¿Qué son los grupos de seguridad de Active Directory? Mejores prácticas para utilizar grupos de seguridad
El 98% de las amenazas a la seguridad comienzan con Active Directory. Active Directory tiene literalmente las llaves de su reino. Si no se configuran los principios de seguridad correctos y otorga permisos excesivos a sus usuarios, se expone a posibles amenazas de seguridad.
Dentro de Active Directory, existen numerosos protocolos de seguridad para elegir para implementar una política de privilegios mínimos en la que solo se otorga acceso administrativo a aquellos que realmente lo necesitan.
En este blog, veremos exactamente qué son los grupos de seguridad en Active Directory, la diferencia entre grupos de distribución y grupos de seguridad, para qué se pueden usar los grupos de seguridad, cómo crear grupos de seguridad y las mejores prácticas para usarlos.
¿Qué son los grupos de Active Directory?
Active Directory, en general, es un programa que clasifica a los usuarios en varios grupos. Es una plataforma centralizada que la mayoría de las empresas utilizan para administrar sus cuentas de computadora y otorgar acceso a datos confidenciales.
Un grupo de Active Directory es un grupo de usuarios a los que se les ha otorgado acceso a ciertos recursos. Hay dos formas en que se puede dar este tipo de acceso a los grupos; a través de un Identificador Único Global (GUID) o un Identificador de Seguridad (SID).
Los SID se utilizan principalmente cuando se desea otorgar acceso a usuarios específicos, mientras que los GUID se usan cuando se agrupan usuarios que necesitan acceso a los mismos recursos.
Los grupos se pueden crear en función de usuarios individuales que necesitan acceso a ciertos recursos, o se pueden crear en función de grupos globales (como departamento) o miembros de un determinado dominio.
Tipos de grupos de Active Directory
Los grupos de Active Directory se dividen en dos categorizaciones: Grupos de seguridad de Active Directory y Grupos de distribución de Active Directory.
El tipo real de grupo que necesita dependerá de la función requerida del grupo. Los grupos de distribución son más simples porque se usarían si solo se requieren notificaciones unidireccionales del controlador central. Los grupos de seguridad son más complejos y se aplican cuando se desea permitir que los usuarios accedan y modifiquen datos.
Los equipos de seguridad deben prestar mucha más atención a los grupos de seguridad para garantizar que los permisos no se salgan de control y que se mitiguen los riesgos para la seguridad de sus datos.
¿Por qué debería utilizar grupos de seguridad de Active Directory?
Los grupos de seguridad son vitales cuando se trata de mantener derechos de acceso adecuados a sus datos más confidenciales. La capacidad de agrupar usuarios en grupos para asignar niveles de permisos es increíblemente útil para mantener una política de privilegios mínimos.
Por ejemplo, puede utilizar grupos de seguridad de Active Directory para asignar permisos de alto nivel a los miembros de la junta directiva para que puedan enviar información financiera y KPI para sus colegas. También puede utilizar grupos de seguridad para asignar permisos de nivel inferior a los nuevos miembros.
Los grupos de seguridad de Active Directory también se pueden modificar a través del portal AD, donde los usuarios pueden moverse o eliminarse por completo.
Cómo crear un grupo de seguridad en Active Directory
Los siguientes pasos se aplican a Windows 10 y Windows Server 2016. Tenga en cuenta que necesitará ser miembro del grupo Administradores de dominio, o tener ya aplicados los permisos correctos, para poder crear nuevos grupos usted mismo.
- Abra la Consola de usuarios y equipos de Active Directory.
- Selecciona el contenedor en el que quieres almacenar tu grupo (“Usuarios”, por ejemplo).
- Haga clic en “Acción” - “Nuevo” - “Grupo”
- Asigne un nombre a su grupo usando el cuadro de texto Nombre del grupo e ingrese una descripción.
- Dependiendo de su infraestructura forestal de Active Directory, elija el alcance del grupo correcto: Global o Universal.
- Haga clic en "Seguridad" como tipo de grupo y luego haga clic en "Aceptar" para crear su grupo de seguridad.
Mejores prácticas para utilizar grupos de seguridad de Active Directory
A continuación se detallan algunas de las mejores prácticas clave para utilizar grupos de seguridad de AD:
1. Asegúrese de que los grupos de seguridad predeterminados no tengan permisos elevados
Siempre que se configura un dominio de Active Directory, se configura un grupo de seguridad predeterminado. A veces, estos grupos de seguridad predeterminados tendrán permisos excesivos que pueden dar lugar a que los usuarios obtengan acceso a recursos y datos que no necesitan.
Asegúrese de que sus usuarios solo tengan acceso a los datos y recursos que necesitan para hacer su trabajo y nada más. Si se requiere acceso de administrador de dominio, se debe proporcionar de forma temporal cuando sea necesario.
La cuenta de Administrador de dominio generalmente solo se requiere para configurar el dominio y para emergencias, como la recuperación ante desastres. En realidad, la cuenta no debe usarse para ningún otro propósito y las credenciales de esta cuenta deben almacenarse de forma segura.
Un método de ataque común para Active Directory es aprovechar la contraseña de la cuenta del administrador local. La cuenta de administrador local suele estar configurada con la misma contraseña en todos los dominios y el mismo SID en todas las instalaciones.
2. Mantenga un Directorio Activo actualizado
Todo el software de su sistema debe estar actualizado para garantizar que se hayan solucionado las vulnerabilidades conocidas. Los atacantes suelen aprovechar estas vulnerabilidades conocidas, por lo que aplicar parches periódicamente puede ayudar a minimizar este riesgo.
3. Mantener una política de privilegios mínimos
Como mencionamos anteriormente, debe asegurarse de que sus usuarios solo tengan acceso a los datos y recursos que necesitan para realizar su trabajo. Esto se conoce como política de privilegios mínimos. Debe actuar como si todos sus usuarios fueran amenazas internas potenciales. Si todos tienen privilegios elevados y usted sufre una violación de datos, puede resultar increíblemente difícil investigar la fuente.
Las amenazas internas son notoriamente difíciles de identificar y remediar en el mejor momento. No se lo ponga más difícil creando usuarios con permisos excesivos.
4. Asegúrese de que las contraseñas sean seguras y rotadas periódicamente<
Es un punto simple, pero vale la pena enfatizarlo. Sus contraseñas para su Active Directory deben ser las más estrictas que se le ocurran. Las mejores prácticas sugieren utilizar frases de contraseña de tres o cuatro palabras aleatorias diferentes. Las frases de contraseña son mucho más difíciles de adivinar para los atacantes que las contraseñas complejas.
Siempre que sea posible, se debe utilizar la autenticación de dos factores y las cuentas deben bloquearse si se ingresan contraseñas incorrectas más de dos o tres veces.
5. Auditar cambios en los grupos de seguridad de Active Directory
Tener una estrategia de auditoría proactiva y continua para sus grupos de seguridad de Active Directory es posiblemente la mejor manera de prevenir amenazas a la seguridad. La mayoría de las amenazas a la seguridad que se originan a través de Active Directory podrían haberse evitado mediante una mejor visibilidad de los cambios que se realizan.
Cómo mejorar la seguridad de sus grupos de seguridad de Active Directory
Muchas empresas deben lidiar con personas que ingresan, salen y se mudan dentro de su entorno. A medida que los usuarios cambian de rol, abandonan la empresa o comienzan un nuevo rol, los permisos requeridos serán diferentes.
Desafortunadamente, muchas empresas no se comunican de manera suficientemente efectiva con los equipos de seguridad y TI para garantizar que los permisos y los miembros de los grupos de seguridad se mantengan adecuadamente. En el peor de los casos, esto podría llevar a que amenazas internas se apoderen de sus datos más confidenciales.
El Auditor de Active Directory de Lepide le brindará la posibilidad de generar instantáneamente una lista de usuarios que se considera que tienen "permisos excesivos", o generar alertas en tiempo real cuando se cambian los permisos, para que pueda tomar las medidas necesarias para mantener su política de mínimo privilegio.
Para ver la solución en acción, programe una demostración con uno de nuestros ingenieros hoy o descargue una prueba gratuita.