Administración de políticas de grupo: 4 pasos para administrar GPO - Administración de plataformas de Microsoft - Blogs - Quest Community
¿Qué importancia tiene la política de grupo?
Bueno, ¿qué podría pasar si se cambiara su política de bloqueo y se permitiera a los piratas informáticos intentos ilimitados de adivinar la contraseña de un usuario? ¿Qué pasaría si los marcadores predefinidos en las máquinas de todos sus usuarios fueran redirigidos a sitios maliciosos? ¿Qué pasaría si el malware llegara a todos sus controladores de dominio?
Todo lo que se necesitaría para hacer realidad estas pesadillas es una única configuración incorrecta en su Política de grupo. En verdad, no es una exageración decir que un cambio inadecuado en una configuración (intencional o accidental) podría fácilmente conducir a una filtración de datos, con todos los gastos consiguientes, malas relaciones públicas, multas por cumplimiento y daños duraderos a la reputación de su organización.
Aunque la gestión eficaz de las políticas de grupo es fundamental para una sólida seguridad de Active Directory, muchas organizaciones la pasan por alto. Si esto es así en su empresa, consulte este plan de cuatro pasos para tener todo bajo control.
Revisión rápida del poder de la política de grupo
La política de grupo permite la gestión centralizada de usuarios y ordenadores en cualquier entorno de Microsoft Active Directory. Cada grupo de configuraciones relacionadas se denomina objeto de política de grupo (GPO). Estos son sólo algunos ejemplos de las miles de cosas útiles que puedes hacer con ellos:
- Evite que los usuarios elijan contraseñas demasiado simples.
- Bloquee una cuenta después de ingresar una cierta cantidad de contraseñas incorrectas.
- Bloquee a usuarios no identificados en computadoras remotas para que no se conecten a un recurso compartido de red.
- Ofrezca a todos los usuarios empresariales un conjunto estándar de marcadores para que puedan acceder fácilmente a su servicio de asistencia técnica o acceder a otros recursos importantes.
- Restringir el acceso a determinadas carpetas.
- Instale el mismo software en todos sus controladores de dominio (DC).
- Deshabilite el símbolo del sistema en las máquinas de los usuarios.
- Asegúrese de que las actualizaciones de Windows se apliquen con prontitud.
No hace falta mucha imaginación para ver cómo se puede abusar de los objetos de la Política de grupo para eludir los controles de seguridad y obtener acceso a datos confidenciales. Todo lo que necesitas hacer es pensar en el reverso de cada una de estas políticas, como hice yo en mis ejemplos al principio de esta publicación de blog. Dada la forma en que los GPO propagan los cambios en minutos (o incluso segundos), revertir el daño es muy parecido a abrir una taza de té.
Claramente, es fundamental mantener la gestión de políticas de grupo y sus GPO bajo estricto control. Aquí están los cuatro pasos involucrados.
Paso 1: revise todas las configuraciones de GPO.
El primer paso es obtener una comprensión clara de su puesto actual. Sin embargo, hacer un balance de sus GPO puede ser un desafío; Algunas organizaciones medianas y grandes tienen cientos y, a veces, miles de ellos implementados en entornos ampliamente distribuidos. Aún así, es esencial comprender la intención y el efecto de cada GPO: ¿qué permite o no que suceda en su ecosistema de TI? La configuración de GPO puede controlar las políticas de contraseñas, los scripts de inicio y apagado, la instalación de software, los permisos de archivos y registros, y mucho más.
Como práctica recomendada, las GPO deberían estar impulsadas por un propósito. Deben estar estrictamente segregados en “GPO de configuración de computadora” y “GPO de configuración de usuario”. Se debe tener cuidado de evitar tener GPO que apliquen configuraciones de usuario solo a usuarios en ciertas computadoras. Al establecer una política de grupo clara y bien estructurada, se reduce la superficie de ataque y la probabilidad de errores.
Paso 2: revisar la delegación de permisos de GPO.
A continuación, debe comprender quién tiene la capacidad de crear, modificar y eliminar GPO en su entorno. Para empezar, eso incluye a todos los administradores de dominio y administradores empresariales. Pero la mayoría de las organizaciones también delegan permisos de GPO a muchos otros administradores. Por ejemplo, puede tener sentido permitir que su equipo de servidores administre ciertos GPO y su equipo de escritorio controle otros.
Sin embargo, delegar conlleva riesgos. Cualquier administrador podría realizar cambios inadecuados en los GPO que tiene permiso para modificar, ya sea de forma deliberada o accidental. Y un atacante que comprometa la cuenta de uno de esos administradores podría crear puertas traseras, ejecutar código malicioso o agregar la cuenta del dominio a un grupo RDP, solo por nombrar algunas de sus opciones.
Para mantener el control de qué cuentas pueden modificar su política de grupo, debe implementar una certificación periódica de la delegación de permisos de GPO.
Además, es importante limitar los permisos a los dos GPO integrados, la Política de dominio predeterminada y la Política de controladores de dominio predeterminada. A menudo son el objetivo de los atacantes porque, de forma predeterminada, se encuentran en todos los dominios de AD utilizando exactamente el mismo GUID y afectan TODO: derechos de usuario, configuración de seguridad local, política de contraseñas, política de bloqueo de cuentas, acceso a la red y seguridad, y más. Debido a que hay muchos derechos asignados dentro de estos GPO, un atacante no necesita intentar vincular un GPO malicioso; simplemente pueden usar uno de estos dos GPO existentes. Es por eso que es una buena práctica superponer GPO más estrictos a estos GPO predeterminados, de modo que pueda limitar las rutas de escalada para administradores como operadores de servidores, operadores de respaldo y operadores de impresión.
Paso 3: revise la vinculación de GPO.
Un GPO no tiene efecto hasta que esté vinculado a un contenedor de Active Directory, como un sitio, dominio o unidad organizativa (OU). Determinar exactamente dónde se encuentra un GPO es esencial para comprender el impacto de la política. Por ejemplo, si un pirata informático compromete la cuenta de un creador de GPO para un GPO vinculado a un DC, ese atacante ahora es propietario de ese DC y puede crear y modificar GPO para permitir la instalación de malware.
Al revisar periódicamente los enlaces de GPO, puede reducir su superficie de ataque. Las mejores prácticas recomiendan vincular lo más cerca posible del objetivo previsto. Este enfoque reduce la complejidad en la administración de políticas de grupo, limita el impacto de cambios accidentales o maliciosos y reduce la latencia al eliminar la necesidad de que cada cliente filtre una serie de GPO para determinar cuáles se aplican.
Paso 4: Implementar un control de cambios basado en aprobaciones.
Los cambios de GPO nativos entran en vigor tan pronto como se cierra la ventana; ni siquiera hay un botón "Aplicar". Este es un riesgo para la seguridad y también deja a las organizaciones vulnerables a simples errores administrativos que pueden tener impactos devastadores. Por lo tanto, es fundamental implementar un proceso de control de cambios basado en la aprobación.
Específicamente, debe configurar un flujo de trabajo de aprobación automatizado que permita la segregación de tareas: la persona que realmente edita una configuración de GPO debe ser diferente de la persona que aprueba la implementación del cambio de GPO en el entorno de producción. Puede parecer obvio, pero es algo que debe abordarse e implementarse formalmente.
Más información
Es fundamental lograr que los GPO y la gestión de políticas de grupo sean correctos. Para ayudar, Microsoft ofrece la Consola de administración de políticas de grupo (GPMC), un editor de políticas de grupo gratuito que ayuda con una variedad de tareas, así como un conjunto de interfaces GPMC para acceso programático a muchas operaciones. Sin embargo, estas herramientas nativas tienen sus limitaciones. Una solución de terceros como Quest GPOADmin puede hacer que la administración de políticas de grupo sea mucho más fácil y efectiva.
Si desea volver a lo básico, consulte nuestra publicación anterior: ¿Qué es la política de grupo y cómo funcionan los GPO? Puede encontrar más detalles sobre la administración de políticas de grupo en este artículo de Microsoft TechNet. Para obtener más detalles, lea esta publicación sobre la astuta persistencia de políticas de grupo del maestro certificado de Microsoft, Sean Metcalf, o vea el discurso de apertura de Randy Franklin Smith de la Conferencia de Expertos, en el que comparte su experiencia sobre la protección de Active Directory.