Talando el bosque rojo de AD
Microsoft actualizó recientemente su guía sobre cómo las organizaciones deben abordar el acceso privilegiado en Active Directory (AD). Un componente clave es el cambio del modelo de acceso por niveles (TAM) y el entorno de administración de seguridad mejorada (ESAE) (también conocido como Active Directory Red Forest) al modelo de acceso empresarial (EAM). Este artículo explica las desventajas de los modelos más antiguos y los principios clave de EAM.
Limitaciones del modelo del bosque rojo
Las organizaciones pueden utilizar, y utilizan, un AD Red Forest para proteger sus credenciales más privilegiadas. Sin embargo, a menudo se topan con dos problemas graves:
Alto costo. Usar el modelo Red Forest de Microsoft puede resultar bastante costoso en términos de recursos y tiempo. Necesitas:
- Construir un bosque administrativo.
- Llénelo con las cuentas adecuadas.
- Organizar el acceso a los sistemas adecuados.
- Administre el bosque de cerca, actualizándolo a medida que los empleados van y vienen y su infraestructura de TI evoluciona.
- Manténgalo parcheado, respaldado y monitoreado en una infraestructura separada.
Sin embargo, tenga en cuenta que Microsoft no descarta por completo el uso de Red Forest. Puede ser un modelo eficaz en determinadas situaciones, como cuando una organización tiene requisitos estrictos, puede asignar un presupuesto suficiente y necesita controlar el acceso sólo dentro de los límites de Active Directory.
Limitaciones del modelo de acceso escalonado
TAM, al igual que ESAE, se basa en el modelo Bell LaPadula de los años 70. TAM todavía existe, aunque ha sido refactorizado. Es posible aplicar TAM a Azure AD asignando funciones de acceso por niveles a Azure AD. En particular, hay varios roles altamente privilegiados en Azure AD que merecen controles más estrictos, como cuentas solo en la nube con PIM habilitado, tokens de autenticación FIDO2 y estaciones de trabajo administradas por Azure.
Desafortunadamente, después de identificar los equivalentes de Nivel Cero en Azure AD, la aplicación de políticas de acceso condicional confunde la seguridad. Además, la separación que se obtiene en AD no se traduce en Azure AD, lo que da como resultado una transición que no es perfecta.
El modelo de acceso empresarial
La gran ventaja del modelo de acceso empresarial es que el control no está totalmente arraigado ni controlado exclusivamente desde Active Directory. En cambio, el acceso se basa en tres capas clave:
- Plano de control: tiene un plano de control en sus sistemas de identidad (Active Directory y Azure AD), redes y otras ubicaciones donde se administra el acceso. La gestión del plano de control está estrictamente limitada a credenciales y dispositivos altamente confiables.
Plano de gestión: así es como gestionamos los datos, aplicaciones y servicios (equivalente al Nivel Uno anterior). Dividimos el acceso tanto como sea posible en cualquier vector que sea apropiado, como por ejemplo:
- Sistemas locales, alojados o basados en la nube
- IaaS, PaaS, SaaS
- Otras aplicaciones y plataformas
- Jerarquía organizacional
Principios básicos del modelo de administración empresarial
El modelo de acceso empresarial representa una aceptación de que el mundo no vive dentro de Active Directory. En cambio, utiliza principios y controles modernos para centrarse en lo que realmente importa: brindar a las personas el acceso que necesitan, restringir o bloquear el acceso cuando tenga sentido dado el contexto y tener mucho cuidado en cómo brindamos acceso privilegiado, particularmente cuando se trata de gestionar el plano de control. Estos son algunos de los principios y beneficios clave de EAM.
Aplicación del principio de privilegio mínimo
Los controles avanzados basados en la nube que utilizan inteligencia artificial (IA) y aprendizaje automático (ML) para detectar y responder a los ataques son excelentes, pero los privilegios mínimos siguen siendo la base de la seguridad. Al fin y al cabo, tener el timbre webcam más sofisticado no sirve de nada si habitualmente dejamos la puerta abierta.
En consecuencia, debemos asegurarnos de controlar estrictamente el acceso utilizando un modelo de privilegios mínimos. Los profesionales de TI generalmente se centran en administrar el acceso de los usuarios porque esa es la interacción diaria más común con los sistemas que administramos. Pero los usuarios empresariales no son nuestra única preocupación. También tenemos que administrar de cerca las cuentas administrativas, las cuentas de servicio y las cuentas de aplicaciones, y monitorear su comportamiento, especialmente en lo que respecta al acceso a recursos críticos, especialmente las interfaces de administración para nuestros planos de control.
Una mentalidad de asumir una infracción
El modelo de acceso empresarial va de la mano con una mentalidad que supone una infracción. Hace años, las organizaciones tenían entornos de TI en su mayoría aislados, por lo que era conveniente y bastante seguro autenticar dispositivos, usuarios, aplicaciones y otras entidades una vez y luego confiar en ellos implícitamente. Sin embargo, hoy en día la fuerza laboral es móvil y los sistemas están altamente conectados, por lo que es importante cambiar a una arquitectura Zero Trust. Este enfoque implica el uso de una variedad de señales para tomar decisiones basadas en políticas sobre el acceso, incluidos los resultados de tecnologías como el análisis del comportamiento de usuarios y entidades (UEBA). Este enfoque puede mejorar la seguridad y al mismo tiempo cumplir con las expectativas del usuario de una experiencia perfecta y la capacidad de trabajar desde cualquier lugar.
Por ejemplo, digamos que solicita acceso a nuestro sistema de pago backend. Su cuenta tiene los permisos de acceso adecuados y está utilizando un dispositivo que la empresa posee y administra, pero se saltó las actualizaciones durante el último mes y deshabilitó el bloqueo de pantalla. Como resultado, podemos bloquear su acceso por completo o requerir una verificación adicional, como la autenticación multifactor (MFA). O podríamos permitir el acceso únicamente a material no confidencial y grabar su sesión.
Aplicación consistente
Las políticas deben aplicarse de manera consistente, independientemente de la ubicación de los usuarios o recursos. En la práctica, esto requiere controlar el acceso a los recursos a través de Azure AD tanto como sea posible; AD se convierte en una infraestructura backend heredada y los usuarios tienen una interacción mínima con ella. En particular, como se señaló anteriormente, los dispositivos deben administrarse a través de Intune.
Puede ver la trayectoria unida a controles de acceso modernos, como el acceso sin contraseña, que contribuyen a una experiencia de usuario más fluida.
Mitigar el riesgo de escalada de privilegios
Para evitar que los atacantes obtengan acceso no autorizado, debemos asegurarnos de tener controles estrictos en torno a:
- Las cuentas a las que brindamos privilegios
- Los dispositivos desde los cuales esas cuentas pueden acceder a nuestras interfaces de control
Asegúrese de utilizar la segregación de red, como reglas de red local o características como grupos de administración, grupos de seguridad de red y políticas de Azure. No reutilice cuentas de servicio para múltiples servicios y controle quién puede administrar entidades de servicio y aplicaciones empresariales en Azure AD y el alcance de ese control.
En particular, los proveedores frecuentemente solicitan un nivel de privilegio más alto que el que realmente requieren sus aplicaciones. No tenga miedo de presentar un desafío sólido a las solicitudes de cosas como la membresía de administrador de dominio, ya que otorgar ese derecho permitiría a un adversario que comprometa la aplicación obtener derechos elevados.
Defensa en profundidad
Una estrategia de seguridad sólida implica todo, desde controles de protección hasta monitorear y responder a amenazas activas. El Marco de Ciberseguridad del NIST establece los siguientes cinco elementos clave:
- Identifique: identifique todos los equipos, datos y software de su empresa, incluidos teléfonos inteligentes, computadoras portátiles y dispositivos de punto de venta, y todos los datos confidenciales y regulados. Luego, cree y comparta una política de ciberseguridad de la empresa que cubra las responsabilidades y funciones de los proveedores, los empleados y cualquier persona con acceso a información confidencial.
Proteger: para evitar que los ciberataques tengan éxito, asegúrese de:
- Cifrar datos confidenciales.
- Controle quién inicia sesión en su red y usa sus dispositivos.
- Almacene datos confidenciales y regulados solo en ubicaciones seguras.
- Realice copias de seguridad periódicas y guárdelas de forma segura.
- Actualice el software de seguridad periódicamente.
- Cree políticas formales para deshacerse de forma segura de dispositivos y archivos electrónicos viejos.
- Prepárese para eventos inesperados que puedan poner en riesgo los datos, como emergencias climáticas.
- Capacite a todos los que utilizan su red y dispositivos sobre ciberseguridad.
Responder: asegúrese de poder responder rápida y eficazmente a las amenazas creando planes para:
- Notificar a los empleados, clientes y otras personas cuyos datos puedan estar en riesgo
- Denunciar el ataque a las autoridades pertinentes.
- Investigar y contener ataques
- Mantener las operaciones comerciales en funcionamiento
- Actualización de su política y plan de ciberseguridad según las lecciones aprendidas
Cómo puede ayudar Netwrix
El modelo de acceso empresarial no es la única forma de gestionar el acceso privilegiado. Si no tiene los recursos, el tiempo o la energía para implementar el EAM, considere utilizar el software de gestión de acceso privilegiado (PAM) de Netwrix. Fiable, intuitivo y rápido, le permite:
- Descubra cuentas privilegiadas permanentes y reemplácelas con acceso temporal bajo demanda.
- Reduzca el riesgo de hallazgos de auditoría e interrupciones comerciales mediante la gestión y el seguimiento de toda la actividad privilegiada en un centro centralizado.
- Aumente la responsabilidad administrativa con el monitoreo de sesiones.
Solicite una demostración individual hoy para experimentar la diferencia de Netwrix.
Netwrix también ofrece productos que le permiten mejorar su ciberseguridad de manera más amplia, que incluyen:
- Netwrix StealthAUDIT: identifique configuraciones erróneas y amenazas.
- Netwrix StealthDEFEND: responde a los ataques.
- Netwrix StealthINTERCEPT: bloquea activamente los ataques.
Preguntas más frecuentes
¿Qué es el Bosque Rojo de Active Directory?
Red Forest es el nombre común de la arquitectura del entorno de administración de seguridad mejorada (ESAE). La implementación implica configurar un modelo de 3 niveles y colocar cuentas administrativas en el Nivel 0.
¿Por qué ya no se recomienda Red Forest?
Microsoft reemplazó a Red Forest porque es demasiado costoso para la mayoría de las organizaciones y está limitado a Active Directory local, con provisión para la nube.
¿Qué es el modelo de acceso empresarial (EAM)?
El modelo de acceso empresarial reemplaza el Bosque Rojo con una estrategia que controla el acceso en entornos híbridos modernos.