https://sandsoncosta.github.io/tags/ldap/Recent content in LDAP on Sandson CostaHugopt-brCopyright © 2024-2026 Sandson Costa. All Rights Reserved.Wed, 11 Nov 2026 23:06:30 -0300https://sandsoncosta.github.io/blog/hardening-de-ldap-no-active-directory/Tue, 10 Nov 2026 12:00:00 -0300https://sandsoncosta.github.io/blog/hardening-de-ldap-no-active-directory/<h2 id="1-contexto">1. Contexto</h2> <p>Toda conexão LDAP a um controlador de domínio começa com um bind, que pode ser anônimo (sem credencial), simple (DN e senha) ou SASL (NTLM, Kerberos, Digest). O risco não está em &ldquo;ser LDAP&rdquo;, e sim em como a credencial trafega e se o canal tem integridade. Um <em>simple bind</em> sobre a porta 389 envia a senha em texto claro. Um bind SASL sem assinatura deixa a sessão sem integridade e aberta a relay. É esse o risco que o Windows sinaliza no Event ID 2889, e é por padrão que os controladores aceitam esses binds inseguros.</p>