: 1]. | Mais leve que -abno[cite: 1]. |
net localgroup Administrators
Script BAT de Coleta Segura (auditoria-windows.bat)
[V] Verificação
O script abaixo utiliza %ProgramData% para evitar dependências de perfil, trata erros salvando em erros.txt e não altera o estado do SO[cite: 1]:
@echo off
setlocal EnableExtensions
set "OUT=%ProgramData%\Auditoria-%COMPUTERNAME%-%RANDOM%"
mkdir "%OUT%" 2>nul
if not exist "%OUT%\" (
echo Nao foi possivel criar "%OUT%".
exit /b 1
)
call :run "systeminfo" systeminfo > "%OUT%\sistema.txt" 2>&1
call :run "whoami /all" whoami > "%OUT%\identidade.txt" 2>&1
call :run "net user" net-user > "%OUT%\usuarios.txt" 2>&1
call :run "net accounts" net-accounts > "%OUT%\politica-contas.txt" 2>&1
call :run "net localgroup" net-localgroup > "%OUT%\grupos.txt" 2>&1
call :run "tasklist /svc" tasklist > "%OUT%\processos-servicos.txt" 2>&1
call :run "netstat -ano" netstat > "%OUT%\conexoes.txt" 2>&1
call :run "schtasks /query /fo CSV /v" schtasks > "%OUT%\tarefas.csv" 2>&1
call :run "driverquery /v /fo CSV" driverquery > "%OUT%\drivers.csv" 2>&1
call :run "auditpol /get /category:*" auditpol > "%OUT%\auditoria.txt" 2>&1
echo Coleta concluida. Relatorios em "%OUT%"
pause
endlocal
exit /b 0
:run
set "DESCRIPTION=%~1"
shift
set "COMMAND=%*"
%COMMAND%
if errorlevel 1 echo [FALHA] %DESCRIPTION%>>"%OUT%\erros.txt"
exit /b 002. Verificações com PowerShell Avançado[cite: 1]
Status do Microsoft Defender & Exclusões
[V] Verificação
Consulta o status de execução, proteção em tempo real e regras ASR[cite: 1]:
Get-MpComputerStatus | Select-Object AMRunningMode, AntivirusEnabled, RealTimeProtectionEnabled, BehaviorMonitorEnabled, IsTamperProtected
Get-MpPreference | Select-Object ExclusionPath, ExclusionProcess, ExclusionExtension, AttackSurfaceReductionRules_Ids
Checagem de BitLocker & Secure Boot Seguro
[V] Verificação
Mapeia volumes criptografados e checa o UEFI Secure Boot tratando exceções em sistemas legados/BIOS[cite: 1]:
Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, ProtectionStatus, EncryptionPercentage
try {
$secureBoot = Confirm-SecureBootUEFI
[pscustomobject]@{ SecureBootEnabled = $secureBoot; Status = "Consultado" }
} catch {
[pscustomobject]@{ SecureBootEnabled = $null; Status = "Indisponivel: Legacy BIOS/Sem UEFI" }
}03. Correção, Atualização e Análise de Malware[cite: 1]
Reparo do Armazenamento de Componentes & SFC
[C] Correção
Ordem obrigatória de execução para restaurar a integridade do SO[cite: 1]:
DISM /Online /Cleanup-Image /ScanHealth
DISM /Online /Cleanup-Image /RestoreHealth
sfc /scannow
Nota Técnica: DISM /RestoreHealth repara o repositório de componentes nativos, enquanto o
sfc /scannow utiliza essa base limpa para corrigir arquivos de sistema corrompidos[cite: 1].
Varreduras de Antivírus e Atualização com WinGet
[C] Correção
# Atualizar Assinaturas e Executar Scan Rápido[cite: 1]
Update-MpSignature
Start-MpScan -ScanType QuickScan
# Atualização Controlada de Software via WinGet[cite: 1]
winget list
winget upgrade --id ID.REAL.DO.PACOTE --exact
Perigo com Defender Offline:
Start-MpWDOScan força a reinicialização imediata para varredura no ambiente WinRE[cite: 1]. Nunca coloque este comando em scripts automatizados sem aviso prévio[cite: 1].
04. Endurecimento Controlado (Hardening)[cite: 1]
Desativação do Protoloco SMBv1 com Auditoria Prevía
[P] Proteção
Habilite primeiro o log de auditoria para identificar dependências legadas antes de desativar[cite: 1]:
# 1. Habilitar auditoria de SMB1[cite: 1]
Set-SmbServerConfiguration -AuditSmb1Access $true
# 2. Desativar recurso SMBv1 (Após validação)[cite: 1]
Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol -NoRestart
Ativação de Regras ASR (Attack Surface Reduction)
[P] Proteção
Bloqueio de processos filhos gerados por aplicações Office (GUID: d4f940ab-401b-4efc-aadc-ad5f3c50688a) em modo de Auditoria[cite: 1]:
Add-MpPreference -AttackSurfaceReductionRules_Ids "d4f940ab-401b-4efc-aadc-ad5f3c50688a" -AttackSurfaceReductionRules_Actions AuditMode
05. Ecossistema de Ferramentas Especializadas[cite: 1]
Matriz de Suíte Sysinternals & Compliance[cite: 1]
| Ferramenta | Escopo Princpal | Comando de Exemplo |
|---|---|---|
| Autorunsc | Coleta detalhada de persistência na inicialização[cite: 1]. | .\autorunsc64.exe -a "*" -c -h -s > autoruns.csv[cite: 1] |
| Sigcheck | Verifica assinatura digital, versão e hashes de executáveis[cite: 1]. | .\sigcheck64.exe -s -e -h "C:\Pasta"[cite: 1] |
| LGPO.exe | Aplica e exporta Local Group Policies via linha de comando[cite: 1]. | lgpo.exe /g "C:\GPO_Backup" |
06. Validação de Exposição via Rede[cite: 1]
Aferição de Protocolos SMB e Criptografia RDP
[V] Verificação
Execução a partir de host autorizado para auditar a superfície exposta na rede local[cite: 1]:
# Auditoria Dialetos SMB e Assinatura[cite: 1]
nmap -p 445 --script smb-protocols,smb2-security-mode 192.168.1.10
# Auditoria de Encriptação RDP (Porta 3389)[cite: 1]
nmap -p 3389 --script rdp-enum-encryption 192.168.1.1007. Telemetria Contínua com Sysmon[cite: 1]
Instalação & Manutenção de Configuração Sysmon
[M] Monitoramento
Gravação de eventos avançados no canal Microsoft-Windows-Sysmon/Operational[cite: 1]:
# Instalar com Arquivo de Regras XML[cite: 1]
.\Sysmon64.exe -i .\sysmon-config.xml
# Atualizar Configuração em Produção sem Reinstalar[cite: 1]
.\Sysmon64.exe -c .\sysmon-config.xml08. Ordem Recomendada de Execução (Workflow)[cite: 1]
- Inventariar: Mapear máquinas, aplicações, contas e responsabilidades[cite: 1].
- Registrar Estado Inicial: Executar consultas estáticas e salvar logs em local seguro[cite: 1].
- Validar Redundância: Confirmar backups operacionais, chaves BitLocker e contas locais[cite: 1].
- Auditar Vulnerabilidades: Rodar scanners autenticados (Nessus/OpenVAS/Defender)[cite: 1].
- Aplicar Alterações em Piloto: Testar baselines e regras ASR em grupo controlado[cite: 1].
- Validar e Monitorar: Acompanhar falhas e eventos pelo Sysmon/SIEM antes de expandir[cite: 1].
09. Quiz de Avaliação e Teste de Conhecimento[cite: 1]
1. Qual a função exata dos comandos SFC e DISM?[cite: 1]
A) Remover pragas virtuais e malwares ativos da memória[cite: 1].
B) Verificar e reparar componentes e arquivos de sistema nativos do Windows[cite: 1].
C) Atualizar softwares de terceiros e drivers da placa mãe[cite: 1].