Cómo encontrar cuentas privilegiadas en Active Directory
En esta guía, le mostraré cómo buscar e identificar cuentas privilegiadas en Active Directory.
Tabla de contenido:
- ¿Qué son las cuentas privilegiadas?
- Grupos privilegiados y acceso privilegiado
- Cómo encontrar cuentas privilegiadas en Active Directory
- Lista de cuentas privilegiadas integradas en Active Directory
¿Qué son las cuentas privilegiadas?
Una cuenta privilegiada es una cuenta que tiene derechos, privilegios o permisos elevados para un sistema informático, una aplicación o un dispositivo de infraestructura. La mayoría de los sistemas incluyen una cuenta privilegiada integrada, a menudo llamada administrador o administrador. A una cuenta normal se le pueden otorgar derechos elevados que la convierten en una cuenta privilegiada.
Las cuentas privilegiadas se suelen utilizar para realizar tareas administrativas como:
- Instalar actualizaciones de software y controladores
- Administrar Active Directory (crear, eliminar y modificar cuentas)
- Administrar Office 365 (crear, eliminar y modificar cuentas)
- Configurar y cambiar la configuración del sistema
- Reiniciar, apagar dispositivos
- Cambiar la configuración a los dispositivos de infraestructura (enrutadores, conmutadores, DNS, etc.)
- Administrar permisos de archivos y carpetas
Cuentas privilegiadas frente a cuentas no privilegiadas
Los administradores de sistemas suelen utilizar cuentas privilegiadas para gestionar los sistemas de TI. Una cuenta sin privilegios suele denominarse cuenta de usuario normal y es la que utilizan los empleados para hacer su trabajo.
Si puede iniciar sesión y realizar cambios en un servidor o agregar un usuario a un grupo de Active Directory, entonces está utilizando una cuenta privilegiada.
Una cuenta sin privilegios no debería tener permiso para realizar cambios en sistemas críticos. Por ejemplo, Jim, de finanzas, inicia sesión y tiene acceso limitado al sistema y a los datos financieros, pero no puede realizar cambios en ningún dispositivo crítico.
Una cuenta privilegiada no tiene por qué ser un administrador total de un sistema. Se podrían delegar sólo derechos específicos como ser administrador de estaciones de trabajo pero no de servidores. O tener derechos para administrar una unidad organizativa específica en Active Directory pero no otras unidades organizativas. Es muy común que los administradores del sistema deleguen derechos específicos a otros administradores, pero siguen siendo cuentas privilegiadas.
A continuación se muestra una captura de pantalla de Active Directory que muestra la cuenta de administrador integrada. Esta cuenta integrada tiene permisos completos para Active Directory y sistemas unidos a dominios. Es una cuenta muy poderosa.
¿Cómo se crean las cuentas privilegiadas?
Normalmente de dos maneras:
- La mayoría de los sistemas incluyen una cuenta privilegiada de forma predeterminada, a menudo llamada administrador o administrador.
- A una cuenta existente se le otorgan derechos elevados mediante varios métodos (más sobre esto en un momento).
Grupos privilegiados y acceso privilegiado
Es importante comprender que agregar una cuenta de usuario normal a un grupo puede otorgarle acceso privilegiado. Este es un componente crítico de la seguridad de Active Directory y es necesario comprender qué permisos otorgará cada grupo a una cuenta de usuario.
Muchos sistemas, como Active Directory, incluyen grupos integrados que están configurados con derechos elevados. Por ejemplo, el grupo Administradores de dominio está preconfigurado con derechos de administrador completos para Active Directory y todos los sistemas unidos al dominio. Cualquier miembro de este grupo tendrá derechos elevados convirtiéndolo en una cuenta privilegiada.
Permítanme explicarles un ejemplo:
Tengo una cuenta de usuario normal, "Timothy Terrell", que no tiene derechos elevados. Esta cuenta no puede realizar cambios en el sistema de su computadora ni de ningún otro sistema. Si agrego esta cuenta como miembro del grupo de administradores de dominio, se convierte en una cuenta privilegiada que le otorga derechos para realizar cambios en el sistema.
Además de los grupos integrados, los administradores suelen crear sus propios grupos y luego otorgarles derechos elevados.
Cómo encontrar cuentas privilegiadas en Active Directory
No puedes asegurar lo que no sabes.
Las cuentas privilegiadas pueden existir en varias ubicaciones y configuraciones en toda una organización. Necesita escanear e inventariar lo siguiente:
- Membresía de grupo de Active Directory
- Grupos locales en servidores y estaciones de trabajo
- Derechos delegados a Active Directory (ACL)
- Derechos delegados a políticas de grupo
- Asignación de derechos de usuario configurada en políticas de grupo
- Funciones de Office 365
- Permisos aplicados a dispositivos de infraestructura a través de Active Directory
Esto no es tarea fácil. Parte de esto se puede hacer con scripts y herramientas, pero también requerirá algo de trabajo manual. Explicaré algunos ejemplos.
1. Verifique la membresía del grupo de Active Directory
Debe verificar la membresía del grupo para todos los grupos privilegiados en Active Directory. Abriré el grupo Administradores de dominio y miraré a sus miembros.
En la captura de pantalla anterior puede ver que hay cuatro miembros del grupo Administradores de dominio. La membresía de este grupo debe ser limitada, lo que significa que los usuarios del dominio y los invitados del dominio NO DEBEN SER miembros de este grupo. De lo contrario, esto le daría a todos los usuarios del dominio acceso completo al dominio.
Una opción más rápida para realizar un inventario de sus grupos es utilizar PowerShell o la herramienta de informe de membresía de grupo que forma parte del kit de herramientas AD Pro. Con esta herramienta, puede seleccionar todos sus grupos privilegiados y ejecutar un informe.
Aquí está el resultado del informe.
Arriba puede ver que tengo algunas cuentas en el grupo Administradores de esquemas y en los grupos Propietarios de creadores de políticas de grupo. Este informe se puede exportar a CSV para que pueda realizar un seguimiento de cualquier cambio. Como estas cuentas de usuario son miembros de este grupo, ahora son cuentas privilegiadas. Estos son usuarios de otros departamentos y no deberían estar en estos grupos. Por eso es importante escanear e inventariar todos sus grupos privilegiados en Active Directory y Office 365/Azure.
2. Verifique los grupos locales en servidores y estaciones de trabajo
Los usuarios y grupos de Active Directory a menudo se agregan a grupos locales en servidores y estaciones de trabajo. Esto puede otorgar acceso privilegiado, como derechos de administrador, a esos sistemas.
Para verificar manualmente la administración de computadoras abierta, haga clic en uno de los grupos. Revisaré el grupo de administradores.
Arriba puedes ver que hay cuatro miembros del grupo del administrador local. Los usuarios del dominio son miembros que otorgan a cada usuario del dominio derechos completos de administrador en este servidor. Esto es malo.
Será imposible verificar manualmente la membresía del grupo de cada sistema, por lo que nuevamente puede usar PowerShell o AD Pro Toolkit. El kit de herramientas tiene una herramienta llamada Administración de grupos locales que le permite obtener membresía de grupo en computadoras remotas.
En la captura de pantalla anterior, realicé un escaneo en todas las computadoras de mi dominio para que puedas ver fácilmente a los miembros de cada grupo. Desde aquí, puede filtrar los resultados y mostrar solo los miembros del grupo Administradores o cualquier otro grupo privilegiado.
3. Derechos delegados a Active Directory
Al igual que los archivos y carpetas, Active Directory tiene permisos establecidos en objetos llamados ACL (lista de control de acceso). Es común que los administradores utilicen el asistente de control delegado para otorgar a usuarios o grupos derechos específicos sobre Active Directory. Por ejemplo, tal vez le haya otorgado al personal del servicio de asistencia técnica los derechos para crear y eliminar cuentas en una unidad organizativa específica, o eliminar cuentas de computadora. El problema con cualquiera de estos escenarios es que no existe una manera sencilla de verificar los permisos de ACL en todo el dominio.
En el ejemplo anterior, verifiqué manualmente la seguridad de una única unidad organizativa llamada Grupos ADPRO. Puede ver que hay un grupo llamado "Accounting_Folders" que tiene derechos de objeto para crear/eliminar usuarios. Esto significa que cualquier miembro de ese grupo puede crear y eliminar cuentas de usuario en esta unidad organizativa. Esta es solo una unidad organizativa en el dominio, por lo que puede comprender con qué facilidad la seguridad puede salirse de control con esto.
Puede utilizar una herramienta como ACL Scanner Tool para crear informes sobre permisos delegados de AD. No es la herramienta más fácil de usar, pero es mejor que comprobar manualmente cada objeto en AD.
4. Derechos delegados a la política de grupo
Se pueden delegar permisos especiales a objetos de política de grupo. Esto puede otorgarle al usuario derechos para modificar, crear y eliminar GPO. Si un atacante obtuviera acceso a una cuenta que había delegado derechos a un GPO, podría cambiar la configuración de seguridad, instalar virus, etc.
Para verificar los derechos delegados de GPO, abra la consola de administración de políticas de grupo, seleccione un objeto y haga clic en delegación.
5. Asignación de derechos de usuario configurada en políticas de grupo
¿Ha verificado la Asignación de derechos de usuario en sus GPO? Porque estas configuraciones pueden otorgar a los usuarios derechos elevados para realizar determinadas tareas. Debe hacer un inventario de todos los GPO y la asignación de derechos de usuario.
Estas configuraciones se encuentran en la configuración de la computadora -> Políticas -> Configuración de Windows -> Configuración de seguridad -> Políticas locales -> Asignación de derechos de usuario
6. Roles de inventario de Office 365/Azure
Al igual que Active Directory, Office 365 incluye grupos predeterminados que tienen permisos elevados. Office 365 los llama roles de administrador en lugar de grupos. A continuación se ofrecen algunas pautas para asignar roles en Office 365.
- No tenga más de 4 administradores globales: los administradores globales tienen poder ilimitado, así que limite su uso.
- Utilice el rol menos permisivo: esto significa otorgar a los administradores solo el acceso que necesitan. Si el servicio de asistencia técnica quiere restablecer MFA o las contraseñas de los usuarios, no los convierta en administradores globales. En su lugar, asígneles una función que solo les dé acceso para restablecer contraseñas.
- Utilice la autenticación multifactor para todos los administradores: recomendaría habilitar MFA para todos los usuarios.
Puede ver todos los grupos yendo a Azure Active Directory y luego a Roles y administradores. Aquí hay una captura de pantalla de la función de administrador global.
7. Permisos delegados con grupos de AD personalizados
Active Directory se utiliza a menudo como autenticación y autorización centralizadas para otros sistemas. Aquí hay unos ejemplos:
- Acceso a VMware
- Enrutadores y conmutadores
- Acceso a Wi-Fi
- Servidores SQL
- punto compartido
- Sistemas contables
Cualquiera que sea el sistema que esté utilizando, es muy probable que utilice Active Directory para autenticar el acceso de los usuarios. Cuando trabajaba para una organización grande, creábamos grupos de Active Directory para brindar acceso de administrador a servidores Windows, servidores SQL, enrutadores, conmutadores, etc.
Por ejemplo, creamos un grupo llamado VMWare-Admins. Dentro de la consola de VMWare, asignaríamos este grupo de AD como administrador de VMware. Cualquier usuario agregado a este grupo se convertiría en una cuenta privilegiada y tendría acceso de administrador a todos los servidores VMware.
El acceso a enrutadores y conmutadores también se realizó con grupos de Active Directory. Los miembros de un grupo llamado switch-admins podrían iniciar sesión en un switch con sus credenciales de AD y realizar cambios en la red.
Le recomendaría que revise sus sistemas y vea si se están utilizando grupos de AD para brindarles acceso elevado. En redes grandes, esto puede ser una pesadilla si los administradores no utilizan una convención de nomenclatura fácil de seguir para las cuentas. Siempre recomiendo crear nombres muy descriptivos para tus grupos y poner una descripción. Esto facilitará el proceso de identificación de grupos y para qué se utilizan.
Lista de cuentas privilegiadas integradas en Active Directory
La siguiente imagen muestra una lista de cuentas y grupos integrados en Active Directory que brindan permisos elevados. Cualquier cuenta de usuario agregada a estos grupos se convierte en una cuenta privilegiada, por lo que debe inventariar y monitorear los cambios en estos grupos de forma regular. Estos grupos y cuentas se enumeran en el contenedor Integrado y Usuarios.
He enumerado los más importantes en la parte superior.
Administradores empresariales
El grupo Enterprise Admins sólo existe en el dominio raíz de un bosque de dominios de Active Directory. Es un grupo Universal si el dominio está en modo nativo; es un grupo global si el dominio está en modo mixto. Los miembros de este grupo están autorizados a realizar cambios en todo el bosque en Active Directory, como agregar dominios secundarios. Los miembros de este grupo pueden modificar la membresía de todos los grupos administrativos. La membresía solo puede ser modificada por los grupos de administradores de servicios predeterminados en el dominio raíz. Esto se considera una cuenta de administrador de servicios.
Administradores de dominio
Los miembros del grupo de seguridad Administradores de dominio están autorizados a administrar el dominio. De forma predeterminada, el grupo Administradores de dominio es miembro del grupo Administradores en todas las computadoras que se han unido a un dominio, incluidos los controladores de dominio. El grupo Administradores de dominio es el propietario predeterminado de cualquier objeto creado en Active Directory para el dominio por cualquier miembro del grupo. Si los miembros del grupo crean otros objetos, como archivos, el propietario predeterminado es el grupo Administradores.
El grupo Administradores de dominio controla el acceso a todos los controladores de dominio de un dominio y puede modificar la membresía de todas las cuentas administrativas del dominio.
Administradores
Los miembros del grupo Administradores tienen acceso completo y sin restricciones a la computadora, o si la computadora se promueve a controlador de dominio, los miembros tienen acceso sin restricciones al dominio.
Administradores de esquemas
Los miembros del grupo Administradores de esquemas pueden modificar el esquema de Active Directory. Este grupo existe sólo en el dominio raíz de un bosque de dominios de Active Directory. Es un grupo Universal si el dominio está en modo nativo; es un grupo global si el dominio está en modo mixto.
El grupo está autorizado a realizar cambios de esquema en Active Directory. De forma predeterminada, el único miembro del grupo es la cuenta de administrador del dominio raíz del bosque. Este grupo tiene acceso administrativo completo al esquema.
Operadores de cuentas
El grupo Operadores de cuentas otorga privilegios limitados de creación de cuentas a un usuario. Los miembros de este grupo pueden crear y modificar la mayoría de los tipos de cuentas, incluidas las de usuarios, grupos locales y grupos globales, y los miembros pueden iniciar sesión localmente en los controladores de dominio.
Otros grupos:
- Grupo de replicación de contraseñas de RODC permitido
- Operadores de respaldo
- Servicio de certificado Acceso DCOM
- Editores de certificados
- Usuarios COM distribuidos
- Administradores de DNS
- Lectores de registro de eventos
- Propietarios de creadores de políticas de grupo
- Operadores de impresoras
- Usuarios protegidos
- Usuarios de escritorio remoto
- Operadores de servidores
Además de las cuentas integradas, los administradores suelen crear sus propios grupos y cuentas de seguridad y les conceden acceso elevado.
Por ejemplo, en mi red, creé un grupo de seguridad llamado VMware-admins. Los usuarios de este grupo tienen acceso de administrador a los servidores VMware ESXi. También tengo un grupo llamado SQL-admins que se utiliza para otorgar derechos de administrador a los servidores SQL.