Política de grupo: qué es y cómo funcionan los GPO - Administración de plataformas de Microsoft - Blogs - Quest Community

La política de grupo es un elemento crítico de cualquier entorno de Microsoft Active Directory (AD). Pero ¿qué es exactamente y cómo funciona? ¿Cómo pueden los atacantes comprometerlo y cómo defenderse? Aquí encontrará todo lo esencial que necesita saber.

Descripción general de la política de grupo

La política de grupo es una característica integral integrada en Microsoft Active Directory. Su objetivo principal es permitir a los administradores de TI administrar de forma centralizada usuarios y computadoras en un dominio AD. Esto incluye tanto a usuarios empresariales como a usuarios privilegiados, como administradores de TI, estaciones de trabajo, servidores, controladores de dominio (DC) y otras máquinas.

Éstos son sólo algunos ejemplos de las muchas cosas útiles que puede hacer con él:

Establezca y aplique políticas de contraseñas, como requisitos de longitud y complejidad de las contraseñas, para ayudar a frustrar los ataques de adivinación de contraseñas.
Evite el uso de unidades de medios extraíbles, que son un vector tanto de infecciones de malware como de robo de datos.
Restrinja el acceso al símbolo del sistema para que los usuarios no puedan ejecutar código no autorizado que pueda comprometer la integridad o estabilidad de sus máquinas o infectar su red.
Implemente sistemas operativos y otro software en todas las máquinas con Windows Server y otras computadoras para garantizar un entorno estándar en todo el dominio.
Evite que los usuarios instalen nuevo software en sus sistemas para evitar problemas de seguridad, productividad y licencias.
Agregue sitios recomendados o utilizados con frecuencia a los navegadores de los usuarios, mejorando la productividad y ayudando a garantizar que trabajen con información precisa.
Deshabilite la autenticación NTLM, que es más débil que la autenticación Kerberos más moderna.
Evite que Windows almacene hashes de contraseñas de LM, que son bastante fáciles de piratear.
Evite que los usuarios creen archivos PST, lo que puede ser una pesadilla para las copias de seguridad, el cumplimiento y el descubrimiento electrónico.
Ejecute ciertos scripts al iniciar o apagar la computadora o al iniciar o cerrar sesión el usuario, como un script que realiza una limpieza antes de apagar la computadora o inicia una aplicación comercial esencial al iniciar sesión el usuario.

Como puede ver, la Política de grupo es increíblemente poderosa y puede ofrecer un valor enorme. En particular, permite a las organizaciones fortalecer la seguridad, mejorar la eficiencia de TI y la productividad empresarial, y reducir el tiempo de inactividad y los costos. Sin embargo, como veremos en un momento, también puede ser una vulnerabilidad gigante si no se gestiona adecuadamente.

Profundizando en los detalles: GPO

Ahora exploremos cómo funciona realmente la Política de grupo. Se compone de un conjunto de políticas, denominadas objetos de política de grupo (GPO). Los ejemplos enumerados anteriormente son solo algunos de los GPO más comunes que puede configurar para respaldar las mejores prácticas de TI. Microsoft ofrece literalmente miles de políticas y configuraciones que puede utilizar, que se detallan en su Hoja de cálculo de referencia.

Se crean dos GPO automáticamente cuando se crea un dominio AD:

Política de dominio predeterminada : establece configuraciones de referencia para todos los usuarios y computadoras en un dominio en tres áreas clave: política de contraseñas, política de bloqueo de cuentas y política de Kerberos.
Política de controladores de dominio predeterminada : establece configuraciones de seguridad y auditoría de referencia para todos los controladores de dominio de un dominio.

Para que entre en vigor, es necesario aplicar (vincular) un GPO a uno o más contenedores de Active Directory, como un sitio, un dominio o una unidad organizativa (OU). Por ejemplo, puede usar la Política de grupo para exigir que todos los usuarios de su dominio de Chicago utilicen contraseñas más complejas o para no permitir el uso de medios extraíbles en todas las computadoras solo en la unidad organizativa de Finanzas del dominio de Chicago.

Aunque la mayoría de las organizaciones utilizan sólo un pequeño subconjunto de las políticas que proporciona Microsoft, pueden terminar fácilmente con cientos o miles de GPO implementados a lo largo de los años para controlar de forma granular varios aspectos de su entorno de TI.

Procesamiento de GPO (TL;DR: las cosas pueden complicarse rápidamente)

Un GPO no tiene efecto hasta que esté vinculado a un contenedor de Active Directory, como un sitio, dominio u unidad organizativa. Vincular GPO a contenedores le permite aplicar configuraciones a una parte amplia o limitada del entorno de TI.

Sin embargo, no se trata de una simple combinación uno a uno. Cualquier GPO determinado puede vincularse a varios contenedores y, a la inversa, cualquier contenedor determinado puede tener varios GPO vinculados. Además, los contenedores heredan GPO; por ejemplo, un GPO vinculado a una unidad organizativa se aplica a todos los usuarios y computadoras de sus unidades organizativas secundarias. De manera similar, un GPO aplicado a una unidad organizativa se aplica no solo a todos los usuarios y computadoras de esa unidad organizativa, sino también, por herencia, a todos los usuarios y computadoras de las unidades organizativas secundarias. Es más, incluso puede vincular un sitio, dominio u unidad organizativa a un GPO en otro dominio confiable. (¡Esto no se recomienda, pero es posible!)

Si esto no es lo suficientemente confuso, las configuraciones de varios GPO pueden superponerse o incluso entrar en conflicto. De forma predeterminada, los GPO se procesan en el siguiente orden y los posteriores anulan la configuración de los anteriores:

Local (computadora individual)
Sitio
Dominio
Unidad organizacional

Sin embargo, puede intervenir y administrar cómo se aplican los GPO a un dominio, sitio u unidad organizativa específica mediante cualquiera de las siguientes acciones:

Cambiar el orden de los enlaces : el GPO con el orden de enlaces más bajo se procesa en último lugar y, por lo tanto, tiene la prioridad más alta, sobrescribiendo la configuración de los GPO anteriores si hay conflictos.
Bloqueo de herencia: de forma predeterminada, las unidades organizativas secundarias heredan todos los GPO de la principal, pero puedes bloquear esta herencia.
Aplicar un vínculo de GPO : de forma predeterminada, la configuración de las unidades organizativas principales se sobrescribe con cualquier configuración conflictiva en los GPO vinculados a las unidades organizativas secundarias, pero este comportamiento se anula estableciendo un enlace de GPO en Aplicado.
Deshabilitar un enlace de GPO : de forma predeterminada, el procesamiento está habilitado para todos los enlaces de GPO. Pero puede evitar la aplicación de un GPO para un contenedor en particular deshabilitando el enlace del GPO para ese contenedor.

Con toda esta complejidad, puede resultar extremadamente difícil entender qué políticas se están aplicando realmente a un usuario o computadora en particular, lo que se conoce como Conjunto resultante de políticas (RSoP). Microsoft ofrece una herramienta de línea de comandos llamada GPResult que generará un informe RSoP. (Tenga en cuenta que la herramienta rsop.msc anterior está obsoleta).

Gestión y delegación de políticas de grupo

Para la administración de políticas de grupo, Microsoft proporciona la Consola de administración de políticas de grupo (GPMC). Con este editor de políticas de grupo gratuito, los administradores de TI pueden crear, copiar, importar, realizar copias de seguridad y restaurar, e informar sobre GPO. Microsoft también ofrece un conjunto completo de interfaces GPMC que se pueden utilizar para acceder mediante programación a muchas de las operaciones admitidas por la consola.

De forma predeterminada, cualquier miembro del grupo de administradores de un dominio puede crear y controlar GPO. Además, existe un grupo global llamado Propietarios de creadores de políticas de grupo; sus miembros pueden crear GPO, pero solo pueden modificar las políticas que han creado, a menos que se les concedan permisos específicos para editar otros GPO.

Además, puede delegar permisos para diversas tareas, como crear, editar y vincular GPO específicos, a administradores de TI adicionales. La delegación es una herramienta valiosa; por ejemplo, probablemente tenga mucho sentido capacitar al equipo responsable de administrar sus aplicaciones de Microsoft Office para que edite los GPO utilizados para administrar la configuración de Office en el escritorio.

Sin embargo, la delegación a menudo se sale de control rápidamente; Antes de que te des cuenta, tienes docenas y docenas de personas con varios derechos de administración de GPO. Además, esos derechos a menudo se delegan a nivel de dominio, por lo que la persona puede jugar no solo con uno o dos GPO sino con todos los GPO del dominio, incluso aquellos que se aplican a sus controladores de dominio (el corazón y cerebro del dominio) o a todo el dominio (todo).

Gran poder, gran riesgo

El valor de la Política de Grupo proviene de su poder. De un plumazo, puede aplicar políticas en un dominio o una unidad organizativa que fortalezcan drásticamente la seguridad o mejoren la productividad empresarial.

Pero ese poder también puede ser abusado, ya sea deliberada o accidentalmente. De hecho, un solo cambio inadecuado en un GPO podría provocar un tiempo de inactividad o una violación de la seguridad. ¿Recuerda todos los ejemplos que di antes sobre las grandes cosas que puede hacer con los GPO? Es fácil darles la vuelta para ver cómo un atacante podría cooptarlos. Por ejemplo, un hacker o un administrador malintencionado podría modificar un GPO para:

Permita intentos ilimitados para adivinar la contraseña de una cuenta.
Habilite el uso de unidades de medios extraíbles para facilitar el robo de datos.
Implemente malware en todas las máquinas del dominio.
Reemplace los sitios que aparecen en los navegadores de los usuarios con URL maliciosas.
Ejecute un script malicioso al iniciar o apagar la computadora.

Además, los piratas informáticos ni siquiera necesitan mucha habilidad para comprometer sus GPO. Todo lo que necesitan hacer es hacerse cargo de una cuenta que tenga los permisos necesarios para el GPO deseado, y existe una herramienta de código abierto llamada BloodHound que les entregará una lista de esas cuentas. Unos cuantos ataques de phishing y el hacker tiene el control del GPO. (Los dos GPO que mencioné anteriormente, la Política de dominio predeterminada y la Política de controladores de dominio predeterminada, son objetivos populares porque se crean automáticamente para cada dominio y controlan configuraciones importantes).

Por qué las herramientas nativas se quedan cortas

Desafortunadamente, las herramientas nativas no facilitan mantener la Política de grupo segura y bajo control. Por un lado, los cambios realizados en los GPO entran en vigor de forma nativa tan pronto como se cierra la ventana; ni siquiera hay un botón "Aplicar" que brinde a los administradores la oportunidad de hacer una pausa y detectar errores antes de que la organización sufra un impacto devastador.

Además, debido a la forma en que se diseñan los permisos de seguridad en torno a los GPO, cualquier administrador de dominio puede modificar cualquier configuración de seguridad de GPO, incluso las configuraciones que se supone impiden que esa persona realice ciertas tareas. Por ejemplo, un administrador podría desactivar el GPO que le impide iniciar sesión en un servidor particular que aloja datos confidenciales y copiar parte o la totalidad de ese contenido valioso en su propia máquina.

Lo que es peor, los cambios en la configuración de GPO no se rastrean en los registros de seguridad nativos, y mucho menos se alertan, por lo que no es posible monitorear tales violaciones, incluso si está utilizando una solución de administración de eventos e información de seguridad (SIEM).

Claves para defender tu Política de Grupo

En primer lugar, la mejor manera de minimizar el riesgo de que sus GPO se gestionen incorrectamente y, al mismo tiempo, maximizar su capacidad para detectar comportamientos maliciosos con prontitud, es crear un marco de seguridad en capas que complemente las herramientas nativas. Específicamente, para proteger su política de grupo, necesita soluciones comprobadas que le permitan:

Comprenda exactamente quién tiene qué acceso a qué GPO
Implementar flujos de trabajo basados en aprobaciones con una segregación adecuada de funciones para controlar los cambios en los GPO.
Realice un seguimiento, supervise y alerte sobre cambios en los GPO
Evite cambios en la configuración de GPO más importante
Revierta rápidamente los cambios no deseados en los GPO

Además de estas capas esenciales, considere eliminar por completo la delegación nativa y registrar sus GPO en una herramienta de administración basada en proxy. Ya no tendrá docenas de administradores con la capacidad de realizar cambios inadecuados deliberada o accidentalmente en sus GPO, y cualquier pirata informático que logre robar las credenciales de un administrador aún no podrá alterar su Política de grupo.