El modelo del bosque rojo de Active Directory: evaluación de las alternativas
En un desarrollo reciente, Microsoft ha publicado nuevas pautas sobre cómo las organizaciones deben manejar el acceso privilegiado dentro de Active Directory (AD). Un aspecto crucial de estas directrices implica una transición desde el modelo de acceso por niveles (TAM) y el entorno de administración de seguridad mejorada (ESAE), más comúnmente conocido como entorno de administración de seguridad mejorado. >Bosque Rojo de Active Directory. En cambio, ahora la atención se centra en implementar el Modelo de Acceso Empresarial (EAM). Este artículo informativo arroja luz sobre las limitaciones de los modelos más antiguos y describe los principios fundamentales que subyacen a EAM.
¿Qué es el modelo de bosque rojo de Active Directory?
El Bosque Rojo de Active Directory (AD), también conocido como Entorno administrativo de seguridad mejorada (ESAE), ayuda a prevenir ataques de robo de credenciales al limitar la exposición de las credenciales administrativas. Opera en un modelo de nivel administrativo de AD que involucra zonas de amortiguamiento entre el control total del entorno (Nivel 0) y los activos de las estaciones de trabajo de alto riesgo que a menudo son el objetivo de los atacantes. El modelo tiene tres niveles e incluye sólo cuentas administrativas, no cuentas de usuario estándar.
- Nivel 0: este nivel implica tener control directo sobre las identidades empresariales dentro del sistema. Todas las cuentas, grupos y activos que tienen control administrativo sobre el bosque, los dominios o los controladores de dominio de Active Directory se incluyen en el Nivel 0. Dado que se controlan entre sí, todos los activos del Nivel 0 se consideran igualmente sensibles en términos de seguridad.
- Nivel 1: este nivel incluye el control de servidores y aplicaciones empresariales. Las cuentas de administrador de este nivel tienen el poder de controlar una cantidad significativa de valor comercial. Por ejemplo, los administradores de servidores que mantienen los sistemas operativos pueden afectar significativamente los servicios empresariales.
- Nivel 2: este nivel incluye control administrativo sobre las estaciones de trabajo y los dispositivos de los usuarios. Cualquier cuenta de administrador con control sobre una cantidad significativa de estaciones de trabajo y dispositivos de usuario se incluye en el Nivel 2. Ejemplos de tales roles incluyen administradores de soporte informático y de soporte técnico que pueden afectar significativamente la integridad de los datos del usuario.
Las limitaciones del modelo del Bosque Rojo
Las organizaciones pueden optar por utilizar un AD Red Forest para salvaguardar sus credenciales más confidenciales. Sin embargo, si lo hacen, pueden enfrentar dos desafíos importantes. El primer problema es el alto costo de implementación. El uso del modelo Red Forest puede exigir tiempo y recursos, lo que requiere la creación de un bosque administrativo, la configuración de las cuentas adecuadas, la organización del acceso al sistema, la gestión cuidadosa del bosque y el mantenimiento de una infraestructura separada para parches, copias de seguridad y monitoreo. El segundo desafío tiene que ver con lo difícil que es proteger los entornos de TI modernos. El modelo Red Forest fue diseñado para entornos AD locales. Sin embargo, hoy en día las empresas utilizan múltiples plataformas en la nube y proveedores de gestión de identidades que van más allá del alcance de AD. Dado que el acceso privilegiado debe controlarse en todo el entorno de TI, los modelos de seguridad que sólo cubren entornos locales normalmente no serán suficientes.
El modelo de acceso escalonado
La base del Modelo de Acceso por Niveles (TAM), al igual que ESAE, se basa en el modelo Bell LaPadula establecido en los años 70. A pesar de haber sido renovado, TAM todavía sigue en uso y se puede integrar en Azure AD mediante la asignación de distintos niveles de acceso a funciones individuales de Azure AD. Aunque Azure AD tiene varios roles influyentes con permisos avanzados, como cuentas solo en la nube con PIM habilitado, tokens de autenticación FIDO2 y estaciones de trabajo administradas por Azure, la aplicación de políticas de acceso condicional complica el proceso de seguridad. Además, la falta de traducción de AD a Azure AD resulta en una transición complicada.
¿Qué es el modelo de acceso empresarial?
Uno de los principales beneficios de utilizar el modelo de acceso empresarial es que Active Directory no tiene control total sobre el acceso. En cambio, el acceso está determinado por tres capas esenciales:
Plano de control: los sistemas de identidad, las redes y otras ubicaciones de gestión de acceso tienen un plano de control que solo pueden gestionar dispositivos y credenciales de alta confianza.
Plano de gestión: este nivel gestiona datos, aplicaciones y servicios (similar al nivel uno). El acceso se distribuye a varios vectores, como sistemas basados en la nube, jerarquía organizacional y plano de datos/carga de trabajo.
Plano de datos/carga de trabajo: este nivel gestiona el acceso de los usuarios, incluidos empleados, contratistas, socios y clientes, y los dispositivos que utilizan. Microsoft Intune, parte de Microsoft Endpoint Manager, puede ayudar a administrar estos dispositivos.
Principios básicos del modelo de acceso empresarial
El modelo de acceso empresarial reconoce que el alcance de Active Directory es limitado y, por lo tanto, incorpora los siguientes principios de seguridad para proteger los datos confidenciales:
El principio de privilegios mínimos (PoLP): si bien los controles avanzados basados en la nube que utilizan IA/ML son eficaces para detectar y responder a los ataques, todavía necesitamos controlar estrictamente el acceso utilizando el modelo de privilegios mínimos y no solo se centra en administrar el acceso de los usuarios, sino también las cuentas administrativas, de servicios y de aplicaciones.
Nunca confíes, verifica siempre: en el mundo actual, donde los entornos de TI son dinámicos y distribuidos, se requiere una arquitectura Zero Trust. Zero Trust utiliza señales para tomar decisiones sobre el acceso y al mismo tiempo proporciona una experiencia de usuario segura y fluida. Por ejemplo, si alguien con los permisos adecuados intenta acceder a un sistema pero tiene un dispositivo desactualizado o ha desactivado su bloqueo de pantalla, su acceso puede bloquearse por completo, es posible que se requiera verificación adicional o solo se puede acceder a información no confidencial.
Aplicación coherente de políticas: es importante tener políticas coherentes para todos los usuarios y recursos, incluso en diferentes ubicaciones. El acceso a los recursos debe realizarse principalmente a través de Azure AD, con una interacción mínima con la infraestructura heredada como AD. La administración del dispositivo debe realizarse a través de Microsoft Intune (como se mencionó anteriormente). El acceso sin contraseña es una forma moderna de controlar el acceso y crea una mejor experiencia de usuario.
Prevenir la escalada de privilegios: además de implementar controles de acceso estrictos, también debemos utilizar la segregación de red y limitar la reutilización de cuentas de servicio. Es importante administrar las entidades de servicio y las aplicaciones empresariales en Azure AD y examinar de cerca las solicitudes de privilegios elevados, ya que los proveedores pueden solicitar más privilegios de los necesarios. También debemos tener cuidado al otorgar membresía de administrador de dominio para evitar que los adversarios obtengan un mayor acceso.
Cómo mejorar el diseño del bosque de Active Directory para una mayor seguridad
El marco de ciberseguridad del NIST puede ayudarnos a desarrollar una estrategia de seguridad sólida, que incluya identificar y salvaguardar datos confidenciales, monitorear actividades sospechosas y tener un plan para responder rápidamente a las amenazas y recuperarse de los ataques. Para lograr estos objetivos, las empresas deben cifrar los datos, controlar el acceso a la red, actualizar periódicamente el software de seguridad y capacitar a los empleados en ciberseguridad. También deben crear políticas formales para la eliminación de dispositivos, notificar a las partes relevantes, investigar y contener ataques y mantener las operaciones comerciales en funcionamiento durante la recuperación.