Próximos cambios de Kerberos: cómo planificar e implementar
Kerberos ha sido el protocolo de autenticación predeterminado en entornos Active Directory (AD) desde Windows Server 2000. Si bien Kerberos es mucho más seguro que el antiguo protocolo NTLM, no es infalible. De hecho, debido a que Kerberos controla el acceso a tantos entornos de TI en todo el mundo, los adversarios buscan (y encuentran) constantemente formas de abusar de él. En consecuencia, los profesionales de TI deben estar al tanto de los exploits conocidos y las medidas de mitigación que pueden reducir el riesgo de violaciones de seguridad.
En este momento, eso significa prestar atención a las actualizaciones de Windows del 8 de noviembre de 2022, que abordan vulnerabilidades críticas de Kerberos (CVE-2022-37966 y CVE-2022-37967) que podrían permitir a un atacante elevar sus privilegios. Microsoft recomienda instalar estas actualizaciones en todos los dispositivos, incluidos los controladores de dominio, como se describe en KB5021131 y KB5020805.
Sin embargo, la instalación de las actualizaciones de noviembre ha causado problemas de autenticación, fallas en el inicio de sesión del usuario, imposibilidad de que los usuarios accedan a carpetas compartidas y otros problemas. Además, mitigar completamente las vulnerabilidades romperá la autenticación Kerberos a menos que una organización tome medidas para abordar los efectos secundarios. En consecuencia, Microsoft está planeando una serie de actualizaciones de seguridad en los próximos meses que le ayudarán a proteger la autenticación Kerberos sin interrumpir su negocio.
Esta publicación de blog ofrece orientación sobre la implementación de las actualizaciones del 8 de noviembre para abordar estas vulnerabilidades de Kerberos y cómo planificar las próximas actualizaciones que completen el proceso de refuerzo de Kerberos.
Mitigación de CVE-2022-37966
KB5021131 detalla cómo administrar los cambios del protocolo Kerberos relacionados con CVE-2022-37966. Recomiendo seguir todos los pasos allí detallados. Veamos más profundamente en dos de ellos.
Identificación de sistemas afectados
Después de instalar las actualizaciones de seguridad de noviembre en sus controladores de dominio, es posible que sufra errores de autenticación. También se activan si ha configurado específicamente el nivel de cifrado en las cuentas de usuario en DES/RC4 en lugar de AES.
Para identificar los sistemas que podrían verse afectados, ejecute el siguiente script de PowerShell:
Get-ADObject -Filter “tipos de cifrado compatibles con msDS -bor 0x7 -y -tipos de cifrado compatibles con msDS -bor 0x18”
Restablecer la contraseña de la cuenta KRBTGT
Otro paso consiste en restablecer la contraseña de la cuenta KRBTGT. Probablemente sepa que los ataques Golden Ticket aprovechan una vulnerabilidad en el protocolo Kerberos: la suposición de que cualquier ticket que otorga ticket (TGT) cifrado con el hash de contraseña de la cuenta KRBTGT es legítimo. Como resultado, un atacante que robe el hash de contraseña de su cuenta KRBTGT puede otorgarse acceso completo a su red.
Por lo tanto, si ha tenido una intrusión, o incluso sospecha que la ha tenido, querrá cambiar esa contraseña inmediatamente después de que la red se haya estabilizado. Aunque no hayas sufrido ningún ataque, debes cambiarlo al menos dos veces al año.
Pero una vez que haya instalado la actualización de seguridad de noviembre, tendrá otra razón para cambiar la contraseña de la cuenta KRBTGT: si no ha restablecido esa contraseña desde que actualizó el nivel funcional del dominio AD (DFL) a Windows Server 2008 o superior, o su DFL aún se ejecuta. Windows Server 2003, verá errores de ID de evento 42 en los registros del sistema.
Microsoft proporciona un script de PowerShell que restablece la contraseña de KRBTGT. Pero para ejecutar ese script, debes estar en un DFL de Server 2008 o superior. Para comprobar en qué DFL se encuentra, ejecute el siguiente comando desde un símbolo del sistema elevado de PowerShell:
Obtener-ADDominio | fl Nombre, ModoDominio
Si todavía se encuentra en un nivel anterior, sería prudente investigar si puede pasar al menos a Server 2008. Además, si no ha movido sus controladores de dominio a Windows Server 2019 o 2022, debe revisar lo que se mantiene. impedirle actualizar.
Mitigación de CVE-2022-37967
Actualizaciones del 8 de noviembre de 2022
Las actualizaciones de noviembre también incluyen un parche para CVE-2022-37967. KB5020805 detalla cómo administrar los cambios del protocolo Kerberos relacionados con esta vulnerabilidad y le recomiendo encarecidamente que revise los pasos que se proporcionan allí.
El parche agrega firmas de Certificado de atributo privilegiado (PAC) al búfer PAC de Kerberos. Un PAC es una extensión de un ticket de Kerberos que contiene información sobre los privilegios de un usuario. Un controlador de dominio agrega esta información a los tickets de Kerberos cuando un usuario se autentica en un dominio de Active Directory. Cuando el usuario usa su ticket Kerberos para autenticarse en otros sistemas, el PAC se puede leer y usar para determinar su nivel de privilegios sin tener que comunicarse con el controlador de dominio para consultar esa información.
Los PAC contienen información muy confidencial y, por lo tanto, han sido el objetivo de múltiples técnicas de ataque a Active Directory a lo largo de los años. Como resultado, Microsoft está agregando específicamente protección y verificación adicionales.
Sander Berkouwer recomienda que después de aplicar estas actualizaciones en todos sus controladores de dominio, trabaje para identificar áreas a las que les faltan firmas PAC o tienen firmas PAC que no pasan la validación. Para hacerlo, habilite el modo Auditoría ejecutando el siguiente comando de PowerShell:
New-ItemProperty -Ruta “HKLM:\System\CurrentControlSet\Services\KDC” -Nombre KrbtgtFullPacSignature -Valor 2 -PropertyType DWORD -Force
Luego, dice, “supervise los registros del sistema en los controladores de dominio para identificar cualquier problema con los cambios de protocolo Kerberos y Netlogon. "
La actualización de noviembre es el primer paso en el proceso de implementación de medidas de seguridad adicionales para Kerberos. Agrega firmas al búfer Kerberos PAC pero no verifica las firmas durante la autenticación. Por lo tanto, el modo seguro está deshabilitado durante este período inicial, porque Microsoft sabe que la autenticación se interrumpirá a menos que las organizaciones tomen medidas para mitigar los efectos secundarios.
En consecuencia, Microsoft implementará actualizaciones durante los próximos meses para proporcionar refuerzo Kerberos adicional. Repasemos el cronograma de los cambios planificados y cómo le afectarán.
Actualizaciones del 13 de diciembre de 2022
Las versiones de seguridad de diciembre trasladarán todos los controladores de dominio al modo Auditoría para que pueda revisar el impacto de habilitar la aplicación de PAC.
Antes de pasar al modo Aplicación, asegúrese de que el nivel funcional del dominio esté configurado en 2008 o superior. La base de conocimiento advierte: “Pasar al modo de cumplimiento con dominios en el nivel funcional de dominio de 2003 puede provocar fallas de autenticación. "
Asegúrese de tener en cuenta lo siguiente:
- Los eventos de auditoría aparecerán si su dominio no está completamente actualizado o si aún existen en su dominio tickets de servicio emitidos anteriormente.
- Continúe monitoreando eventos que indiquen firmas de PAC faltantes o fallas de validación de firmas de PAC existentes.
- Una vez que se haya actualizado todo el dominio y todos los tickets pendientes hayan expirado, los eventos de auditoría ya no deberían aparecer. Entonces, debería poder pasar al modo Aplicación sin fallos.
Actualizaciones del 11 de abril de 2023
Estas actualizaciones eliminarán la capacidad de deshabilitar las firmas PAC y agregarán la clave de registro KrbtgtFullPacSignature.
Actualizaciones del 11 de julio de 2023
La actualización del próximo julio modificará la clave de registro KrbtgtFullPacSignature: eliminará la capacidad de establecer el valor en 1 y pasar al modo de cumplimiento (valor de 3). Sin embargo, aún podrá anular ese valor.
Actualizaciones del 10 de octubre de 2023
Las actualizaciones de octubre eliminarán la capacidad de desactivar la aplicación de firmas PAC. A todos los boletos de servicio sin firmas de PAC se les negará la autenticación.
Conclusión
La seguridad de la autenticación Kerberos es vital para cualquier entorno de Active Directory. Al ser proactivo con respecto a las medidas de mitigación que se describen aquí, puede abordar las vulnerabilidades críticas de Kerberos que ponen en riesgo su dominio y su negocio.