Visão Geral

Este curso apresenta a arquitetura de memória do LSASS (Local Security Authority Subsystem Service) e seu papel na autenticação e segurança do Windows. O participante compreenderá como sessões de logon, tokens, pacotes de autenticação e materiais de credenciais são tratados em memória, além de conhecer riscos de exposição, mecanismos de proteção e técnicas de detecção.

Objetivo

Após realizar este curso, você será capaz de:

• Compreender a arquitetura do LSASS
• Identificar informações armazenadas em memória
• Analisar riscos relacionados à exposição de credenciais
• Reconhecer indicadores de credential access
• Aplicar mecanismos de proteção e detecção

Publico Alvo

• Analistas de Cybersecurity
• Profissionais de SOC e Blue Team
• Administradores Windows
• Profissionais de Incident Response
• Pentesters e Red Teamers

Pre-Requisitos

• Conhecimentos básicos de Windows
• Familiaridade com Windows Security
• Conhecimentos básicos de autenticação
• Noções de Active Directory
• Familiaridade com PowerShell é recomendada

Conteúdo Programatico

Module 1: LSASS Architecture

1. Local Security Authority architecture
2. LSASS process responsibilities
3. Authentication packages
4. Security Authority components
5. Logon sessions
6. Security identifiers
7. Access tokens
8. Windows authentication flow

Module 2: Credentials in LSASS Memory

1. Credential material concepts
2. Authentication secrets
3. NTLM authentication data
4. Kerberos authentication data
5. Logon session information
6. Credential exposure risks
7. Memory protection mechanisms
8. Credential isolation

Module 3: LSASS Memory Security

1. Process access controls
2. Privileged process protection
3. Protected Process Light
4. Credential Guard
5. Attack surface reduction
6. Administrative privilege controls
7. Endpoint security policies
8. LSASS hardening

Module 4: Credential Access Detection

1. Suspicious process access
2. Abnormal LSASS interactions
3. Endpoint telemetry
4. Process creation monitoring
5. Security event correlation
6. Behavioral indicators
7. Threat hunting concepts
8. Detection engineering

Module 5: Investigation and Response

1. Credential exposure investigation
2. Memory-related indicators
3. Compromised account analysis
4. Endpoint containment
5. Credential reset procedures
6. Privileged account protection
7. Incident documentation
8. Practical LSASS investigation case studies