Investigar, remediar y recuperar | Parte 5 #NCSAM - Gestión de plataforma Microsoft - Blogs - Quest Community

Incluso con las mejores defensas, su Active Directory puede sufrir un ataque o un accidente atroz; por lo tanto, debe estar preparado para investigar, remediar y recuperar rápidamente. Lamentablemente, los ataques de hoy han dado un giro decididamente feo, buscando la aniquilación total de su infraestructura, a menudo en un intento de ocultar la brecha real que ya ocurrió.

Hoy, en la última parte de mi serie del Mes Nacional de Concientización sobre la Seguridad Cibernética, que se centra en los principios rectores de seguridad de Active Directory , exploraremos las mejores formas de estar preparado para cuando suceda lo peor.

Para comenzar desde el principio de esta serie, consulte la lista a continuación:

• Parte 1: La seguridad informática es seguridad nacional
• Parte 2: Reduce tu superficie de ataque
• Parte 3: Revise la gestión de políticas de grupo con frecuencia
• Parte 4: VIGILANCIA CONSTANTE, también conocida como monitor y alerta
• Parte 5: Investigar, corregir y recuperar rápidamente (ésta)

Ya sea que haya perdido un controlador de dominio, una política de usuario o grupo, un grupo completo de usuarios o todo su bosque, debe estar preparado para investigar cómo sucedió y tener un plan para remediarlo y recuperarlo. Recuerde, la recuperación ante desastres de AD es la recuperación ante desastres empresarial.

Preparando el escenario: Doozies destructivos

Los ataques destructivos van en aumento y sus efectos pueden ser devastadores. Toda organización es vulnerable, ya sea como objetivo directo o simplemente como daño colateral. Basta pensar en NotPetya, un ataque dirigido a Ucrania desde una nación hostil y, sin embargo, derribó al gigante naviero Maersk y a compañías en Alemania, Estados Unidos, Tasmania, etc., completamente desconectadas de Ucrania. Hay más ejemplos como NotPetya que propaga la destrucción más allá de sus objetivos previstos: Stuxnet, Shamoon, WannaCry y más.

Después del devastador ataque al proveedor de correo electrónico VFEmail en 2019, su director ejecutivo y fundador, Rick Romero, tuiteó: “Nunca pensé que a alguien le importaría tanto mi trabajo de amor como para querer destruirlo por completo. “No cometas el mismo error.

Si desea conocer la historia, el alcance y la metodología más detallada detrás de algunos de los ataques que mencioné anteriormente, consulte el documento técnico Preparación para ataques que buscan la aniquilación total.

Investigar, remediar y recuperar

Una vez que se conoce un ataque, ya sea porque todo su AD está inactivo, un usuario está interrumpido o su solución UEBA le notificó una actividad sospechosa, es hora de arremangarse e investigar qué sucedió y cómo sucedió, e iniciar el proceso de reparación y recuperación. . A continuación se presentan algunas prácticas recomendadas que debe tener en cuenta al elaborar un plan de respuesta:

- Audite los cambios en su entorno y utilice herramientas que le permitan evitar cambios en sus objetos más críticos, como grupos con privilegios elevados.

- Supervise de cerca la configuración y otros cambios del sistema y esté atento a operaciones inusuales, como comandos que podrían alterar las particiones de arranque o bloquear un sistema.

- Supervisar la actividad de los usuarios, especialmente la actividad de cuentas privilegiadas. Lo ideal es utilizar una herramienta que cree una línea de base de la actividad normal, busque aberraciones y las analice en contexto para minimizar la fatiga de alerta y detectar rápidamente verdaderas amenazas.

- Automatizar la respuesta. Los ataques modernos se desarrollan en segundos, por lo que no puede darse el lujo de contentarse con un panel en su centro de operaciones de seguridad: cuando un ser humano detecta un problema, lo investiga y hace algo al respecto, el daño ya está hecho. . Por lo tanto, la automatización y orquestación de la seguridad son esenciales. Más específicamente, querrá desarrollar una estrategia de recuperación ante desastres probada y comprobada que permita:

• Recuperación del sistema operativo
• Recuperación de AD híbrido y Azure AD
• Informes comparativos de cambios desde la última copia de seguridad para identificar objetos o atributos eliminados o modificados
• Restauración de atributos individuales, como configuraciones de cuentas, membresías de grupos y atributos binarios, incluso cuando el objeto en sí no se haya eliminado. Esto le permite restaurar solo los atributos requeridos sin reiniciar los controladores de dominio.
• Laboratorio de pruebas virtual para demostrar su plan de recuperación de DR. Los ejercicios de mesa no son suficientes. Debe probar los escenarios de desastre reales en un laboratorio de pruebas de bosque virtual con datos de producción.
• Generación de un informe detallado del proceso de recuperación que captura cada estado de la recuperación y en qué orden se deben completar las tareas.

Para mitigar su riesgo, implemente las mejores prácticas de seguridad para bloquear ataques, limitar su alcance y ayudar a garantizar una detección y respuesta rápidas. Pero los expertos en seguridad y los ataques del mundo real dejan claro que también necesita una estrategia integral de recuperación ante desastres como las que Quest proporciona con Recovery Manager for Active Directory - Disaster Recovery Edition y On Demand Recovery .

¿Recuerda al director ejecutivo de VFEmail que cité anteriormente en esta publicación? Nunca pensó que a alguien le importaría el trabajo de su empresa, su propiedad intelectual. Y, sin embargo, sufrió un derribo a gran escala. Si cree que nadie está realmente intentando piratear y destruir su AD, o sabe que lo están haciendo y está tratando de entender por qué, entonces mire el webcast bajo demanda que explora POR QUÉ su papel en Proteger su organización es de hecho una cuestión de seguridad nacional.

Fuentes:

1. Foto de Pixabay de Pexels.com