Mejores prácticas y ataques de seguridad de AD
La seguridad de Active Directory (seguridad AD) es vital por una sencilla razón: el propio Active Directory es fundamental.
Active Directory proporciona los servicios esenciales de autenticación y autorización necesarios para la mayoría de sus operaciones comerciales. Las debilidades en la seguridad de su AD pueden permitir que un actor malintencionado cifre o extraiga sus datos confidenciales, o incluso borre sus controladores de dominio (DC), lo que provocará que su negocio se detenga bruscamente.
La seguridad de AD es un tema del que he hablado bastante, pero hoy adoptaré un enfoque diferente y analizaré algunos de los principales ataques a Active Directory de los últimos meses y ofreceré mi perspectiva sobre las lecciones clave que se pueden aprender. de ellos. Espero que esto proporcione pasos prácticos que pueda seguir para fortalecer la seguridad de su entorno de Active Directory. Comenzaré con algunos consejos rápidos y pasaré a algunas estrategias más detalladas.
Por qué la seguridad de AD es más importante que nunca
Antes de profundizar en los detalles, veamos el panorama general de por qué la seguridad de AD es más importante hoy que nunca. Al revisar los ciberataques recientes, he podido identificar varias tendencias clave que son muy relevantes para la seguridad de AD.
Microsoft sigue invirtiendo en controles de seguridad en la nube, por lo que los atacantes continúan apuntando a entornos locales.
Microsoft reconoce lo importante que es obtener una seguridad básica sólida en Microsoft 365 y Azure AD (ahora Entra ID). Han estado implementando constantemente tecnologías y políticas para ayudar a las organizaciones a salvaguardar sus ecosistemas de nube. Por ejemplo, la autenticación multifactor (MFA) de Azure AD ayuda a inutilizar las credenciales robadas al requerir un segundo método de autenticación, como una llamada telefónica, un mensaje de texto, una notificación de aplicación móvil o un token de OAuth. Y el control de acceso basado en roles (RBAC) de Azure permite un control granular sobre el nivel de acceso que tienen los usuarios mediante la asignación de roles adecuados.
Pero los adversarios que encuentran cerradas las puertas al entorno de la nube no se dan por vencidos. Más bien, buscan otra forma de ingresar a la red. Y eso a menudo significa atacar el entorno local. De hecho, no tuve problemas para encontrar una gran cantidad de ataques locales a Active Directory para presentar en esta publicación. Eso significa que la seguridad de AD debe seguir siendo una prioridad para las organizaciones.
Estamos viendo una globalización del mercado de ransomware.
Otra tendencia importante relacionada con la seguridad de AD es de dónde provienen los ataques. La gente tiende a pensar que los operadores comerciales de ransomware o el ransomware como servicio son un fenómeno de Europa del Este. Si bien siempre es difícil hacer una atribución confiable, está claro que estamos comenzando a ver más ataques cibernéticos provenientes de otras regiones, especialmente Centroamérica, Sudamérica y Medio Oriente. Esta tendencia contribuye tanto al volumen como a la variedad de los ciberataques que estamos viendo.
El cibercrimen, especialmente el ransomware, es ahora un negocio.
Los ciberdelincuentes operan ahora como sindicatos multimillonarios. Un incidente que ilustra esta tendencia es el ataque de ransomware contra Royal Mail, la empresa británica de correo postal y mensajería, por parte de LockBit, una banda de ciberdelincuentes vinculada a Rusia. La elevada demanda de rescate de 80 millones de dólares (67 millones de libras esterlinas) desencadenó una larga conversación entre las dos partes, que quedó capturada en las transcripciones del chat que fueron publicadas, aparentemente por LockBit. El representante de LockBit utiliza repetidamente el término "negociación" y dice: "Quiero ganar dinero como usted, usted y yo tenemos la misma motivación en forma de dinero, su tarea es reducir el precio tanto como sea posible, mi tarea es obtener la cantidad máxima. Incluso invitan a Royal Mail a “hacer una contraoferta”. "
La banda LockBit también mostró su mentalidad empresarial en otro incidente. Lanzó un ataque de ransomware contra el Hospital for Sick Children (SickKids), un hospital de enseñanza e investigación en Toronto que se centra en brindar atención médica a los niños. Poco después de que el ataque llegara a las noticias, la pandilla tomó la medida sin precedentes de disculparse por el ciberataque y proporcionar al hospital una clave de descifrado. La declaración está repleta de lenguaje empresarial: se refiere al "socio" que lanzó el ataque, dice que "violó nuestras reglas" y afirma que ya no está "en nuestro programa de afiliados". Una explicación para estas acciones es que, después de todo, la pandilla LockBit tiene corazón. Pero otra es que están tomando una decisión estratégica: atacar a las organizaciones de atención médica es malo para los negocios porque tiende a incitar a los gobiernos y otros defensores a tomar medidas contra la “industria” del ransomware. "
El cibercrimen es cada vez más una herramienta del arte de gobernar.
Los sindicatos de ciberdelincuentes con fines de lucro no son la única amenaza de la que deben preocuparse los equipos de seguridad de AD. Si bien a lo largo de los años se ha culpado a los Estados-nación de una amplia gama de ataques cibernéticos, incluidos Stuxnet y NotPetya, los ataques parecen estar aumentando en frecuencia, intensidad y sofisticación.
Además, el número de actores involucrados está aumentando. La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ahora mantiene páginas web con inteligencia sobre amenazas cibernéticas patrocinadas por estados de China, Rusia, Corea del Norte e Irán. Pero también hay pruebas que vinculan los ataques con otros países, incluidos India, Vietnam, Bielorrusia, Emiratos Árabes Unidos y Arabia Saudita.
Ahora, veamos qué lecciones de seguridad de AD podemos aprender de ataques recientes específicos a Active Directory.
Ciberataques a LastPass
El proveedor de administrador de contraseñas LastPass reveló dos infracciones en las que los adversarios obtuvieron acceso al código fuente del producto y otra información técnica patentada, y luego accedieron a cierta información del cliente en un servicio de almacenamiento en la nube de terceros utilizado por LastPass.
Según LastPass, los adversarios lograron su punto de apoyo inicial atacando la computadora personal de uno de sus desarrolladores y explotando software multimedia vulnerable para realizar la ejecución remota de código. Al implementar malware keylogger, los actores de amenazas pudieron capturar la contraseña maestra del empleado a medida que se ingresaba (después de que el empleado se autenticara con MFA) y así obtener acceso a la bóveda corporativa de LastPass del desarrollador.
Consejo rápido de seguridad de AD: utilice estaciones de trabajo con acceso privilegiado (PAW).
Si bien requerir autenticación multifactor para el acceso privilegiado es una parte esencial de cualquier seguridad de AD, no es suficiente. Los adversarios atacan implacablemente cuentas altamente privilegiadas debido al acceso elevado que brindan. Por lo tanto, otra de las mejores prácticas clave es utilizar estaciones de trabajo con acceso privilegiado: máquinas reforzadas que son el único lugar donde los usuarios pueden iniciar sesión con credenciales privilegiadas. Dado que a una PAW no se le permite ejecutar aplicaciones vulnerables como software multimedia doméstico, los adversarios tienen un camino mucho más empinado para violarlas.
Usar PAW también significa no permitir el uso de credenciales privilegiadas en otras máquinas: los administradores deben usar su cuenta de usuario habitual para consultar el correo electrónico o visitar sitios web. Esta práctica elimina el riesgo de que los hashes de contraseñas de cuentas privilegiadas se almacenen en la memoria del proceso del Subsistema de Autoridad de Seguridad Local (LSASS) de la máquina de un usuario normal para que un adversario los recopile y abuse de ellos, una táctica frecuente utilizada para violar la seguridad de AD.
Ataques a la cadena de suministro
También estamos viendo una tendencia constante de atacantes a perseguir eslabones de la cadena de suministro que pueden utilizar para saltar entre organizaciones hasta llegar a la víctima (¡o víctimas!) que quieren explotar. Las cadenas de suministro corporativas son un objetivo principal. Uno de los más famosos es la vulneración de SolarWinds, en la que presuntos piratas informáticos de estados-nación implementaron código malicioso en el software de gestión y supervisión de TI de la empresa, lo que les permitió comprometer los datos, las redes y los sistemas de miles de clientes de SolarWinds, y potencialmente de sus clientes y socios también. Otro ejemplo es la explotación de una vulnerabilidad en Log4j, una biblioteca utilizada por prácticamente todas las organizaciones que utilizan Java. Y en uno de los mayores hackeos hasta ahora en 2023, los actores de amenazas explotaron una vulnerabilidad de día cero en MOVEit Transfer para robar datos de más de 1000 organizaciones que utilizan el servicio de transferencia de archivos, lo que afectó a más de 60 millones de personas afectadas.
Pero los ataques también han afectado las cadenas de suministro personales, incluidas las de alimentos y energía. Un ataque de ransomware a Dole Foods provocó escasez de productos frescos en los estantes de las tiendas de comestibles, mientras que un ciberataque coordinado al proveedor brasileño de carne JBS inhabilitó sus mataderos de carne de vacuno y cerdo, lo que afectó a instalaciones en Estados Unidos, Canadá y Australia. Y un ataque muy publicitado contra Colonial Pipeline provocó escasez de combustible en las estaciones de servicio, lo que provocó compras de pánico y fuertes aumentos de precios.
Consejo rápido de seguridad de AD: implemente una gestión sólida de la cadena de suministro.
A medida que estas infracciones sigan apareciendo en los titulares, sus clientes preguntarán cada vez más sobre su cadena de suministro. Querrán saber si está utilizando el producto o la tecnología que se vio comprometida. Necesitas poder responder esas preguntas. Además, desea reducir el riesgo de que su respuesta sea “Sí”. "
Eso requiere ampliar su comprensión de la seguridad de AD para incluir toda su cadena de suministro. Es vital hacer un inventario de los productos y servicios de terceros que utiliza. Además, profundice en las prácticas de seguridad de las entidades de su cadena de suministro y utilice esa información para tomar decisiones informadas sobre con qué organizaciones elige hacer negocios.
Barracuda
En junio de 2023 se vieron comprometidos los dispositivos Barracuda Email Security Gateway (ESG), en los que se vieron afectadas claves de firma que podrían modificar el BIOS. Barracuda dijo que no podía garantizar que esas máquinas pudieran volver a estar limpias y seguras, por lo que la compañía recomienda que los clientes afectados reemplacen todos los electrodomésticos comprometidos; Barracuda proporciona los nuevos electrodomésticos sin costo alguno.
Consejo rápido de seguridad de AD: asegúrese de tener opciones de recuperación flexibles.
Si bien esta revisión seguramente fue un inconveniente, al menos fue bastante sencilla: es fácil saber exactamente qué cajas de su centro de datos son dispositivos Barracuda ESG. Pero supongamos que un atacante pudiera realizar un ataque similar en una marca particular de placas base. ¿Podría siquiera decir exactamente cuáles de sus máquinas tienen placas base de un proveedor en particular? La mayoría de nosotros no tenemos ese nivel de visibilidad.
Para estar preparado para este tipo de ataques, es vital que su estrategia de seguridad de AD incluya un plan sólido de recuperación ante desastres que le brinde opciones de recuperación flexibles. En particular, si su infraestructura física está comprometida y no puede confiar en su hardware, necesita poder restaurarla en la nube.
Cortadora rápida
En enero de 2023, la agencia nacional de noticias de Ucrania fue atacada por SwiftSlicer, un malware de limpieza de datos diseñado para destruir archivos e incluso desactivar dominios completos de Windows. El ataque fue atribuido a Sandworm, un grupo respaldado por Rusia.
Consejo rápido de seguridad de AD: proteger la política de grupo.
SandWorm distribuyó el malware a las computadoras de la red abusando de la política de grupo de Active Directory. En ataques anteriores, el grupo utilizó la misma estrategia para planificar otros programas maliciosos de limpieza, como HermeticWiper y CaddyWiper.
Una forma importante de mejorar la seguridad de AD es proteger la política de grupo de cambios inadecuados. Algunas soluciones de gestión de cambios le permiten bloquear de forma proactiva los cambios en los objetos de política de grupo (GPO), así como los cambios en otros objetos confidenciales, como grupos de seguridad con privilegios elevados.
Voltio tifón
Ahora profundicemos en los ataques recientes y veamos qué significan para la seguridad de AD. En mayo de 2023, Microsoft destacó la actividad maliciosa de Volt Typhoon, un actor patrocinado por el estado con sede en China, y señaló que su objetivo era desarrollar “capacidades que podrían alterar la infraestructura de comunicaciones crítica entre los Estados Unidos y la región de Asia durante futuras crisis”. La campaña afectó a organizaciones de una amplia gama de sectores, incluidos los de comunicaciones, manufactura, servicios públicos, transporte, construcción, gobierno, tecnología de la información y educación.
Conclusión clave: los adversarios intentan evitar ser detectados.
Tendemos a pensar en un ciberataque en términos de su resultado final, como la demanda de rescate que aparece en la pantalla o el fallo de los servicios. Pero la verdad es que muchos ciberataques se desarrollan en el transcurso de días, semanas o incluso meses, mientras los adversarios trabajan para obtener el acceso que necesitan para cumplir su misión. Durante este tiempo, se esfuerzan por no activar ninguna alarma.
Volt Typhoon es un gran ejemplo. Según el análisis de Microsoft, Volt Typhoon se basó en gran medida en técnicas de vida de la tierra (LOTL), es decir, utilizando herramientas ya presentes en el entorno en lugar de instalar su propio código o scripts. Por ejemplo, abusaron del Servicio del Subsistema de la Autoridad de Seguridad Local (LSASS) para volcar las credenciales y utilizaron la herramienta de línea de comandos Ntdsutil.exe para crear medios de instalación desde controladores de dominio (DC).
Consejo de seguridad de AD: realice auditorías para detectar actividades sospechosas.
En consecuencia, un gran pilar de cualquier seguridad de AD tiene que ser una auditoría eficaz de Active Directory para buscar señales de ataques en curso e indicadores de compromiso (IOC). Por ejemplo, una actividad inusual de replicación de dominio puede ser una señal de que alguien está usando DCSync u otras técnicas para robar hashes de contraseñas, lo que puede ser una señal de un inminente ataque Golden Ticket.
Una táctica utilizada en Volt Typhoon fue extraer una copia de la base de datos de Active Directory (NTDS.dit). Este archivo contiene información sobre el dominio de AD y los objetos que contiene, incluidos los hashes de las contraseñas de las cuentas de AD. Un adversario que roba una copia del archivo dit puede extraer los hashes y descifrarlos tranquilamente sin conexión para comprometer las cuentas. O pueden usar los hashes tal cual con técnicas como Pass the Hash (PtH). Al detectar una actividad sospechosa como esta en sus primeras etapas y responder con prontitud, es posible que pueda evitar que un adversario pueda completar su ataque.
Tormenta-0558
En julio de 2023, Microsoft reveló que el grupo de hackers chino Storm-0558 había accedido a los sistemas de correo electrónico de agencias gubernamentales estadounidenses. Es posible que el ataque haya comprometido cientos de miles de mensajes, incluidos los correos electrónicos del embajador de Estados Unidos en China, el subsecretario de Estado para Asia Oriental, el secretario del Departamento de Comercio y otros altos funcionarios. Los funcionarios estadounidenses han descrito el ataque como espionaje; de hecho, el momento sugiere que los piratas informáticos buscaban información antes de un viaje planeado por el Secretario de Estado de Estados Unidos a Beijing.
Los adversarios utilizaron una clave de firma de Microsoft que habían adquirido para falsificar tokens de acceso de Azure AD para las cuentas. La clave comprometida también podría haberse utilizado para crear tokens de acceso para otros servicios de Microsoft, incluidos OneDrive, SharePoint, Teams y aplicaciones de terceros creadas por los clientes.
Conclusión clave: Microsoft publicará muchas más señales, lo que hará que la auditoría de seguridad de AD sea aún más difícil.
CISA dijo que descubrió la campaña Storm-0558 cuando un cliente descubrió eventos MailItemsAccessed anómalos en su registro de auditoría, eventos que estaban disponibles solo para clientes con las licencias de primer nivel (y más caras) de Microsoft. Afortunadamente, la organización había obtenido una licencia E5.
Naturalmente, Microsoft recibió muchas críticas por esta noticia. La compañía ha anunciado que brindará a los clientes acceso a registros de seguridad en la nube más amplios sin costo adicional.
Consejo de seguridad de AD: evite la fatiga de alertas centrando su auditoría en lo que importa.
Los equipos de seguridad de AD ya tienen una gran cantidad de datos que procesar para buscar amenazas, y ahora habrá aún más señales. Para evitar sentirse abrumado, es fundamental saber a qué prestar atención.
La clave es comprender que el objetivo de los ciberataques es llegar a sus sistemas y datos críticos, a menudo comprometiendo las cuentas más poderosas de su entorno. Estos se denominan activos de nivel 0 o plano de control. Incluyen sus controladores de dominio (DC) y otros servidores potentes, así como todas las cuentas que tienen control administrativo directo o indirecto sobre el bosque, los dominios o los DC. Las cuentas que probablemente le vienen a la mente son aquellas que pertenecen a sus profesionales de TI. Pero otro ejemplo común son las cuentas de servicio a las que se les otorgan derechos elevados.
Además, fíjate que dije “control directo o indirecto”. “Es vital también descubrir cuentas que podrían obtener privilegios elevados, como la membresía en Administradores de dominio. La cadena de acciones involucradas en este proceso se denomina ruta de ataque y, a menudo, implica el abuso de elementos como permisos ocultos, membresía en grupos anidados y brechas de seguridad inherentes en la arquitectura AD. Las organizaciones suelen tener literalmente cientos o incluso miles de estas rutas de ataque, muchas de las cuales pueden implicar sólo unos pocos pasos. Y los adversarios pueden utilizar una herramienta de código abierto llamada BloodHound para mapearlos en detalle.
Al obtener una imagen precisa de sus activos de Nivel 0, puede centrar su auditoría en lo que importa. Además, puede tomar medidas para reducir la cantidad de esos activos que tiene. Por ejemplo, con la gestión de rutas de ataque, puede frustrar a los atacantes que intentan obtener privilegios elevados. También considere rechazar a los proveedores que afirman que las cuentas de servicio para sus aplicaciones necesitan ser miembros de poderosos grupos de seguridad como Administradores de Dominio. Recuerde, cuantos menos activos de nivel 0 tenga que monitorear, más fácil será vigilarlos de cerca y detectar verdaderas amenazas.
sin autenticación
En abril de 2023, se notificó a Microsoft sobre nOAuth, un problema con el proceso de Autorización Abierta (OAuth) que exponía a los clientes al riesgo de apropiación de cuentas y pérdida de datos. Para explotar la falla, un adversario crea una cuenta de administrador de Azure AD y modifica su dirección de correo electrónico a la de un objetivo. Luego, pueden aprovechar el inicio de sesión único (SSO) en una aplicación o sitio web vulnerable: si la aplicación fusiona cuentas de usuario sin validación, el adversario ahora tiene control total sobre la cuenta de la víctima.
Conclusión clave: los atacantes entrarán en su red. De hecho, ya están dentro.
Los expertos en seguridad de AD recomiendan adoptar una mentalidad de asumir una infracción. Para que el ataque nOAuth funcione, la organización debe haber utilizado el reclamo de correo electrónico como identificador único en el token de acceso. Aunque esta configuración viola las mejores prácticas y la documentación de Microsoft, los investigadores pudieron identificar rápidamente varias organizaciones vulnerables al ataque.
Si su organización no cometió este error de configuración, no se apresure a felicitarse. ¿Qué otras mejores prácticas estás violando? ¿Qué vulnerabilidades no ha podido identificar y mitigar? Como mínimo, los proveedores que utilice serán explotados por vulnerabilidades de día cero, que por definición no se han descubierto previamente.
El hecho es que ninguna organización puede garantizar que ningún atacante externo se afiance en su red. Además, siempre existe el riesgo de que se produzcan amenazas internas, que pueden surgir de intenciones maliciosas o de negligencia o falta de formación. Por ejemplo, en junio de 2023, un guardia nacional aéreo fue acusado de publicar información clasificada de defensa nacional en las redes sociales. Lo habían investigado y se le había concedido una autorización de alto secreto, pero esa confianza resultó estar fuera de lugar. Independientemente de que sus motivaciones fueran maliciosas o no, los documentos se filtraron.
Consejo de seguridad de AD: aplique el privilegio mínimo.
El principio de privilegio mínimo es una de las mejores prácticas fundamentales de seguridad de AD por una buena razón. Al otorgar a cada cuenta solo el acceso que necesita para las tareas que necesita realizar, se minimiza el daño que puede causar cualquier persona que utilice esa cuenta, ya sea el propietario legítimo de la cuenta o un adversario que haya tomado el control de la cuenta.
Tenga en cuenta que el privilegio mínimo no se limita a los datos a los que puede acceder una cuenta. Se trata de todas las cosas que una cuenta puede hacer. Por ejemplo, debe limitar estrictamente la capacidad de ejecutar PowerShell a las (¡pocas!) personas que lo necesitan para hacer su trabajo. También es esencial restringir la capacidad de los usuarios comunes para dar su consentimiento a las aplicaciones de Azure AD; puede hacerlo fácilmente utilizando el flujo de trabajo de aprobación de administrador automatizado que proporciona Microsoft.
Mango Sandstorm (también conocido como Mercury o Muddywater)
En abril de 2023, Microsoft Threat Intelligence detectó una serie de ataques destructivos realizados por Mango Sandstorm, un actor de amenazas vinculado al Ministerio de Inteligencia y Seguridad de Irán. El ataque probablemente se realizó en asociación con otro grupo, DEV-1084 (ahora conocido como Storm-1084). Si bien los actores de la amenaza intentaron disfrazar su actividad como una campaña de ransomware estándar, sus objetivos finales fueron en realidad la destrucción y la interrupción: destruyeron granjas de servidores, cuentas de almacenamiento, máquinas virtuales y redes virtuales. Y aunque los ataques anteriores de Mango Sandstorm se dirigieron a entornos locales, este incluyó la destrucción de recursos de la nube.
Conclusión clave: el ransomware ocupa los titulares, pero los ataques destructivos siguen siendo un peligro claro y presente.
Los pagos totales de ransomware en lo que va de 2023 parecen estar por debajo de lo que han sido durante los últimos años. Podría parecer una buena noticia, pero un análisis más profundo revela que en realidad no lo es. Los pagos de rescate han disminuido no porque los ciberdelincuentes estén reduciendo sus exigencias de extorsión sino porque están cambiando su enfoque: están lanzando más ataques encaminados a robar o destruir datos en lugar de retenerlos para pedir un rescate.
Estrategia clave de seguridad de AD: centrarse en la resiliencia cibernética.
Esta es la lección de seguridad AD más importante de todas: centrarse en la resiliencia cibernética. El objetivo de la resiliencia cibernética es doble: mantener el entorno de TI en funcionamiento tanto como sea posible y volver a ponerlo en funcionamiento rápidamente cuando se produzca una interrupción.
Esto requiere un enfoque de defensa en profundidad que incluya múltiples componentes, muchos de los cuales ya mencioné anteriormente. Incluyen:
- Gestión de riesgos de ciberseguridad para reducir su superficie de ataque
- Gobernanza y administración de identidades para aplicar privilegios mínimos, incluida una gestión sólida del acceso privilegiado.
- Seguridad y gestión de AD híbrida que incluye auditoría efectiva de Active Directory, gestión de cambios y gestión de rutas de ataque.
- Una estrategia integral de respaldo y recuperación ante desastres que incluye preparación para ataques destructivos.
Conclusión
Hace apenas 15 años, el número de entidades que podían montar ataques altamente sofisticados probablemente se podía contar con los dedos de una mano: las agencias de seguridad nacional de naciones poderosas como Estados Unidos, Rusia, Israel y China. Ahora estos ataques los lanzan no sólo Estados-nación, sino también sofisticados sindicatos de ransomware y otras “empresas”. "
Además, opciones como el ransomware como servicio y los avances tecnológicos como la inteligencia artificial (IA) están permitiendo que casi cualquier persona se una a las filas del ciberdelito. De hecho, cada vez que escuche a Microsoft hablar de “desarrolladores ciudadanos”, quiero que sustituya mentalmente la frase “hackers ciudadanos”. "
Estas tendencias hacen que la seguridad de AD sea más importante que nunca. Al analizar los ciberataques que afectan a las organizaciones hoy en día, podemos descubrir las estrategias más importantes para construir una estrategia de seguridad de AD verdaderamente eficaz.