Tres formas de proteger cuentas de servicio en Active Directory
Si busca puntos débiles de seguridad en su organización, auditar las cuentas de servicios no es un mal lugar para comenzar. La auditoría de Active Directory debe incluir el establecimiento de los derechos asignados a cada cuenta, la seguridad de la contraseña, la última vez que se restableció y si se trata de una cuenta de dominio, una cuenta local, una cuenta de servicio administrada (MSA) o una cuenta de servicio administrada de grupo (gMSA). .
Los servicios se pueden configurar para que se ejecuten utilizando las cuentas de Servicio local, Servicio de red o Sistema local, pero se comparten con otros procesos y aplicaciones y no se pueden administrar de forma centralizada. Aunque el sistema local tiene un amplio acceso a Windows, el servicio local y el servicio de red son usuarios estándar con el derecho de Inicio de sesión como servicio de NT. El servicio de red también puede conectarse a otros dispositivos en la red utilizando la cuenta de computadora del dispositivo.
Cuando las cuentas de usuario de dominio se utilizan como cuentas de servicio, proporcionan un mayor nivel de aislamiento y administración, pero las contraseñas deben administrarse manualmente o mediante una solución personalizada o, como suele ser el caso, las contraseñas rara vez, o nunca, se restablecen.
Paso 1. Cuentas de servicio administradas por grupos
Hay dos tipos especiales de cuentas que se pueden utilizar para servicios: MSA y gMSA. Si recuerda Windows Server 2008 R2, Microsoft introdujo los MSA, pero tenían tantas advertencias que los posibles casos de uso eran limitados. La premisa básica de los MSA era proporcionar la administración y el aislamiento de una cuenta de usuario de dominio pero con administración automatizada de contraseñas. Los MSA también brindan administración simplificada del nombre principal del servicio (SPN).
Microsoft mejoró los MSA en Windows 2012 con gMSA. A diferencia de los MSA, los gMSA se pueden utilizar en más de un dispositivo, ejecutar tareas programadas y trabajar con aplicaciones como IIS y Exchange. El Servicio de distribución de claves (KDS) en los controladores de dominio de Windows Server 2012 administra la contraseña de 120 caracteres asignada a cada gMSA. Antes de poder usar gMSA, debe tener al menos un controlador de Windows Server 2012 (o un dominio superior) en su dominio, así como dispositivos unidos al dominio que ejecuten Windows Server 2012 o Windows 8 (y versiones posteriores). PowerShell se utiliza para configurar gMSA.
Paso 2. Contraseñas largas
No todas las aplicaciones son compatibles con gMSA, por lo que a veces una cuenta de usuario de dominio es la mejor opción. Microsoft recomienda contraseñas de al menos 25 caracteres para las cuentas de servicio y también se debe implementar un proceso para cambiar las contraseñas de las cuentas de servicio. Además, coloque las cuentas de servicio en una unidad organizativa (OU) dedicada en AD para que puedan administrarse por separado de otras cuentas y asegúrese de que se les aplique una política de contraseña segura.
Paso 3. Principio de privilegio mínimo
En caso de que una cuenta de servicio se vea comprometida, cuantos menos derechos se le asignen, mejor. Aunque es fácil asignar privilegios de administrador para lograr la máxima compatibilidad, rara vez se requiere un acceso tan amplio. Descubra qué derechos necesita la cuenta de servicio y asigne solo esos derechos para limitar la cantidad de daño que se puede causar.