Comprender la protección LSA

Proteger sus servidores Windows y la ejecución de Windows 10 es vital, especialmente teniendo en cuenta el sofisticado panorama de amenazas actual. Estas suelen ser las primeras máquinas que se ven comprometidas en un ataque mediante la explotación del eslabón más débil de la cadena: el usuario. Mediante engaños e ingeniería social, los actores de amenazas obtienen acceso a estas máquinas y luego buscan moverse lateralmente y elevar sus privilegios. Por lo tanto, mejorar la seguridad de los terminales y servidores puede reducir significativamente el riesgo de sufrir una violación de seguridad.

Una cosa que puedes hacer para reforzar un servidor es proteger la Autoridad de Seguridad Local (LSA). La LSA controla y gestiona la información de derechos de usuario, hashes de contraseñas y otros bits importantes de información en la memoria. Las herramientas de atacantes, como mimikatz, dependen del acceso a este contenido para extraer hashes de contraseñas o contraseñas de texto sin cifrar. Habilitar la protección LSA configura Windows para controlar la información almacenada en la memoria de una manera más segura, específicamente, para evitar que procesos no protegidos accedan a esos datos.

¿Qué es un Proceso Protegido?

Un proceso se considera protegido cuando cumple con los criterios descritos en esta documentación de Microsoft. En resumen, un proceso se considera protegido si tiene una firma verificada de Microsoft y se adhiere al ciclo de vida de desarrollo de seguridad (SDL) de Microsoft. Si no se cumplen esos dos criterios, el proceso no puede acceder al contenido que utiliza el LSA en la memoria.

Cómo habilitar la protección LSA

Dado que LSA Protection se controla a través del registro, puede habilitarla fácilmente en todos sus dispositivos mediante la Política de grupo: simplemente establezca el valor de RunAsPPL en 1. Esta configuración se puede encontrar en el registro en SYSTEMCurrentControlSetControlLsa.

El siguiente código se puede aprovechar como un archivo .reg para establecer este valor en 1:

*Code Block*

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa]

"RunAsPPL"=dword:00000001

*Code Block*

Revisar su configuración

Para verificar que cada servidor esté protegido, puede navegar a la sección del registro mencionada anteriormente y confirmar que el valor esté establecido en 1.

Sin embargo, para facilitar un poco el trabajo, a continuación proporcioné un script de PowerShell que le permite consultar el valor de una máquina específica de forma remota (suponiendo que exista el acceso correcto). Simplemente reemplace [SAMPLEHOST] con el nombre de host de la máquina. Este código devolverá 0, 1 o una excepción que indica que la propiedad RunAsPPL no existe. A menos que se devuelva 1, la configuración no está habilitada en la computadora de destino.

*Code Block*

invoke-command -Computer [SAMPLEHOST] {Get-itempropertyvalue -Path "HKLM:SYSTEMCurrentControlSetControlLsa" -Name RunAsPPL}

*Code Block*