Proteja las contraseñas de Active Directory contra infracciones
La seguridad es esencial para toda organización. Cuando se viola la contraseña de una cuenta y se accede al entorno, se recopilará y filtrará una gran cantidad de material confidencial. Este es un problema enorme para todas las empresas. Por no hablar del tiempo que dedicará a este problema. La seguridad comienza con la implementación de los fundamentos en la infraestructura e informar a los usuarios para que estén conscientes. En este artículo, aprenderá cómo auditar y proteger las contraseñas de Active Directory contra infracciones.
Auditar y proteger las contraseñas de las cuentas
Es importante comprender que hay dos configuraciones críticas que se deben realizar en la organización:
Auditar contraseñas de cuentas: cree una exportación y verifique si hay contraseñas débiles o violadas.
Contraseñas de cuentas seguras: cree una política para que los usuarios y administradores no puedan crear contraseñas débiles o violadas.
Para configurar ambas opciones anteriores, debe descargar e instalar Lithnet Password Protection para Active Directory. Esto se debe a que lo usará para verificar si hay contraseñas violadas en la lista de contraseñas HIBP (Have I Been Pwned) y evitar la creación de contraseñas débiles o violadas en Active Directory (más información a continuación).
Nota: Supongamos que tiene una configuración híbrida de Azure AD; le recomendamos configurar la protección con contraseña de Azure AD de forma local.
Instale la protección con contraseña de Lithnet para Active Directory
Inicie sesión en el controlador de dominio.
Descargue la protección con contraseña de Lithnet desde GitHub.
Inicie Lithnet Password Protection para la configuración de Active Directory y siga el asistente de instalación. La configuración es sencilla y puede hacer clic en ella.
La protección con contraseña de Lithnet para Active Directory se instaló correctamente.
Descargar la lista de contraseñas HIBP
La mejor manera de obtener las contraseñas más actualizadas es utilizar el descargador de contraseñas Pwned.
Necesitará instalar .NET 6 para poder instalar la herramienta.
Inicie el símbolo del sistema como administrador y ejecute el siguiente comando.
dotnet tool install --global haveibeenpwned-downloaderSi el instalador no puede resolver el paquete, ejecute lo siguiente y vuelva a intentarlo.
dotnet nuget add source https://api.nuget.org/v3/index.json -n nuget.orgDescargue todos los hashes NTLM en un único archivo txt llamado pwnedpasswords_ntlm.txt y guárdelo en C:\temp.
haveibeenpwned-downloader.exe -n C:\temp\pwnedpasswords_ntlmEl archivo pwnedpasswords_ntlm.txt descargado tiene 11,7 GB.
Extraiga el archivo pwned-passwords-ntlm-ordered-by-hash-v8.7z. Puede utilizar 7-Zip o WinRar para extraer el archivo.
El archivo .txt extraído tiene 28,5 GB.
Elimina el archivo 7z que descargaste porque está extraído y te ahorrará espacio.
El archivo hash de texto sin formato tiene 28,4 GB, pero cuando lo importe a la tienda Lithnet, ocupará 11,1 GB de tamaño (más sobre esto a continuación).
Importar lista de contraseñas HIBP
Ejecute PowerShell como administrador y ejecute el siguiente comando para importar el archivo pwned-passwords-ntlm-ordered-by-hash-v8.txt a la tienda Lithnet.
PS C:\> Import-CompromisedPasswordHashes -Filename "C:\temp\pwned-passwords-ntlm-ordered-by-hash-v8.txt"Leer el archivo de texto y convertir los hashes a un formato binario mucho más pequeño llevará tiempo.
Consulte la base de datos de protección de contraseña de Lithnet
Inicie el Explorador de archivos y vaya a la ruta de la base de datos de Lithnet Password Protection.
C:\Program Files\Lithnet\Active Directory Password Protection\Store\v3\pCompruebe que los archivos DB estén creados.
El tamaño de la tienda es 11,1 GB.
Elimina el archivo de texto que extrajiste porque se importa a la tienda y te ahorrará espacio.
Verifique las contraseñas violadas en Active Directory
Descargue el script Audit-Passwords.ps1 y péguelo en C:\scripts en el controlador de dominio.
Asegúrese de que el archivo esté desbloqueado para evitar errores al ejecutar el script. Lea más en el artículo Error sin firma digital al ejecutar el script de PowerShell.
Ejecute PowerShell como administrador. Cambie la ruta a la carpeta de scripts. Ejecute el script de PowerShell para auditar las contraseñas violadas en Active Directory. Espere hasta que se complete.
PS C:\> cd c:\scripts
PS C:\scripts> .\Audit-Passwords.ps1El resultado de PS muestra qué cuentas tienen una contraseña violada. Además, se genera un archivo CSV con el nombre get-pwned-users.csv en C:\scripts.
Así es como se ve en nuestro ejemplo. Solo una cuenta tiene una contraseña establecida que figura en la lista de contraseñas pwned de HIPB.
Ahora que tiene las cuentas con contraseñas pwned, puede enviarles un correo electrónico para cambiar su contraseña.
Pero, ¿qué pasa si cambian la contraseña y vuelven a insertar una contraseña violada? ¿Quiere seguir revisando AD diariamente o semanalmente en busca de contraseñas violadas y enviar correos electrónicos a los usuarios para cambiar sus contraseñas? Bueno, eso no es algo que quieras. Lleva mucho tiempo y la organización no es segura.
En el siguiente paso, configurará una política de grupo que impida a los usuarios crear una contraseña pwned.
Evite que los usuarios creen contraseñas violadas
La mejor manera es configurar una política que cuando un usuario quiera crear una contraseña, utilice la lista de contraseñas HIPB para verificarla.
Si la contraseña está en la lista de contraseñas pwned, el usuario no puede usarla. Sin embargo, si se establece la contraseña, significa que no se ha violado y que es lo suficientemente segura como para aplicarla.
Configurar la política de grupo
Inicie Gestión de políticas de grupo. Haga clic derecho en la unidad organizativa Controladores de dominio y haga clic en Crear un GPO en este dominio y vincularlo aquí.
Asigne a la política el nombre LithnetPP y haga clic en Aceptar.
Haga clic con el botón derecho en el objeto GPO de LithnetPP y seleccione Editar.
En el Editor de políticas de grupo, navegue hasta:
Computer Configuration\Policies\Administrative Templates\Lithnet\Password Protection for Active Directory\Default PolicyHaga doble clic en Rechazar contraseñas encontradas en el almacén de contraseñas comprometidas.
Marque la casilla de verificación Habilitado y habilite las opciones Habilitar para operaciones de establecimiento de contraseña y Habilitar para operaciones de cambio de contraseña. Haga clic en Aceptar.
Nota: Hay más opciones de GPO y deberías echarles un vistazo. Pero tenga en cuenta que cuantas más opciones configure, más complejo será para los usuarios crear una contraseña.
Reinicie el controlador de dominio para que los cambios surtan efecto.
Probar política de contraseñas
Pruebe que el GPO funcione y siga los siguientes pasos:
Usuarios y computadoras de Active Directory: Cree una nueva cuenta de usuario de AD con y sin contraseña en la lista HIBP.
Usuarios y computadoras de Active Directory: Restablezca una contraseña para una cuenta de usuario de AD existente con y sin contraseña en la lista HIBP.
Dominio de dispositivo Windows unido: Inicie sesión con una cuenta de usuario y restablezca la contraseña con y sin contraseña en la lista HIBP.
En nuestro ejemplo, mostraremos solo el primer ejemplo.
Inicie Usuarios y equipos de Active Directory. Haga clic derecho en una cuenta de usuario y seleccione Restablecer la contraseña.
Complete una contraseña que aparezca en la lista HIBP, o siempre puede ir a HIBP Pwned Passwords y completar la contraseña para verificar si apareció anteriormente en una violación de datos.
Complete la contraseña dos veces y haga clic en Aceptar. En nuestro ejemplo, usaremos Contraseña01.
Aparece el error:
Windows no puede completar el cambio de contraseña del usuario porque: La contraseña no cumple con los requisitos de la política de contraseñas. Verifique la longitud mínima de la contraseña, la complejidad de la contraseña y los requisitos del historial de contraseñas.
Ahora siga los mismos pasos pero con una contraseña que no haya sido violada y completará el cambio de contraseña con éxito.
Leer más: Creación masiva de usuarios de AD con contraseñas aleatorias »
Conclusión
Aprendió a auditar las contraseñas de Active Directory y protegerlas contra infracciones. Realice siempre una auditoría e informe a la administración sobre cómo hacer que los requisitos de contraseña sean más estrictos con la ayuda de Lithnet Password Protection. No olvide configurar MFA además de esto. Entonces, si la contraseña se viola en el futuro, siempre habrá una segunda capa de protección.
Disfrutaste este artículo? También te puede interesar Forzar sincronización de contraseñas con Azure AD Connect. No olvides seguirnos y compartir este artículo.