Los 5 mejores consejos para la solución de contraseñas de administrador local (LAPS)

La cuenta de administrador local de Windows es un objetivo codiciado para los piratas informáticos y el malware. Potencialmente, pueden suceder muchas cosas malas si un pirata informático puede descifrar la cuenta de administrador local de uno de sus servidores.

Suelen ocurrir cosas terribles cuando alguien descarga una variedad de malware malicioso utilizando también la cuenta de administrador. La magnitud de estos problemas se amplifica aún más si utiliza la cuenta de administrador predeterminada para cada máquina similar que utiliza la misma contraseña.

Puede tener la contraseña más compleja del mundo, pero una vez que se ve comprometida en una máquina, queda abierta la temporada para todos los demás dispositivos que utilicen las mismas credenciales de administrador local.

Por supuesto, puede personalizar las credenciales de administrador local para cada dispositivo Windows, pero eso puede llevar mucho tiempo, sin mencionar la tarea de inventariar los numerosos conjuntos de credenciales. El proceso se vuelve prácticamente inviable cuando habilita la actualización de contraseña (lo cual, por supuesto, debería hacerlo). Es por eso que muchos administradores a menudo simplemente lo desactivan.

Pero es comprensible tener algún tipo de cuenta de administrador local para "acercarse y reparar la máquina", como restablecer la relación de confianza del dominio o codificar una dirección IP, etc.

Si tener la misma contraseña de administrador local en cada máquina es una idea terrible, ¿qué se puede hacer al respecto?

Consejo 1: utilice la solución de contraseña de administrador local de Microsoft (LAPS)

La solución de contraseña de administrador local de Microsoft (LAPS) es una herramienta de Microsoft que brinda a los administradores de AD la capacidad de administrar la contraseña de la cuenta local de las computadoras unidas a un dominio y almacenarlas en AD.

Cuando se implementa a través de una Política de grupo, LAPS crea una contraseña aleatoria de una longitud y complejidad definidas que es criptográficamente segura y diferente cada vez, en cada máquina. Luego aplica la contraseña recién creada a la cuenta de administrador local y registra la contraseña en un campo seguro en su esquema de Active Directory. Luego se pueden recuperar cuando sea necesario acceder a la cuenta. El proceso se realiza automáticamente cada vez que es necesario actualizar la contraseña definida por la Política de grupo.

LAPS tiene algunos requisitos para implementarlo:

Solo se aplica a dispositivos Windows
Los dispositivos deben estar unidos a un dominio
Requiere una extensión gratuita del lado del cliente de la Política de grupo
Requiere una extensión de esquema (no te asustes).
Solo funciona para la cuenta de administrador local.
Solo funciona para UNA cuenta de administrador local (en caso de que tenga más de una).

Consejo 2: LAPS y política de grupo

Como se mencionó, LAPS se implementa mediante una política de grupo, lo que significa que requiere la creación de un GPO. Primero debes descargar LAPS, lo cual puedes hacer aquí.
Luego use el asistente para instalarlo en su máquina de administración de políticas de grupo. Querrá hacer esto a mano y, por lo general, NO de forma automática.

Asegúrese de seleccionar al menos las plantillas del editor GPO para poder acceder a los archivos ADMX necesarios. El cliente pesado es una interfaz gráfica de usuario que brinda al usuario con los derechos correspondientes la capacidad de consultar la contraseña de un dispositivo designado. Solo necesita instalar las herramientas de administración, y no la “Extensión GPO AdmPwd” en su máquina (la que tiene GPMC).

Luego debe ir a su carpeta PolicyDefinitions local y copiar los archivos AdmPwd.admx y AdmPwd.adml y pegarlos en su almacén central de AD. (Mira este video sobre este proceso).

A continuación, necesitamos ampliar el esquema AD para dar cabida a las contraseñas locales.

Los dos atributos requeridos son:

ms-Mcs-AdmPwd : almacena la contraseña en texto sin cifrar
ms-Mcs-AdmPwdExpirationTime : almacena el tiempo para restablecer la contraseña

Para actualizar el esquema, simplemente importe el módulo AdmPwd PowerShell y use el comando update-AdmPwdADSchema como se muestra a continuación.

El siguiente paso es crear un GPO en el lado de la computadora. Para este ejemplo, lo llamaré Política LAPS. La configuración de LAPS ahora aparecerá en Configuración de la computadora > Plantillas administrativas > LAPS, donde hay 4 configuraciones disponibles como se muestra a continuación.

Puede utilizar su GPO de LAPS para administrar la contraseña del administrador local predeterminado o de una cuenta de administrador local personalizada. A continuación, habilité la configuración "Habilitar administración de contraseñas de administrador local".

Si ha cambiado el nombre de la cuenta de administrador local (lo que debería hacer), puede especificar el nombre actualizado. Una vez seleccionada la cuenta de administrador, el paso final es habilitar la configuración de Política de grupo que configura los ajustes de la contraseña (que incluyen la longitud y la antigüedad de la contraseña).

Una vez configurado, simplemente implemente el software de extensión del lado del cliente de LAPS mediante el método de implementación de software que desee, como PDQ Deploy. Sólo necesitas la parte "Extensión GPO" si vas a realizar una prueba inicial a mano. Puedes ver esto aquí.

También puede utilizar PolicyPak para obtener más control sobre el proceso de implementación. Más sobre eso en solo un minuto.

Consejo #3: Obtener contraseñas cuando sea necesario a través de LAPS

Entonces, llega el día en que necesita saber cuál es la contraseña generada actualmente para una de sus máquinas con Windows. ¿Cómo lo haces? Hay varias maneras. Activado es utilizar el siguiente comando de PowerShell.

Get-AdmPwdPassword -Computername “nombre del ordenador”

Si instaló LAPS Fat Client, puede acceder a la aplicación LAPS UI en su menú de inicio.

° 4: asigne políticas LAPS granulares a los usuarios mediante la orientación a nivel de elemento

PolicyPak ofrece todas las configuraciones de plantilla ADMX en su Administrador de plantillas de PolicyPak y las actualizamos en el momento de cada nueva versión de ADMX. Hay muchas ventajas al utilizar el Administrador de plantillas de administración frente a la Política de grupo estándar.

PolicyPak utiliza el Editor de políticas de grupo como se muestra a continuación, pero agrega un superpoder secreto.

El beneficio clave es que PolicyPak puede utilizar la segmentación a nivel de elemento para cualquier configuración de política de grupo, incluido LAPS.

Si está familiarizado con las Preferencias de políticas de grupo, entonces ya sabrá cómo ILT proporciona mucha más granularidad con respecto a la asignación de políticas. Por ejemplo, digamos que todas las cuentas de administrador local que residen en sus servidores se denominan ServAdm1n y desea crear una política LAPS separada para esos administradores. Dado que esas no son cuentas de dominio de administrador, no puede apuntar a ellas mediante una política de grupo, pero puede usar ILT para apuntar a aquellas máquinas que ejecutan Windows Server 2016.

Ahora hagamos una política LAPS para portátiles ejecutivos de nivel C. Naturalmente, nos gustaría tener una contraseña segura para esas cuentas de administrador local. En este caso, quiero imponer contraseñas de 20 caracteres utilizando la mayor complejidad. Luego usaré ILT para apuntar al grupo de seguridad de nivel C. Como puede ver en la captura de pantalla a continuación, hay muchas opciones a las que se puede orientar, incluido el nombre de la computadora, la coincidencia de unidad organizativa, la coincidencia del sitio, el factor de forma de la computadora (portátil o de escritorio) y más.

Como beneficio adicional, mientras que los GPO tradicionales creados dentro del Editor de políticas de grupo normalmente solo se pueden implementar mediante la Política de grupo, la configuración de PolicyPak se puede implementar de varias maneras, como SCCM, KACE o su servicio MDM preferido.
Puede obtener más información sobre ese proceso viendo este vídeo que demuestra el proceso de entrega de la configuración de la Política de grupo, sin el motor de Política de grupo en sí.

Consejo 5: empareje LAPS con PolicyPak Least Privilege Manager

La solución de contraseña de administrador local es una gran herramienta para restringir el acceso administrativo a sus máquinas más importantes. De hecho, también forma una excelente combinación con PolicyPak Least Privilege Manager. PolicyPak Least Privilege Manager elimina por completo la necesidad de tener derechos de administrador local, lo que permite a los usuarios estándar realizar funciones especiales como un administrador... pero sin derechos de administrador reales.

Juntos, podrían aplicar LAPS en todas las máquinas de su empresa... ya que ya no necesitarán acceso de administrador local.