Consejos para mejorar la seguridad de las cuentas privilegiadas
En este artículo, analizaré cómo la Administración de acceso privilegiado (PAM) en Windows Server 2016 permite la administración Just-In-Time (JIT), lo que ayuda a proteger las cuentas de usuarios privilegiados.
Parece un problema tan antiguo como la propia informática o, según se mire, un asunto menor que no amerita perder demasiado el sueño. Pero la proliferación de cuentas altamente privilegiadas es un problema que muchas organizaciones están empezando a tomar en serio, en gran parte debido a la creciente regulación y las costosas violaciones de datos.
Deriva de privilegios
Especialmente relevante para Active Directory (AD), la omnipresente solución de servicios de directorio de Microsoft, la integridad de las cuentas de dominio privilegiadas es vital, pero las mejores prácticas de gestión de cuentas privilegiadas se ignoran habitualmente. Por ejemplo, ¿sabías que las cuentas de administrador de dominio sólo deben usarse para iniciar sesión en los controladores de dominio? Esta no es una medida extrema si recuerda que una vez que una cuenta de administrador de dominio se ve comprometida, debe considerar comprometida toda su red, lo que podría resultar en una costosa reconstrucción de su dominio.
Pero el problema más común es que el personal de TI recibe privilegios de administrador de dominio u otros derechos de alto nivel sin tener que renunciar a ellos. Naturalmente, existen verdaderas razones por las que los privilegios de administrador de dominio pueden ser necesarios temporalmente para llevar a cabo un cambio aprobado, pero nunca deben concederse de forma permanente.
Administración justo a tiempo
Con ese fin, Microsoft está complementando las capacidades de administración justa que ya existen en Windows hoy con la administración JIT en Windows Server 2016, cuyo lanzamiento está previsto para septiembre de 2016. Utilizando un dominio bastión, donde las cuentas privilegiadas están aisladas, se crea un nuevo tipo de confianza y capacidad de autenticación en Active Directory, Windows Server 2016 PAM, está diseñado para hacer más difícil para los atacantes hackear cuentas privilegiadas de AD y más fácil para las empresas recuperar el control sobre los bosques de AD comprometidos.
PAM requiere que los usuarios soliciten permiso para usar cuentas privilegiadas y solo después de que se aprueba la solicitud se otorga el permiso utilizando una entidad de seguridad oculta en el bosque bastión. Microsoft decidió exigir un bosque bastión para su solución PAM con el fin de brindar a las organizaciones un mayor control sobre cuándo y cómo los usuarios se convierten en miembros de grupos privilegiados y para ayudar a establecer control sobre los dominios después de un ataque.
Se asignan membresías de grupo por tiempo limitado en el bosque bastión, lo que da como resultado que se emitan a los usuarios tickets de concesión de tickets Kerberos por tiempo limitado. En otras palabras, puede asegurarse de que los usuarios mantengan los privilegios durante un período de tiempo limitado. Debido a que la solución de Microsoft se basa en Kerberos, el protocolo de autenticación predeterminado en AD, sólo las aplicaciones y servicios de Kerberos pueden respetar las limitaciones de tiempo determinadas por PAM. Sin embargo, esto no debería ser un problema para los servicios y aplicaciones integrados de Windows.
Flujo de trabajo PAM
PAM implica implementar un flujo de trabajo y, para ello, Microsoft recomienda su propia solución Microsoft Identity Manager (MIM). En este momento, no está claro si Windows Server 2016 PAM admitirá otras soluciones de administración de identidades. Junto con los flujos de trabajo personalizables proporcionados por MIM, AD registra cada solicitud, cómo se autoriza y las acciones que ocurren mientras el usuario tiene los privilegios solicitados.