Superficie de ataque de Active Directory: cómo reducirla - Administración de plataformas de Microsoft - Blogs - Quest Community

La Parte 1 de mi serie explicó por qué sus esfuerzos para proteger su organización son una cuestión de seguridad nacional: proteger la propiedad intelectual (PI) que hace que su empresa tenga éxito y refuerza la economía y la seguridad de su nación.

Ahora, en las próximas publicaciones de esta serie, profundizaré en algunos principios rectores específicos de Active Directory que le ayudarán a proteger la propiedad intelectual de su organización y el propósito superior de la seguridad nacional. La publicación de hoy (parte 2 de la serie) se centra en limpiar la superficie de ataque de Active Directory, mientras que el resto de la serie se centra en estos temas:

• Parte 3: Revise la gestión de políticas de grupo con frecuencia
• Parte 4: VIGILANCIA CONSTANTE, también conocida como monitor y alerta
• Parte 5: Investigar, corregir y recuperar rápidamente

Su superficie de ataque de Active Directory y cómo se sale de control

La mayoría de las redes de Active Directory tienen más de veinte años y la mayoría de las organizaciones migraron a Active Directory desde Windows NT 4.0, Novell NetWare e incluso Banyan VINES. Puede garantizar que su AD haya acumulado algo de desorden durante ese tiempo, incluidas cuentas de usuario que nadie está usando y cuentas de computadora para equipos desaparecidos hace mucho tiempo.

Probablemente incluso hayas perdido la pista de muchos de los grupos de seguridad escondidos allí. Seguro que tienes alguno con dueños limpios y propósitos claros. Pero sé que tienes DEMASIADOS sin propietarios ni propósito claros o incluso quiénes son los usuarios, si es que hay alguno en un grupo en particular. Recientemente hablé con varias empresas que confesaron:

“Sólo necesito DETENER EL SANGRADO. Hay una proliferación de grupos malos en las instalaciones. ”

“Pasamos los últimos cinco años en un ejercicio de mapeo masivo para tratar de limpiar los 41.000 grupos de seguridad en nuestro dominio. ”

“Nos cuesta limpiar cuando las personas dejan un rol y pasan a otro. ”

El acceso de usuarios y grupos es un problema importante. Sean Metcalf, maestro certificado de Microsoft y experto en seguridad de AD, describió ocho vías de compromiso para Active Directory en su discurso de apertura en La Conferencia de Expertos. Cinco de los ocho tuvieron que lidiar con una superficie de ataque demasiado amplia debido al acaparamiento de acceso.

Vea la grabación completa de su discurso de apertura en TEC aquí: El estado de la seguridad de AD.

Reduzca su superficie de ataque de Active Directory

Paso uno: limpiar

El primer paso para reducir el riesgo es la limpieza. Comience con el entorno de TI en sí: reduzca la cantidad de bosques y dominios. Identifique y elimine grupos duplicados y otros grupos innecesarios. Elimine el software innecesario instalado en controladores de dominio y servidores confidenciales.

Luego reduzca las formas en que ese entorno podría ser mal utilizado o explotado. Limite los permisos de todos los usuarios (especialmente los usuarios privilegiados) en estricta conformidad con el principio de privilegio mínimo. Asegúrese de establecer fechas de vencimiento de las cuentas al crear cuentas para personal temporal, como contratistas, pasantes y visitantes. Reduzca la delegación entre unidades organizativas y evite que los controladores de dominio accedan a Internet.

Paso 2: reforzar el control de acceso a sistemas y credenciales confidenciales

Para minimizar aún más el riesgo de que sus datos más valiosos puedan verse comprometidos, requiera autenticación multifactor en sistemas sensibles y asegúrese de que los administradores utilicen jumpboxes cuando se conecten usando cuentas privilegiadas y que inicien sesión solo en estaciones de trabajo reforzadas.

Administre sus cuentas privilegiadas utilizando una solución de bóveda de contraseñas reforzada. Y en lugar de conceder a cualquier persona acceso de administrador permanente a servidores confidenciales, utilice una membresía de grupo temporal con fecha y hora de inicio y finalización automáticas.

Paso 3: Vigile de cerca la membresía de grupos privilegiados

Una vez que tu casa esté en orden, debes monitorear las acciones de todos los que están en ella. Estar atento a la escalada de privilegios debería estar en la parte superior de su lista. Supervise en tiempo real no sólo los cambios directos en grupos privilegiados (que se pueden rastrear en registros de seguridad nativos), sino también cualquier incorporación de miembros a grupos anidados (que los servidores de Windows no registran). Los grupos privilegiados para monitorear incluyen: administradores, operadores de impresión, operadores de configuración de red, administradores de DHCP, operadores de respaldo, creadores de confianza forestal entrante, operadores de cuentas, editores de certificados, propietarios de creadores de políticas de grupo, administradores de dominio, controladores de dominio, administradores empresariales, operadores de servidores, RAS y servidores IAS, administradores de esquemas.

Próximos pasos

Éstas son sólo algunas formas de reducir la superficie de ataque de Active Directory. Le recomiendo encarecidamente que vea la presentación de Sean Metcalf en la Conferencia de Expertos a principios de este año para comprender mejor los problemas comunes de seguridad de AD y los pasos/técnicas de mitigación. También lo invito a ver el webcast bajo demanda que explora POR QUÉ todo este trabajo es tan importante. El CISSP y el consultor de sistemas estratégicos, Bryan Patton, y yo defendemos POR QUÉ su papel en la protección de su organización es de hecho una cuestión de seguridad nacional. Puedes verlo aquí.

FUENTES :

1. Foto de Marcin Szmigiel de Pexels.com