Rutas de ataque en Active Directory: lo que debes saber
Las rutas de ataque están a la vanguardia de los debates actuales sobre ciberseguridad. Pero ¿qué es exactamente una ruta de ataque? ¿Por qué Active Directory (AD) es particularmente vulnerable? ¿Y qué puedes hacer tú para proteger tu organización? Esta publicación de blog cubre todas estas preguntas y más.
¿Qué es una ruta de ataque?
La mejor manera de entender qué es una ruta de ataque implica entender qué no es. Los profesionales de TI están muy familiarizados con dos mejores prácticas fundamentales para proteger Active Directory: aplicación de parches y gestión de vulnerabilidades. La aplicación de parches es el proceso de aplicar actualizaciones para corregir vulnerabilidades basadas en código que podrían ser aprovechadas por adversarios, como fallas en el sistema operativo Microsoft Windows Server. La gestión de vulnerabilidades añade otra capa de seguridad al identificar y corregir errores de configuración en Active Directory que los adversarios podrían aprovechar, como permitirles intentos ilimitados de adivinar la contraseña de un usuario.
Una ruta de ataque no es una vulnerabilidad basada en código ni una única configuración errónea. Más bien, una ruta de ataque es una cadena de privilegios y acciones de los que se puede abusar que podrían permitir que un atacante que comprometa una cuenta de usuario obtenga privilegios administrativos, o incluso el control total del entorno de TI.
¿Por qué Active Directory es particularmente vulnerable?
Las rutas de ataque son un problema para cualquier sistema de gestión de identidades y accesos (IAM), porque tomar el control de la plataforma de identidad le da al adversario control total de todos los usuarios, sistemas y datos de la organización.
Pero el problema es más grave para Active Directory, por varias razones. En primer lugar, Active Directory es, con diferencia, el servicio de directorio más utilizado: se informa ampliamente que el 95 por ciento de las empresas Fortune 1000 utilizan Active Directory. Por lo tanto, los adversarios que se centran en comprender y explotar las rutas de ataque en Active Directory tienen una gran cantidad de objetivos para elegir. Además, tienen una variedad de herramientas a su disposición, incluidas BloodHound, Mimikatz y Responder, que han sido diseñadas específicamente para abusar de las funciones de Active Directory y Windows.
Otro factor que hace que Active Directory sea vulnerable a tener rutas de ataque es su complejidad y falta de transparencia. Los administradores de AD tienen una amplia gama de opciones para otorgar permisos a las cuentas, tanto directamente como a través de grupos de seguridad de Active Directory, y la Política de grupo ofrece literalmente miles de configuraciones que también afectan el control de acceso. Al mismo tiempo, es casi imposible auditar con precisión los permisos para determinar, por ejemplo, quién tiene permisos sobre un objeto AD en particular o qué derechos efectivos se han otorgado a un grupo de seguridad.
De manera similar, puede resultar difícil administrar adecuadamente los permisos para los objetos de política de grupo (GPO); debe considerar no solo los permisos del GPO en sí, sino también del grupo Propietarios del creador de políticas de grupo, la carpeta Sistema/Políticas en AD, la carpeta sysvol en los controladores de dominio (DC) y los atributos gpLink y gpOptions en la raíz del dominio y en la organización. unidades (OU). Además, es un verdadero desafío descubrir y superar problemas como el bloqueo de herencia, la prioridad de enlace incorrecta y la falla al colocar las computadoras en la unidad organizativa correcta.
Finalmente, está el inexorable avance del tiempo. Active Directory existe desde hace más de dos décadas: tiempo suficiente para que muchas organizaciones acumulen una deuda técnica considerable en forma de políticas complicadas, privilegios profundamente anidados y más. En conjunto, estos factores hacen que las rutas de ataque sean prácticamente inevitables en cualquier entorno de Active Directory, y constituyen una preocupación de ciberseguridad muy apremiante.
Las cinco etapas de un ciberataque
Como hemos visto, las rutas de ataque permiten a un atacante tomar el control de Active Directory. Y tomar el control de AD les permite lograr su verdadero objetivo: robar datos, liberar ransomware, provocar tiempo de inactividad, etc.
Este proceso generalmente lleva tiempo; de hecho, el tiempo medio de permanencia de un intruso en un ecosistema de TI es ahora la asombrosa cifra de 287 días, o más de 9 meses. Para entender cómo funciona todo esto, repasemos las cinco etapas de un ciberataque.
1. Reconocimiento
Los adversarios comienzan identificando las organizaciones objetivo y recopilando información sobre ellas. Los enfoques clave incluyen qué datos valiosos podrían robar, qué gran beneficio podrían obtener de un ataque de ransomware y qué tan difícil puede ser la misión. El reconocimiento puede ser pasivo, lo que implica el uso de fuentes públicas como registros fiscales, ofertas de trabajo y redes sociales para descubrir qué sistemas y aplicaciones utiliza la organización, los nombres de sus empleados, etc. El reconocimiento también puede implicar técnicas activas como el escaneo de redes y puertos para comprender la arquitectura de red de la organización objetivo, los firewalls y los programas de detección de intrusiones, los sistemas operativos y las aplicaciones, y los servicios alojados en sus puertos.
2. Planificación
A continuación, el atacante determina qué vector de ataque utilizar para la infiltración. Los ejemplos incluyen explotar una vulnerabilidad de día cero, lanzar una campaña de phishing o sobornar a un empleado para que proporcione credenciales o implemente malware.
3. Intrusión
Luego, el adversario utiliza el vector de ataque elegido para intentar violar el perímetro de la red de la organización. Por ejemplo, el adversario podría lograr adivinar el ID de usuario y la contraseña de un empleado, obtener acceso a través de un sistema sin parches o mal configurado, o engañar a un empleado para que lance malware oculto en un archivo adjunto malicioso de un correo electrónico de phishing.
4. Movimiento lateral y escalada de privilegios
Una vez dentro de la red, el adversario buscará aumentar sus privilegios y comprometer sistemas adicionales para localizar datos confidenciales o llegar a otros recursos críticos. También quieren mantener su acceso. Para lograr esta persistencia, pueden crear nuevas cuentas de usuario, modificar la configuración o incluso instalar puertas traseras.
Aquí es donde entran en juego las vías de ataque. Al aprovechar una ruta de ataque, un adversario puede escalar sus privilegios de usuario común a administrador e incluso a administrador de dominio, lo que le otorga poder ilimitado en el dominio.
Además, al comprometer las cuentas de administradores y usuarios autorizados, los adversarios pueden hacer que su actividad sea difícil de detectar. Y una vez que han reclamado privilegios suficientes, pueden evadir aún más la detección haciendo que los sistemas informen falsamente que todo está funcionando normalmente.
5. Exfiltración y limpieza
Por último, el adversario extrae o cifra los datos de la organización, o quizás corrompe los sistemas para alterar las operaciones comerciales. Además, a menudo también intentan cubrir sus huellas para frustrar las investigaciones y evitar que la organización mejore sus defensas contra futuros ataques. Las técnicas incluyen desinstalar programas o scripts utilizados en el ataque, eliminar las carpetas o cuentas que crearon y modificar, corromper o eliminar registros de auditoría.
¿Cuáles son algunas rutas de ataque comunes?
Una ruta de ataque a menudo implica una combinación de permisos ocultos, membresía en grupos anidados y brechas de seguridad inherentes en la arquitectura AD. Veamos un par de ejemplos.
Ejemplo 1
Primero, supongamos que un atacante compromete las credenciales de la cuenta del usuario Alex. Eso le da al atacante todos los privilegios asignados a Alex, ya sea mediante asignación de permisos directos, membresía directa a un grupo o membresía a un grupo anidado. En este caso, la cuenta de Alex es miembro del grupo HelpDesk, que a su vez es miembro del grupo Administradores de estaciones de trabajo, como se ilustra aquí:
Este tipo de anidamiento de grupos de seguridad es bastante común y puede otorgar a una cuenta de usuario normal más privilegios de los que debería tener, y muchos más de los que cualquiera se da cuenta de que tiene. En este caso, el grupo Administradores de estaciones de trabajo tiene permisos de administrador local para la máquina PCI-Server-01, que tiene una sesión de inicio de sesión desde una cuenta de servicio AD, SVC_PRDRMV:
Es trivial para el adversario abusar del modelo de token de Windows y recopilar las credenciales de esta cuenta de servicio, lo que les otorga el permiso Agregar miembro sobre el grupo de administradores de dominio. Una vez que agregan su cuenta a ese grupo, el atacante ha completado la explotación de la ruta de ataque y ahora tiene control total sobre Active Directory.
Ejemplo 2
Se comparten ejemplos adicionales en el webcast bajo demanda Cómo los GPO inseguros crean rutas de ataque reales en AD. Debería ver el webcast para obtener una explicación completa de cómo los GPO pueden desempeñar un papel en las rutas de ataque, pero aquí hay una breve descripción de una ruta de ataque: Considere una cuenta de usuario a la que se le delegaron permisos para editar un GPO. Al comprometer las credenciales de ese usuario, un atacante tiene una ruta de ataque para controlar el dominio AD. Al modificar el GPO, pueden provocar que otra cuenta de usuario ejecute un script de PowerShell malicioso la próxima vez que inicie sesión. El script le dará al atacante el control de esa cuenta, que tiene derechos genéricos en el grupo de administradores de dominio. Como resultado, el atacante puede agregar cualquier cuenta que desee a los administradores de dominio, lo cual se acabó: tienen el control de Active Directory.
Cómo encontrar y cerrar rutas de ataque: gestión de rutas de ataque
Tenga en cuenta que no se encontró ningún sistema sin parches ni una simple configuración incorrecta en ninguno de los ejemplos anteriores. Por lo tanto, ni la gestión de parches ni la gestión de vulnerabilidades pudieron bloquear el ataque y, cuando una solución de gestión de amenazas detectara el ataque, el adversario sería un administrador de dominio.
Para una seguridad sólida de Active Directory, es necesaria la gestión de rutas de ataque. En lugar de observar las vulnerabilidades o los errores de configuración de forma aislada, la gestión de rutas de ataque analiza las relaciones entre los objetos en Active Directory y los permisos complejos que se aplican entre ellos para identificar las secuencias de pasos que un adversario puede tomar para comprometer una cuenta de usuario normal hasta obtener control sobre activos críticos o incluso sobre el propio Active Directory.
Por supuesto, no basta con identificar las rutas de ataque; También desea poder remediarlos para evitar que los adversarios se apoderen de su AD. Pero la realidad es que, en la mayoría de las organizaciones, existen miles o incluso millones de rutas de ataque. Bloquearlos uno por uno simplemente no es factible. En su lugar, necesita una herramienta de gestión de rutas de ataque que identifique los puntos críticos que comparten varias rutas de ataque. Un punto de estrangulamiento es el último segmento de la cadena de acontecimientos de muchas rutas de ataque. Al remediar un punto de estrangulamiento, se eliminan todas las rutas de ataque que dependen de él.
Por ejemplo, supongamos que el 92 por ciento de sus cuentas de usuario podrían usarse para abusar de una ruta de ataque en particular, el 21 por ciento podría servir como posible punto de partida para otra y el 57 por ciento podría usarse para lanzar una tercera (el total es más del 100 por ciento). porque cualquier cuenta en particular podría ser el primer paso en múltiples rutas de ataque). Al remediar el punto de estrangulamiento para la primera ruta de ataque, se eliminan las rutas de ataque a través de todas las cuentas de usuario debajo de ella, lo que puede reducir drásticamente el área de superficie de ataque.
Otro componente vital: el seguimiento de la ruta de ataque.
Si bien remediar los puntos críticos es la solución ideal al problema de la ruta de ataque, hacerlo rápidamente no siempre es práctico. El hecho es que muchas organizaciones no pueden abordar rápidamente todos sus puntos críticos porque hay mucha deuda técnica en su Active Directory. Las relaciones entre los objetos de Active Directory y los permisos que se aplican entre ellos son tan complejas que realizar cambios introduce el riesgo de dañar cosas, como una aplicación crítica que depende de un permiso particular.
En consecuencia, es crucial combinar la identificación de la ruta de ataque con el monitoreo de la ruta de ataque: observar continuamente para ver si alguna ruta de ataque realmente se está aprovechando para poder tomar medidas rápidamente en lugar de permitirle al intruso el lujo de un tiempo de permanencia prolongado para avanzar a lo largo de la ruta de ataque hacia sus activos críticos de TI. En particular, busque una solución de gestión de cambios y monitoreo de amenazas en tiempo real que:
- Supervise Active Directory en tiempo real para detectar ataques activos e indicadores de compromiso (IOC), como intentos de exfiltración de bases de datos de AD, exploits Golden Ticket y ataques DCSync.
- Evite que los atacantes aprovechen los vectores de ataque impidiendo cambios y acceso a activos críticos como grupos privilegiados, GPO y el archivo NTDS.dit.
- Audite los cambios de seguridad en sus entornos Active Directory y Azure AD.
Conclusión
Es vital recordar que la gestión de la ruta de ataque no es una tarea que se realiza una vez. Los entornos informáticos modernos son complejos y muy dinámicos, con cambios continuos en cuentas, permisos, aplicaciones y GPO. Como resultado, constantemente surgen nuevas rutas de ataque, por lo que es necesario buscarlas activamente de forma regular y tomar medidas oportunas para remediarlas o al menos monitorearlas.