Búsqueda de sitios web

Uso del grupo de usuarios protegidos contra amenazas

Microsoft introdujo el grupo Usuarios protegidos en Windows Server 2012 R2 y Windows 8.1, y está diseñado para proteger las cuentas que son miembros del grupo, en particular para proteger contra ataques pass-the-hash al deshabilitar el uso de NT. LAN Manager (NTLM), un protocolo de autenticación heredado que todavía está presente en Windows para compatibilidad con versiones anteriores.

Las protecciones adicionales solo se brindan cuando los usuarios inician sesión en Windows Server 2012 R2 o Windows 8.1, y la lista completa de defensas requiere que el nivel funcional del dominio esté configurado en Windows Server 2012 R2 (o superior).

Usuarios protegidos está diseñado principalmente para su uso con cuentas de administrador empresarial y de dominio, que son particularmente susceptibles a ataques, ya que cuando se ven comprometidas brindan acceso amplio a los sistemas. Eso no quiere decir que otras cuentas de usuario, que podrían considerarse un objetivo, no puedan agregarse a Usuarios protegidos. Pero debido a las estrictas restricciones impuestas a los miembros de Usuarios Protegidos, es esencial realizar pruebas exhaustivas de antemano.

No existen soluciones alternativas para las restricciones, por lo que es aconsejable asegurarse de que, si desea agregar cuentas con muchos privilegios, como administradores de dominio y empresariales, al menos una que no se utilice para tareas de administración habituales quede fuera del grupo.

Las siguientes protecciones están habilitadas para los miembros del grupo Usuarios protegidos cuando inician sesión desde un dispositivo compatible:

  • Las credenciales almacenadas en caché están bloqueadas. Debe haber un controlador de dominio disponible para autenticar al usuario.
  • Las claves Kerberos a largo plazo no se pueden utilizar para iniciar sesión
  • Las contraseñas de texto sin formato no se almacenan en caché para la autenticación Digest de Windows o la delegación de credenciales predeterminada (CredSSP), incluso cuando las políticas relevantes están habilitadas.
  • La función unidireccional NTLM (NTOWF) está bloqueada

Si el nivel funcional del dominio está configurado en Windows Server 2012 R2 o superior, se habilitan protecciones adicionales:

  • Los tickets de concesión de tickets (TGT) de Kerberos no se pueden renovar por un período de tiempo de vida (TTL) superior a 4 horas
  • NTLM está bloqueado
  • El estándar de cifrado de datos (DES) y RC4 no se pueden utilizar para la autenticación previa de Kerberos.
  • La delegación restringida y no restringida está bloqueada

Cuando DES y RC4 están bloqueados, todos los controladores de dominio (DC) deben ejecutar Windows Server 2008 (o posterior) y antes de agregar usuarios a Usuarios protegidos, sus contraseñas deben cambiarse con un DC de Windows Server 2008 para que se almacenen las claves AES. en Directorio Activo.

No puedo ver el grupo de usuarios protegidos en mi dominio

Si no tiene el grupo Usuarios protegidos en su dominio, deberá asegurarse de que haya al menos un DC de Windows Server 2012 R2 y transferir la función de operación maestra única flexible (FSMO) del emulador de controlador de dominio primario (PDC) a un servidor Windows 2012 R2 DC. Si es necesario, la función de PDC se puede transferir nuevamente a su ubicación original.

Para verificar si tiene el grupo Usuarios protegidos en su dominio, inicie sesión en Windows Server 2012 R2 como administrador de dominio:

  • Abra el Administrador del servidor desde la pantalla Inicio
  • Seleccione Usuarios y equipos de Active Directory en Herramientas.
  • En el panel izquierdo, expanda su dominio y haga clic en Usuarios.

Si Usuarios protegidos está presente en el dominio, debería verlo a la derecha. Los usuarios se pueden agregar a Usuarios protegidos, como los agregaría a cualquier grupo AD. Usando PowerShell, por ejemplo, para agregar la cuenta de usuario admin1:

Add-ADGroupMember -Identidad 'Usuarios protegidos' -Miembros admin1

Para transferir la función FSMO del emulador de PDC a un DC de Windows Server 2012 R2, inicie sesión en el DC con una cuenta de administrador de dominio y abra un mensaje de PowerShell usando el ícono en la barra de tareas del escritorio. Ahora escriba el siguiente comando y presione ENTRAR, reemplazando DC6 con el nombre del DC de Windows Server 2012 R2:

Move-AdDirectoryServerOperationMasterRole -Identity DC6 -OperationMasterRole pdcemulator

Si desea confirmar la ubicación nueva u original de la función FSMO del emulador de PDC, ejecute el siguiente comando y reemplace ad.contoso.com con el nombre de su dominio AD:

Obtener-AdDomain ad.contoso.com | pdcemulator de lista de formatos

Artículos relacionados