Gestión de políticas de grupo| Parte 3 #NCSAM - Gestión de plataforma Microsoft - Blogs - Quest Community
Si obtiene una administración de políticas de grupo INCORRECTA, incluso para un solo sistema Windows con una configuración aparentemente inocua, puede infligir efectos perjudiciales masivos a la situación de seguridad de miles de sistemas en su red en cuestión de minutos.
Con ese frío abridor, permítanme decirles “¡Bienvenidos de nuevo! ” de mi serie del Mes Nacional de Concientización sobre la Seguridad Cibernética que se centra en los principios rectores de seguridad de Active Directory. A continuación se muestra la totalidad de mi serie con enlaces a las ya publicadas:
- Parte 1: La seguridad informática es seguridad nacional
- Parte 2: Reduzca su superficie de ataque
- Parte 3: Revise la gestión de políticas de grupo con frecuencia
- Parte 4: VIGILANCIA CONSTANTE, también conocida como monitor y alerta
- Parte 5: Investigar, corregir y recuperar rápidamente
Vamos a explorar.
¿Qué son los objetos de política de grupo?
La política de grupo de Active Directory (AD) desempeña un papel importante en el establecimiento de un entorno de red seguro y compatible porque, en su definición más básica, controla la configuración de las computadoras y lo que los usuarios pueden y no pueden hacer en ellas.
La política de grupo proporciona administración y configuración centralizadas de sistemas operativos, aplicaciones y configuraciones de usuarios en un entorno de Microsoft Active Directory. Una Política aplica su configuración en el nivel de seguridad más confiable en el sistema operativo Windows, incluso teniendo control administrativo sobre los Controladores de Dominio (DC). Aquí hay solo una breve lista de lo que hace la Política de grupo:
- Aplica un sistema de complejidad de contraseñas que evita que los usuarios elijan una contraseña demasiado simple.
- Impide o permite que usuarios no identificados de computadoras remotas se conecten a un recurso compartido de red
- Restringe el acceso a determinadas carpetas.
- Instala software
- Agrega cuentas a los grupos de administradores locales.
- Mucho más…
Cada conjunto de dichas configuraciones se denomina objeto de política de grupo (GPO).
Aunque los GPO están diseñados para optimizar las operaciones de TI y proporcionar políticas de seguridad centralizadas en todo el entorno de Active Directory, como cualquier otro sistema poderoso, se puede abusar de ellos o infiltrarlos para eludir los controles de seguridad y obtener acceso a datos confidenciales. Algunas organizaciones medianas y grandes tienen cientos y, a veces, miles de GPO implementados en entornos ampliamente distribuidos, lo que crea no sólo una enorme amenaza interna sino también una gran superficie de ataque si no se implementan los controles de seguridad de compensación adecuados. Y dada la forma en que los GPO propagan los cambios en minutos (o segundos), revertir el daño es muy parecido a abrir una taza de té.
Paso 1: revisar la configuración de GPO
En primer lugar, es importante comprender cuál es el propósito del GPO: qué permite o no que suceda el GPO en la jerarquía de AD a la que está vinculado. La configuración puede exigir políticas de contraseña, scripts de inicio y apagado, instalación de software, configuración de permisos de archivos y registro (y mucho más).
Para simplificar y crear GPO más claros, cada política de grupo debe estar impulsada por un propósito. Los GPO deben estar estrictamente segregados en “GPO de configuración de computadora” y “GPO de configuración de usuario”. Se debe tener cuidado de limitar la habilitación de "GPO de bucle invertido" que aplican la configuración del usuario, pero solo a los usuarios de una computadora determinada. Limitar la acción del GPO reducirá su superficie de ataque al reducir la complejidad y la probabilidad de errores.
Paso 2: revisar la delegación de permisos de GPO
La configuración de delegación de permisos dentro de los GPO es una parte del bloqueo y la revisión periódica de la administración de políticas de grupo. Un atacante que comprometa la cuenta de un usuario con derechos de edición de GPO importantes podría crear oportunidades de persistencia con puertas traseras, ejecutar código o agregar la cuenta de dominio a un grupo RDP, solo por nombrar algunas.
Los dos GPO integrados (Política de dominio predeterminada y Política de controladores de dominio predeterminada) suelen ser el objetivo de los atacantes porque, de forma predeterminada, se encuentran en todos los dominios de AD con el mismo GUID y afectan TODO (como las asignaciones de derechos de usuario, las políticas locales/seguridad). Opciones, Política de contraseñas, Política de bloqueo de cuentas, Acceso y seguridad de la red, etc.). Y debido a que hay muchos derechos asignados dentro de estos GPO que tienen rutas de escalada al administrador de AD, un atacante no necesita intentar vincular un GPO malicioso cuando solo puede usar uno de estos dos valores predeterminados.
Es necesario realizar una certificación periódica de la delegación de permisos de GPO, además de superponer GPO más estrictos a los valores predeterminados para restringir las asignaciones de derechos de usuario y las rutas de escalamiento para los operadores de servidores, operadores de respaldo y operadores de impresión.
Paso 3: revisar la vinculación de GPO
Los GPO se pueden vincular dentro de la jerarquía de AD, como al DC, la OU o un sitio. Determinar dónde está vinculado un GPO y comprender los permisos del GPO le ayudará a comprender el impacto de la política. Por ejemplo, si un pirata informático compromete la cuenta de un creador de GPO para un GPO vinculado a un DC, ese atacante ahora es propietario de ese DC y puede crear y modificar GPO para permitir la instalación de malware.
Nuevamente, la revisión periódica de los enlaces de GPO es importante para reducir la superficie de ataque. Las mejores prácticas de GPO recomiendan vincular lo más cerca posible del objetivo previsto. Este enfoque reduce la complejidad en la administración, limita el impacto de cambios accidentales o maliciosos y reduce la latencia al eliminar la necesidad de que cada cliente filtre una serie de GPO para determinar cuáles se aplican.
Paso 4: implementar controles de cambios basados en aprobaciones
Los cambios de GPO nativos entran en vigor tan pronto como se cierra la ventana; ni siquiera hay un botón "aplicar". Esto es a la vez un riesgo para la seguridad y expone a la organización a simples errores administrativos que pueden tener impactos devastadores. Dada la importancia de los GPO para establecer una buena gestión y seguridad de su red, puede comenzar a ver la necesidad de monitorear y alertar sobre los cambios en los GPO, así como implementar controles de cambios basados en aprobaciones.
Como práctica recomendada, debe configurar un proceso automatizado que permita la segregación de tareas mediante flujos de trabajo de aprobación para que la persona que edita una configuración de GPO sea diferente de la persona que aprueba la implementación del cambio de GPO en el entorno de producción. Puede parecer obvio, pero aún es algo que debe abordarse e implementarse formalmente. Como mínimo, debe establecer un flujo de ITIL (o un proceso administrativo) junto con las herramientas necesarias para implementarlo (como Quest GPOADmin).
Próximos pasos
Es fundamental que los GPO sean correctos. Si desea volver a lo básico, consulte este artículo de Microsoft TechNet y luego consulte el artículo de Microsoft Certified Master, Sean Metcalf sobre la astuta persistencia de políticas de grupo. Además, eche un vistazo al discurso de apertura de Randy Franklin Smith en la Conferencia de Expertos, donde comparte sus experiencias sobre la protección de su AD.