Proteger la administración de Active Directory - Parte 2

Continuamos la serie de publicaciones sobre aspectos de seguridad de la administración de Active Directory, creada por Brian Svidergol. Esta serie consta de tres partes, cada una dedicada a un problema específico relacionado con la seguridad de la administración de Active Directory. La primera parte, centrada en el Principio de privilegio mínimo, se puede encontrar aquí. Hoy puede aprender sobre consideraciones de infraestructura, como subredes para administración, servidores administrativos y computadoras cliente administrativas.

A veces, las ideas simples son bastante efectivas en una estrategia de seguridad. Considere una recomendación común de banca en línea: realizar operaciones bancarias en línea únicamente desde un único dispositivo informático. Algunas personas pueden tomar esto como una molestia cuando piensan en ello por primera vez. Pero pensándolo un poco más, la mayoría de la gente se da cuenta de que la recomendación es acertada. Los bancos han incorporado un monitoreo de seguridad para detectar inicios de sesión en banca en línea desde dispositivos informáticos desconocidos (además de ubicaciones desconocidas y otros criterios). Los bancos normalmente solicitarán un factor de autenticación adicional al iniciar sesión desde un dispositivo o ubicación desconocidos. Pero si cumple con sus umbrales de monitoreo, como iniciar sesión desde dos países diferentes en una hora, se activan tareas automatizadas para mitigar el riesgo. Quiero hablar sobre tres áreas de la infraestructura que se deben considerar al proteger la administración de Active Directory.

• Subredes para administración. Al igual que en la banca en línea, las organizaciones pueden obtener beneficios al centralizar la administración en subredes específicas. Por lo tanto, cuando se intentan conexiones administrativas fuera de las subredes especificadas, se envían notificaciones a los administradores. Si bien el concepto es simple, la ejecución es difícil. Una dificultad importante son las interfaces administrativas basadas en web que operan en el puerto TCP 443; bloquear este tráfico de subredes específicas a otras subredes específicas requiere muchas horas de trabajo. Sin embargo, existen beneficios inmediatos al utilizar subredes administrativas. Un beneficio es la alerta: si se intenta una conexión RDP a un controlador de dominio desde una subred no administrativa (subred de usuario, subred inalámbrica), es una señal de alerta inmediata y algo a lo que hay que dar seguimiento. Para muchas organizaciones, se puede realizar una conexión RDP a un controlador de dominio desde cualquier lugar de la red. Peor aún, en mis viajes he visto organizaciones que permitían conexiones RDP a sus controladores de dominio desde Internet. Otro beneficio de las subredes administrativas es que se pueden bloquear mediante el uso de subredes seguras (seguridad de puertos), autenticación de dos factores y otras técnicas. El confinamiento puede producirse sin demasiada fanfarria. ¡Compare eso con bloquear una subred de usuarios donde los usuarios estarán en pie de guerra! En la siguiente sección de este blog, hablaré sobre el monitoreo y las alertas que se vinculan con las subredes administrativas.
• Servidores administrativos. Incluso si no puede utilizar subredes dedicadas para la administración, utilizar servidores administrativos dedicados es la mejor opción. Para las organizaciones que pueden utilizar servidores administrativos dedicados y subredes administrativas juntos, ¡aún mejor! Entonces, ¿qué te ofrecen los servidores administrativos? Al igual que las subredes administrativas, puede implementar seguridad adicional dentro y alrededor de los servidores. Me refiero a la autenticación de dos factores o autenticación de certificado, GPO de alta seguridad, cuentas de usuario estándar para la autenticación del servidor administrativo y monitoreo y alertas especializados, de los cuales hablaré en la siguiente sección del blog. Los servidores administrativos también contienen todas las herramientas que los administradores necesitan, lo que puede ayudar a estandarizar a todos los administradores en el mismo conjunto de herramientas y las mismas versiones de herramientas.

Equipos cliente administrativos. He hablado con mucha gente sobre cómo ellos y otras personas de sus organizaciones realizan la administración de Active Directory. La mayoría de las veces, las respuestas han sido todas iguales: la administración se realiza desde las computadoras cliente asignadas. Las computadoras cliente asignadas se utilizan para trabajar con el correo electrónico, navegar por Internet y realizar tareas administrativas. Bastante conveniente, sin duda. ¡Aún más conveniente si tiene una única cuenta de usuario de AD que usa para todo! ¡Pero hoy no estamos hablando de conveniencia! Estamos hablando de seguridad. ¡Y esas dos cosas muchas veces no van juntas! Con una única computadora cliente y una única cuenta de usuario, un administrador y su computadora se convierten en el objetivo principal de muchos tipos de ataques, incluidos los ataques de phishing. Si la computadora del administrador es propiedad del usuario, el atacante tiene acceso administrativo a todo lo que hace el administrador. Y mejor aún, tiene todas las herramientas instaladas en la computadora, el caché de las herramientas administrativas (información de conexión RDP, información de FTP, etc.). Inmediatamente queda claro lo riesgoso que es operar en una sola computadora cliente con una sola cuenta de usuario de AD. ¿La solución? Utilice una cuenta de usuario secundaria para la administración. Utilice una computadora cliente administrativa (probablemente una máquina virtual en un entorno VDI) para la administración. En un mundo perfecto, tenga una segunda cuenta de usuario y una computadora cliente administrativa. Al igual que los servidores administrativos, las computadoras cliente administrativas se pueden bloquear, tener autenticación de dos factores y ser parte de una infraestructura mejorada de monitoreo y alertas. Si bien veo cuentas administrativas separadas ampliamente sugeridas en TI, no veo que las computadoras cliente administrativas se utilicen ampliamente.