Gestión de Active Directory: 7 errores comunes principales
Administrar Active Directory no es una tarea fácil, pero alguien tiene que hacerlo. Si ese “alguien” eres tú, entonces siempre debes tener en cuenta que los seres humanos cometen errores, incluso si son gurús de AD.
Para minimizar el riesgo de que se produzcan errores de este tipo durante su vigilancia, le explicaré los más comunes y le ayudaré a garantizar que no los vuelva a cometer nunca más.
Error #1. Usar cuentas con derechos de administrador para el uso diario
No utilice el administrador de dominio ni siquiera cuentas de dominio local para iniciar sesión si no necesita dichos privilegios. Utilice una cuenta normal para iniciar sesión en una máquina y una cuenta privilegiada/de administrador para acceso elevado. El motivo de esta separación es evitar violaciones de seguridad, como un ataque de phishing o inyección de malware mientras se inicia sesión en la cuenta con credenciales elevadas.
Error #2. Agregar usuarios al grupo de administradores de dominio en lugar de delegar el acceso
Ignorar el concepto de privilegio mínimo es un problema de seguridad importante. Considere un modelo de seguridad delegado de Active Directory, especialmente para tareas administrativas comunes, como desbloquear cuentas y restablecer contraseñas. Debe evaluar cuidadosamente las responsabilidades laborales de todos los que necesitan trabajar con AD. Piense en procesos específicos que puedan automatizarse. Por ejemplo, la función de asistencia técnica puede incluir permisos para restablecer contraseñas de usuario, conectar computadoras al dominio y modificar ciertos grupos de seguridad. Utilice las mejores prácticas de delegación de AD para una gestión más eficiente de la delegación de AD.
Error #3. Tener planes de respaldo/recuperación deficientes
Si alguien elimina un objeto de Active Directory, ¿qué tan rápido puede recuperarse de este cambio no autorizado? Planificar y probar las opciones de recuperación es imprescindible para que todas las organizaciones se recuperen rápidamente de los errores. Configure y utilice una lápida de AD o una papelera de reciclaje para recuperar objetos de AD. Considere un modelo de seguridad delegado de Active Directory, especialmente para tareas administrativas comunes, como desbloquear cuentas y restablecer contraseñas.
Error #4. Administrar Active Directory desde sus controladores de dominio
Esto significa que el administrador inicia sesión físicamente en un controlador de dominio e inicia las herramientas de administración desde el servidor. Esta mala práctica no se limita a la administración normal de objetos AD; también puede ocurrir con la administración de políticas de grupo, DHCP y consolas DNS. Como sugieren las mejores prácticas, los controladores de dominio solo deben ejecutar las funciones requeridas para los servicios de dominio (que incluyen la función DNS, pero nunca usar DC para DNS; siempre apunte a otro DC), y toda la administración diaria debe realizarse en máquinas administrativas protegidas.
Error #5. No cancelar cuentas obsoletas
Las cuentas obsoletas deben desactivarse y luego eliminarse, porque si las deja intactas, un ex empleado o un usuario malintencionado puede utilizarlas para la filtración de datos. Un entorno AD saludable es un entorno AD limpio. Cuando un administrador deja usuarios, computadoras, grupos o incluso GPO obsoletos, también complica innecesariamente su entorno.
Error #6. Tener políticas de contraseñas deficientes
Antes de atribuir la vulnerabilidad de las contraseñas a los malos hábitos de los usuarios, es posible que desee examinar sus políticas en comparación con las mejores prácticas de cumplimiento y contraseñas. Éstos son sólo algunos consejos:
- Nunca configure la contraseña de un usuario para que nunca caduque.
- Configure la contraseña de una cuenta de servicio para que no caduque y luego programe un restablecimiento regular.
- Usar la misma contraseña para varias cuentas significa que un atacante tiene la clave maestra tan pronto como compromete un servicio.
- Utilice diferentes contraseñas para su trabajo, correo electrónico personal, cuenta de Facebook, etc.
- Siga las mejores prácticas de contraseñas para administrar mejor las contraseñas.
Error #7. Sin auditoría ni monitoreo de Active Directory
Supervise el estado de su AD y solucione rápidamente los problemas de interrupciones. Amplíe el tamaño del registro de eventos en su controlador de dominio al máximo. Realice siempre un seguimiento de los cambios en su Active Directory, especialmente los cambios en el grupo de administradores de dominio. Para realizar un seguimiento de los cambios, debe habilitar la política de auditoría; Siga las mejores prácticas para configurarlo correctamente. El seguimiento de los cambios definitivamente facilitará el proceso de investigación y resolución de problemas.
¿Has descubierto que alguno de los errores enumerados es común en tu dominio? Mantenlo en secreto, corrígelos rápidamente y finge que siempre has administrado Active Directory como un profesional.