Relaciones de confianza de Active Directory: consideraciones de seguridad y mitigación de riesgos

Una relación de confianza de Active Directory se refiere a una conexión formada entre dos dominios, en la que uno se considera el dominio de confianza y el otro como el dominio de confianza. Con este acuerdo, el dominio de confianza respeta la autenticación de inicio de sesión del dominio de confianza.

Normalmente, el dominio de confianza aloja las cuentas de usuario, mientras que el dominio de confianza aloja los recursos. Esto implica que las personas que pertenecen al dominio de confianza están autorizadas a acceder a los recursos del dominio de confianza debido a su estado de confianza.

Requisitos previos para establecer una confianza en Active Directory

Para establecer una confianza de AD entre dos dominios de Active Directory, se deben cumplir condiciones específicas. Éstas incluyen:

Conectividad de red: debe haber una comunicación adecuada entre los controladores de dominio de cada dominio para establecer la confianza de AD. Además, los recursos en el dominio de Recursos deberían poder comunicarse con los controladores de dominio en el dominio de Cuentas.

Resolución de nombres DNS: los controladores de dominio de cada dominio deben poder resolver registros DNS para el entorno AD del otro dominio.

Cuenta de servicio de dominio de cuentas: una cuenta de usuario de AD en el dominio de Cuentas es esencial para leer objetos de usuarios y grupos en el dominio. Este requisito se aplica a los fideicomisos unidireccionales. En las confianzas bidireccionales, el acceso implícito de solo lectura se otorga de forma predeterminada y no es necesaria una cuenta de servicio. No se necesitan permisos especiales para la cuenta de servicio y simplemente debe ser miembro del grupo Usuarios de dominio en el dominio Cuentas.

¿Cómo se establecen los fideicomisos de Active Directory?

Los fideicomisos pueden establecerse mediante medios automáticos o manuales y pueden clasificarse como transitivos o no transitivos.

Confianzas transitivas: una confianza transitiva se caracteriza porque el dominio A confía en el dominio C si tanto el dominio A confía en el dominio B como el dominio B confía en el dominio C.

Fideicomisos no transitivos: en el caso de fideicomisos no transitivos, cuando el dominio A confía en el dominio B y el dominio B confía en el dominio C, el dominio A no extiende la confianza al dominio C. Los fideicomisos pueden ser uno- o bidireccional, y los diversos tipos de fideicomisos que se detallan a continuación son inherentemente de naturaleza unidireccional o bidireccional.

Para crear una confianza de AD, asegúrese de que se cumplan los requisitos previos y de que se tomen decisiones de seguridad importantes de antemano. La confianza se crea entre un dominio de recursos y un dominio de cuentas y se puede configurar para que sea unidireccional, no transitiva o bidireccional.

Para iniciar la creación de confianza desde el dominio de recursos, acceda a la utilidad Dominios y confianzas de Active Directory, haga clic con el botón derecho en el objeto que representa el dominio, navegue hasta la pestaña Confianzas y continúe con el Asistente para nueva confianza.

Luego necesitarás…

Proporcione el nombre del fideicomiso, el tipo de fideicomiso, la dirección del fideicomiso y las partes del fideicomiso. Ingrese el nombre de usuario y la contraseña para la cuenta con membresía de administradores de dominio en el dominio de cuentas y configure el nivel de autenticación de confianza saliente.

Finalmente…

Confirme las confianzas salientes y entrantes, revise el estado de la creación de la confianza y haga clic en Finalizar.

¿Cuáles son los diferentes tipos de fideicomisos AD?

Confianza desde la raíz del árbol

Cuando se agrega un nuevo dominio de raíz de árbol a un bosque, se establece una confianza entre las raíces de su árbol sin autorización explícita. Esta confianza sólo involucra los dominios que se encuentran en la parte superior de cada árbol. Estas confianzas transitivas bidireccionales se crean automáticamente.

Confianza entre padres e hijos

Al crear un nuevo dominio secundario en un árbol, se establece una relación de confianza entre padres e hijos sin necesidad de realizar ninguna acción explícita. Como parte de este proceso, DCPromo genera una relación de confianza transitiva bidireccional entre el nuevo dominio y el dominio directamente encima de él en la jerarquía DNS.

Confianza rápida

Para mejorar el tiempo de inicio de sesión de los usuarios que acceden a computadoras en otro dominio dentro del bosque, un administrador del sistema debe crear manualmente un acceso directo de confianza entre dos dominios en el mismo bosque. Esto suele ser necesario en bosques grandes, y la confianza es transitiva y se puede configurar como una configuración unidireccional o bidireccional.

Confianza externa

Se requiere un administrador del sistema para crear una confianza externa entre dominios ubicados en diferentes bosques o entre un dominio en un bosque de Active Directory y un dominio de Windows NT 4.0 o anterior. La confianza externa resulta útil al transferir recursos de un dominio de Windows NT 4.0 a un dominio de Active Directory. No es transitivo y puede establecerse en un sentido o en dos sentidos.

fideicomiso forestal

Para establecer una confianza de bosque entre dos dominios raíz de bosque (Windows 2003 y posteriores), un administrador de sistemas debe crearla deliberadamente. Esta confianza permite que todos los dominios de un bosque confíen transitivamente en todos los dominios de otro bosque. Sin embargo, esta confianza no distribuye la transitividad en tres bosques o más. Las confianzas del bosque pueden ser unidireccionales o bidireccionales y únicamente se puede acceder a ellas cuando el nivel funcional del bosque está configurado en Windows Server 2003 o superior.

confianza del reino

Para conectar un dominio Kerberos que no sea de Windows con un dominio de Windows 2003 o posterior, un administrador del sistema debe establecer una confianza de dominio. Puede ser transitivo o no transitivo y puede operar en una o ambas direcciones.

Consideraciones de seguridad para confianzas de Active Directory

Las confianzas entre bosques de Windows Server 2003 son vulnerables a dos tipos de ataques que podrían comprometer las confianzas y sus recursos. El primer ataque involucra a un usuario malintencionado con credenciales administrativas en un bosque confiable que monitorea las solicitudes de autenticación para adquirir la información de identificación de seguridad de un usuario en el bosque confiable. El segundo ataque implica que un usuario malintencionado en el bosque de otra organización obtenga acceso a recursos compartidos en un bosque de confianza explotando la ruta creada por una confianza de bosque o externa. Para evitar estos ataques, se pueden configurar el filtrado SID y la autenticación selectiva en las confianzas entre bosques.

Configuración de seguridad para fideicomisos interforestales

Windows Server 2003 tiene dos opciones de seguridad para las confianzas entre bosques: filtrado SID y autenticación selectiva. El filtrado SID impide que usuarios malintencionados obtengan el control de un bosque confiable al evitar el uso indebido del atributo de historial SID. Los atacantes también pueden aprovechar el atributo, utilizado para migrar usuarios y cuentas de grupo a nuevos dominios, para elevar sus privilegios. La autenticación selectiva restringe la cantidad de solicitudes de autenticación que pueden pasar a través de una confianza entre bosques, lo que reduce la superficie de ataque. Si bien Windows incluye API para facilitar la migración de cuentas, requieren credenciales administrativas para ambos dominios y es poco probable que se utilicen indebidamente.

Consejos para proteger las confianzas en Active Directory

Proteger las confianzas en Active Directory es esencial para mantener la seguridad de su red y sus datos. A continuación se detallan algunos de los pasos clave a seguir:

Utilice contraseñas seguras para todas las relaciones de confianza.
Actualice y parchee su Active Directory periódicamente.
Habilite la auditoría y el monitoreo para detectar cualquier intento de acceso no autorizado.
Implemente la autenticación de dos factores para todas las relaciones de confianza.
Limitar el número de relaciones de confianza al mínimo necesario.
Configure la autenticación de confianza para utilizar autenticación selectiva en lugar de autenticación de todo el dominio.
Implemente la segmentación de la red para aislar datos confidenciales y recursos críticos.
Utilice cifrado para proteger los datos en tránsito entre dominios.
Revise y audite periódicamente todas las relaciones de confianza para detectar fideicomisos no autorizados o innecesarios.
Capacite y eduque a sus usuarios sobre la importancia de asegurar relaciones de confianza y los riesgos asociados con permitir el acceso no autorizado.