Uso del atributo AdminCount de Active Directory para buscar cuentas privilegiadas
Las cuentas de Active Directory con privilegios elevados plantean un grave riesgo de seguridad: son el principal objetivo de los atacantes porque proporcionan acceso administrativo a sistemas y datos, y también pueden ser utilizadas indebidamente por sus propietarios, ya sea de forma deliberada o accidental. Por lo tanto, es fundamental que los equipos de TI realicen un seguimiento cercano de las cuentas con permisos elevados.
Una estrategia común es monitorear el valor del atributo AdminCount de Active Directory. Todos los objetos de usuario, grupo y computadora de AD tienen este atributo. Por defecto, tiene el valor “
Sin embargo, en realidad no es tan sencillo. Echemos un vistazo más profundo a cómo funciona el atributo AdminCount de Active Directory y exploremos sus limitaciones para rastrear usuarios privilegiados.
AdminCount y objetos protegidos
La siguiente tabla enumera los conjuntos de objetos protegidos predeterminados de Active Directory, incluidos los grupos que pueden inducir una actualización del atributo AdminCount en sus miembros:
También habrás notado que dije "puede inducir una actualización del atributo AdminCount". Esto se debe a que hay una serie de variables que influyen en la pertenencia al conjunto de objetos protegidos. Comencemos con las anotaciones en superíndice:
1. El conjunto de objetos protegidos predeterminado varía según los diferentes niveles funcionales de Active Directory. Esto da como resultado diferencias en los grupos que pueden producir una actualización del atributo AdminCount en sus miembros.
2. El conjunto de objetos protegidos predeterminado incluye cuatro grupos que se pueden excluir manualmente de la protección: operadores de cuentas, operadores de respaldo, operadores de impresión y servidor. Este comportamiento se introdujo en una revisión para Windows Server 2000 y Windows Server 2003 y ha persistido en versiones posteriores ( lo que puede ayudar a explicar por qué el proceso en sí es un poco complicado). El mecanismo que controla este comportamiento se encuentra en el atributo dsHeuristics del objeto CN=Directory Service,CN=Windows NT,CN=Services,
3. El conjunto de objetos protegidos predeterminado incluye dos objetos de usuario: Administrador y krbtgt. Estos objetos están protegidos explícitamente, pero no inducirán actualizaciones de AdminCount en otros objetos porque no se puede convertir a un usuario, grupo o computadora en miembro de un objeto de usuario.
4. El conjunto de objetos protegidos predeterminado incluye dos grupos que no confieren su estado protegido a sus miembros: controladores de dominio y controladores de dominio de solo lectura. Si bien el comando DCPROMO agregará el objeto de computadora asociado al grupo de controladores de dominio apropiado al promover un host como controlador de dominio, no resultará en que el objeto se agregue al conjunto de objetos protegidos.
5. Los miembros del conjunto de objetos protegidos predeterminado se identifican mediante su objectSID. Si bien muchos de los miembros del conjunto de objetos protegidos predeterminados están configurados con valores systemFlag que impiden que se les cambie el nombre o se muevan, Active Directory se basa en los valores de objectSID conocidos de estos objetos para garantizar que se identifiquen correctamente de forma consistente.
En resumen, hay una serie de comportamientos que complican el proceso de comprender qué grupos en un dominio en particular provocarán una actualización de AdminCount en los miembros.
AdministradorSDHolder y SDPROP
Ahora hablemos del mecanismo que controla el comportamiento del atributo AdminCount.
El objeto AdminSDHolder
Cada objeto AD tiene un descriptor de seguridad que contiene información sobre la propiedad del objeto, su grupo principal, los usuarios y grupos a los que se les permite o deniega el permiso para acceder al objeto (la Lista de control de acceso discrecional [DACL]) y los eventos auditables que ocurrirán. generar un registro en el registro de eventos de seguridad (la Lista de control de acceso al sistema [SACL]). También contienen bits de control que pueden modificar el comportamiento del descriptor de seguridad.
Para ayudar a proteger los objetos que se sabe que poseen privilegios administrativos elevados, Active Directory aplica un descriptor de seguridad estricto llamado Descriptor de seguridad autorizado a cada miembro del conjunto de objetos protegidos de un dominio. El descriptor de seguridad autorizado se define en el objeto AdminSDHolder ubicado en el contenedor del sistema del contexto de nomenclatura predeterminado de cada dominio de Active Directory (por ejemplo, CN=AdminSDHolder,CN=System,
El descriptor de seguridad autorizado está diseñado para proteger objetos protegidos mediante:
- Limitar la DACL del objeto a un conjunto restringido de entradas de control de acceso (ACE). Estas ACE limitan la capacidad de modificar el objeto a la cuenta NT AUTHORITYSystem y a los miembros de los grupos Administradores, Administradores de dominio y Administradores empresariales.
- Habilitar el bit de control del descriptor de seguridad SE_DACL_PROTECTED del objeto. Esto deshabilita la herencia de seguridad y evita que la DACL del objeto protegido sea modificada por ACE heredables que posee cualquiera de los objetos principales del objeto protegido.
- Restringir la propiedad del objeto protegido al grupo Administradores de dominio. Esto limita la posibilidad de que una cuenta sin privilegios tome posesión de un objeto protegido, lo que otorgaría a la cuenta sin privilegios permisos de modificación sobre el objeto protegido. y permitir que la cuenta no privilegiada se otorgue a sí misma el control total del objeto protegido.
Para ser eficaz, este comportamiento requiere que Active Directory pueda garantizar que el descriptor de seguridad de cada miembro del conjunto de objetos protegidos coincida con el descriptor de seguridad autorizado, y seguirá coincidiendo con él. También requiere que Active Directory pueda garantizar que el descriptor de seguridad autorizado se aplique a los objetos cuando se convierten en miembros (ya sea directa o transitivamente) de un miembro del conjunto de objetos protegidos predeterminado.
La tarea del propagador de descriptores de seguridad (SDPROP)
Active Directory aborda estas necesidades con una tarea llamada Propagador de descriptores de seguridad (SDPROP). Esta tarea la ejecuta el servicio del subsistema de autoridad de seguridad local en los controladores de dominio que poseen la función FSMO del emulador de PDC cada 60 minutos, de forma predeterminada. Este período sirve para limitar el período de tiempo que puede persistir una modificación del descriptor de seguridad de un objeto altamente privilegiado, ya sea maliciosa o accidental, al tiempo que reconoce la naturaleza relativamente costosa desde el punto de vista computacional de la ejecución de SDPROP.
(El período de ejecución predeterminado de SDPROP se puede anular a nivel de dominio agregando la entrada AdminSDProtectFrequency a la clave de registro HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNTDSParameters en el controlador de dominio que posee la función FSMO del emulador PDC del dominio. AdminSDProtectFrequency aceptará valores que oscilan entre 60 y 7200 segundos. Sin embargo, la anulación No se recomienda el período de ejecución predeterminado. Se puede esperar que aumentar la frecuencia de ejecución dé como resultado un aumento sustancial en la utilización de la CPU en el emulador de PDC, y disminuir la frecuencia de ejecución prolonga el tiempo durante el cual se puede realizar una modificación en el descriptor de seguridad de un objeto protegido. persistir.)
Cuando se ejecuta SDPROP, identifica el conjunto de objetos protegidos predeterminado del dominio y luego se mueve recursivamente a través del árbol de membresía de cada uno de esos objetos para identificar la membresía completa del conjunto de objetos protegidos. SDPROP compara el descriptor de seguridad de cada objeto con el descriptor de seguridad autorizado; si no coinciden, el descriptor de seguridad del objeto se reemplaza con el descriptor de seguridad autorizado y el valor del atributo AdminCount del objeto se establece en 1.
El hecho de que se haya creado una tarea dedicada específicamente para realizar estas comprobaciones puede parecer innecesario, pero la propagación del descriptor de seguridad de Active Directory no está realmente configurada para abordar este comportamiento. Si bien las actualizaciones del descriptor de seguridad de un objeto o su nombre distintivo dan como resultado que Active Directory propague cualquier cambio asociado heredable en la Lista de control de acceso casi de inmediato (a menos que el cambio de nombre distintivo resulte en que el nuevo padre del objeto sea el contenedor de Objetos eliminados del dominio), los cambios de membresía del grupo no No iniciar ese proceso. Esto significa que agregar un objeto a un grupo protegido no desencadenará el proceso y no se puede usar para aplicar el descriptor de seguridad autorizado a los objetos afectados por la actualización de la membresía del grupo.
Limitaciones de AdminCount
Repasemos las limitaciones clave del atributo AdminCount y los malentendidos que potencialmente pueden crear.
SDPROP se ejecuta según una programación.
Como se mencionó anteriormente, de forma predeterminada, la tarea SDPROP se ejecuta solo una vez por hora. En consecuencia, SDPROP puede tardar hasta una hora en identificar una cuenta que se ha agregado a un grupo protegido como miembro del conjunto de objetos protegidos. Esto significa que si un objeto se convierte en miembro de un objeto protegido (ya sea directa o transitivamente) y esa membresía se elimina antes de que se ejecute SDPROP, el objeto no se identificará como un objeto protegido y el valor del atributo AdminCount del objeto permanecerá sin cambios.
SDPROP actualiza el atributo AdminCount cuando modifica el descriptor de seguridad de un objeto.
¿Cuál es el problema aquí? Bueno, SDPROP no presta atención al valor del atributo AdminCount de un objeto. Si SDPROP actualiza el descriptor de seguridad de un objeto protegido, establecerá el valor del atributo AdminCount en 1. Si el descriptor de seguridad del objeto protegido coincide con el descriptor de seguridad autorizado, SDPROP dejará el atributo AdminCount del objeto protegido sin cambios, independientemente de su valor. En consecuencia, cambiar o eliminar el valor del atributo AdminCount de un objeto protegido puede ocultar eficazmente los objetos protegidos de análisis de informes simples.
SDPROP solo mira a los miembros activos del conjunto de objetos protegidos.
Los análisis de SDPROP comienzan con los miembros del conjunto de objetos protegidos predeterminado y recorre en iteración sus membresías. Sin embargo, SDPROP ignora los objetos con privilegios elevados que no son miembros del conjunto de objetos protegidos predeterminado y el valor de su atributo AdminCount permanecerá
Además, una vez que un objeto protegido se elimina de los grupos de los que heredó su estado protegido, SDPROP lo ignorará y seguirá luciendo exactamente como un objeto protegido. Esto se debe a que Active Directory carece de un mecanismo para deshacer los cambios realizados por SDPROP cuando un objeto se convierte en miembro del conjunto de objetos protegidos; su atributo AdminCount permanece establecido en 1 (o cualquiera que fuera su valor antes de que cambiara su membresía en el grupo). Más importante aún, el descriptor de seguridad del objeto tampoco cambiará y continuará bloqueando la herencia de seguridad de los padres del objeto.
SDPROP no distingue entre tipos de grupos.
Hay dos tipos de grupos de Active Directory: grupos de seguridad y grupos de distribución. Un grupo de seguridad puede transferir privilegios a sus miembros, mientras que un grupo de distribución no. Si bien puede parecer extraño proteger objetos que son miembros transitivos de un objeto protegido predeterminado a través de un grupo de distribución (y por lo tanto no heredan ningún privilegio del objeto protegido predeterminado), se puede cambiar la categoría de un grupo. Dado que cambiar el tipo de grupo cambia su capacidad de conferir privilegios a sus miembros, SDPROP ignora por completo las categorías del grupo para evitar que se abuse de este comportamiento.
Resumen
Al final del día, el atributo AdminCount es sólo una bandera. Para comprender lo que esa bandera puede decirle, también debe comprender lo que no puede decirle.
Podría parecer que puede obtener una lista de objetos protegidos por SDPROP ejecutando el siguiente comando:
Get-ADObject -LDAPFilter "(adminCount=1)"Sin embargo, lo que este comando realmente le dice es qué objetos tienen un atributo AdminCount con un valor de 1.
La única forma confiable de identificar con precisión los objetos protegidos es hacer exactamente lo que hace SDPROP: identificar el conjunto de objetos protegidos predeterminado del dominio e identificar la membresía completa de cada uno de esos objetos.
¿Cómo puede ayudar Netwrix?
Proteja su Active Directory de extremo a extremo con la solución de seguridad Netwrix Active Directory. Le permitirá:
- Descubra riesgos de seguridad en Active Directory y priorice sus esfuerzos de mitigación.
- Refuerce las configuraciones de seguridad en toda su infraestructura de TI.
- Detecte y contenga rápidamente incluso amenazas avanzadas, como los ataques DCSync y Golden Ticket.
- Responda a amenazas conocidas al instante con opciones de respuesta automatizadas.
- Minimice las interrupciones comerciales con una rápida recuperación de Active Directory.
Preguntas más frecuentes
¿Qué es el atributo AdminCount en Active Directory?
El atributo AdminCount muestra que el sistema modificó las ACL de un objeto a una configuración más segura porque pertenecía a uno de los grupos administrativos.
Cuando elimino a un usuario de un grupo protegido, ¿por qué AdminCount no se cambia a 0 o "no está configurado"?
Al principio del desarrollo de Windows 2000, una encuesta de usuarios reveló que preferían destruir una cuenta de usuario una vez que se les retiraban sus privilegios de alto nivel, ya que la cuenta podía haber construido puertas traseras explícitas antes de que se le quitaran sus derechos. Dado que se cree que la cuenta será cancelada o deshabilitada, el controlador de dominio no elimina el atributo AdminCount.