Recuperación de bosques de Active Directory explicada
Por lo tanto, la recuperación de bosques de Active Directory tiene que ser un elemento central de la estrategia de ciberseguridad de cualquier organización. Pero ¿qué implica un sólido plan de recuperación forestal de AD? ¿Y cuáles son los errores comunes que debes evitar al planificar tu estrategia? Esta publicación de blog responde a estas preguntas críticas y más.
¿Qué es la recuperación de bosques de Active Directory?
La recuperación del bosque de AD es el proceso de restaurar un bosque de Active Directory a un estado funcional después de un desastre, como un ciberataque, una falla de hardware, un desastre natural o un error de administración.
Como repaso breve, un bosque AD tiene la siguiente jerarquía: bosque > árbol > dominio. Es decir, un bosque de Active Directory es una colección de uno o más árboles de Active Directory con un esquema de directorio compartido, un catálogo global, información de aplicaciones y objetos de configuración. (El catálogo global enumera todos los objetos del bosque y el esquema define la clase y los atributos de cada objeto en el bosque). Cada árbol comprende uno o más dominios en una estructura jerárquica, con un espacio de nombres contiguo y Relaciones de confianza transitivas entre los dominios.
Cada Active Directory tiene al menos un bosque y cada bosque tiene al menos un dominio. Y cada dominio tiene al menos un controlador de dominio (DC), que es el servidor que ejecuta los Servicios de dominio de Active Directory (AD DS), más comúnmente llamado simplemente “Active Directory”. "
Por lo tanto, cuando hablamos de recuperación de bosques de Active Directory, hablamos de restaurar controladores de dominio. En el caso más simple, se trata de un único DC en un dominio del bosque. Pero para la mayoría de las organizaciones, implica restaurar varios DC en un único dominio del bosque, incluso o varios DC en cada uno de los múltiples dominios del bosque.
¿Por qué es importante la recuperación de bosques de Active Directory?
Dado que Active Directory proporciona servicios de identidad vitales para la gran mayoría de las organizaciones actuales, ha sido durante mucho tiempo el principal objetivo de los ciberataques. Y los adversarios continúan perfeccionando sus habilidades de ataque AD; de hecho, algunos ataques de ransomware pueden destruir su bosque de Active Directory en minutos o incluso segundos. Pero el riesgo no se limita a los ciberataques: cada bosque de Active Directory también es vulnerable a desastres naturales, fallas de hardware y software, errores humanos y otros tipos de adversidad.
Debido al papel fundamental que desempeña la AD en el ecosistema de TI, el tiempo de inactividad de los bosques equivale a una pérdida empresarial. Cada minuto que AD no esté disponible, sus empleados no podrán hacer su trabajo, los clientes no podrán realizar pedidos y casi todos los demás procesos comerciales quedarán paralizados.
El costo del tiempo de inactividad forestal aumenta rápidamente. En un estudio de impacto económico total que Quest encargó a Forrester Consulting, se calculó que cada hora que AD está fuera de línea costaba 730.000 dólares en ingresos perdidos. Otra investigación encontró que el 40% de las empresas dice que una sola hora de tiempo de inactividad cuesta entre 1 y 5 millones de dólares. En el peor de los casos, las pérdidas pueden alcanzar millones de dólares por minuto.
En pocas palabras, la recuperación del bosque de Active Directory no sólo es importante: es esencial para que su negocio vuelva a funcionar después de un desastre, independientemente de la causa.
¿Cómo hago una copia de seguridad de mi bosque de Active Directory?
La primera parte de cualquier estrategia de recuperación de bosques de Active Directory es garantizar que tenga copias de seguridad confiables desde las cuales recuperarse. Asegúrate de realizar copias de seguridad de AD con regularidad, pruébalas para asegurarte de que sean válidas y guárdalas en un lugar seguro. Microsoft recomienda seguir la regla 3-2-1: mantenga 3 copias de seguridad de sus datos en 2 tipos de almacenamiento diferentes y mantenga al menos 1 copia de seguridad fuera del sitio. Además, es aconsejable asegurarse de que al menos algunas de sus copias de seguridad estén protegidas: asegúrese de que los adversarios no tengan acceso a ellas para que estén disponibles cuando las necesite para restaurar su bosque.
Tipos de copias de seguridad
En realidad, existen varios tipos de copias de seguridad que debe conocer al diseñar su estrategia de recuperación de bosques de Active Directory. Las opciones nativas incluyen:
- Copias de seguridad del estado del sistema: estas copias de seguridad incluyen casi todo el sistema operativo, no solo las partes de Active Directory. Por lo tanto, restaurar desde una copia de seguridad del estado del sistema aumenta el riesgo de restaurar un componente que esté infectado con malware o que tenga una vulnerabilidad de día cero, por lo que rara vez son la mejor opción en caso de un desastre.
- Copias de seguridad de recuperación completa (BMR): las copias de seguridad de BMR le permiten restaurar sus DC en diferentes instancias de hardware, lo cual es particularmente valioso en el caso de corrupción física de los DC. Al igual que las copias de seguridad del estado del sistema, las copias de seguridad BMR incluyen más datos de los necesarios para la recuperación de Active Directory, lo que ralentiza el proceso de restauración y aumenta el riesgo.
Algunas soluciones de recuperación ante desastres de terceros brindan opciones de respaldo adicionales:
- Copias de seguridad de Active Directory: estas copias de seguridad incluyen solo componentes específicos de AD: el directorio NTDS, SYSVOL (que contiene la política de grupo y scripts de inicio de sesión) y aspectos del registro que tienen que ver con AD.
- Copias de seguridad de Azure AD: en entornos de AD híbridos, también necesita una estrategia de copia de seguridad para objetos y atributos solo en la nube, como licencias de Microsoft 365 y asignaciones de roles de aplicaciones, grupos de Office 365 y Azure AD, solo en la nube. usuarios como cuentas de Azure B2B y B2C, y configuraciones de Azure AD MFA y políticas de acceso condicional. Estos objetos y atributos críticos para el negocio no están protegidos adecuadamente por las herramientas nativas de Microsoft ni cubiertos por ninguna solución de respaldo local.
¿Qué implica la recuperación de bosques de Active Directory?
La recuperación del bosque de Active Directory implica más que simplemente restaurar sus controladores de dominio desde la copia de seguridad. Requiere una coordinación meticulosa de numerosos pasos: preparación, realización de la restauración, sincronización de cada DC con sus socios de replicación y hacer que esté disponible nuevamente, y más.
Los detalles del proceso dependen de los tipos de copias de seguridad que haya realizado y de la herramienta de recuperación que esté utilizando. Dos de los principales tipos de métodos de recuperación de bosques de Active Directory son la recuperación completa y la recuperación limpia del sistema operativo (SO).
Disponible solo con una solución empresarial de copia de seguridad y recuperación, la recuperación limpia del sistema operativo es superior a la BMR en la mayoría de las situaciones, incluidos los ataques de ransomware. La razón principal es que BMR restaura volúmenes completos (particiones de disco), que incluyen archivos que no forman parte de AD, como el sector de arranque, el directorio de archivos de programa y los directorios de Windows y WinSXS. Esto le da al malware muchos lugares donde esconderse, lo que lo pone en riesgo de volver a infectarse después de la operación de recuperación.
La recuperación limpia del sistema operativo, por otro lado, restaura solo los componentes de AD, lo que reduce drásticamente los lugares donde se puede esconder el malware. Además, para realizar BMR, la máquina de destino debe tener el mismo diseño de disco físico que el DC original y esos discos deben ser al menos tan grandes, de modo que se puedan establecer las mismas particiones tal como eran antes. También debe preocuparse por inyectar controladores críticos para el arranque, configuración de red de línea de comandos y más.
Las excepciones en las que es preferible la BMR incluyen ocasiones en las que realmente necesita datos adicionales almacenados en una copia de seguridad de BMR. Por ejemplo, BMR podría ser necesario si sus controladores de dominio se utilizan para servicios no relacionados con AD, como alojar zonas DNS que no están integradas con AD, ejecutar una autoridad de certificación o ejecutar servicios de archivos e impresión.
¿Cómo realizo una recuperación del bosque de Active Directory?
La forma más rápida de hacer que su organización vuelva a funcionar y funcione cojeando, si no está en pleno funcionamiento, es utilizar un enfoque por fases para la recuperación del bosque de Active Directory. Cada fase se puede realizar manualmente o con una solución de recuperación de Active Directory especialmente diseñada.
Fase 1: restaurar un controlador de dominio en cada dominio
El primer paso es restaurar un DC en cada dominio y luego hacer que esos DC se comuniquen y funcionen nuevamente como un bosque.
- Con métodos manuales: si bien restaurar solo unos pocos controladores de dominio seleccionados es mucho más rápido que restaurarlos todos, con métodos manuales, esta fase sigue llevando mucho tiempo. De hecho, la Guía de recuperación de bosques de Active Directory de Microsoft describe 12 procedimientos de configuración que comprenden más de 40 pasos que se deben realizar en cada controlador de dominio que haya restaurado desde la copia de seguridad. No completar correctamente estos pasos puede provocar que AD se rompa o deje vulnerabilidades de seguridad persistentes.
- Con una solución de recuperación de AD: una solución empresarial de copia de seguridad y recuperación puede optimizar y automatizar estas tareas, reduciendo el tiempo necesario para reiniciar sus operaciones comerciales de días o semanas a horas.
Fase 2: promocionar el resto de tus CD
Luego, debes promocionar el resto de los DC en cada dominio.
- Con métodos manuales: tiene varias opciones para esta fase, incluida la promoción directa de DC, pero Microsoft recomienda el enfoque de instalación desde medios (IFM). Debido a que IFM reduce a la mitad el tráfico enviado a través de su red, acelera significativamente el proceso de promoción de DC. Sin embargo, al utilizar herramientas nativas, cualquiera de los métodos requiere que usted promocione cada DC uno por uno, y cada servidor tardará varios minutos u horas en promocionarse.
- Con una solución de recuperación de AD: una solución de terceros puede automatizar el proceso IFM y promover varios DC en paralelo, acortando significativamente la Fase 2 de la recuperación.
Errores comunes en la planificación de la recuperación forestal de Active Directory
Ahora revisemos los errores clave que las organizaciones tienden a cometer al desarrollar su estrategia de recuperación de bosques de Active Directory. Estos son los principales que se deben evitar:
1. No priorizar la copia de seguridad y recuperación de Active Directory
Cuando se trata de respaldo y recuperación, los equipos de TI tienen muchas prioridades: archivos críticos para el negocio, aplicaciones vitales, bases de datos esenciales y más. Pero el simple hecho es que Active Directory es la forma principal en que los usuarios se autentican y obtienen acceso a los recursos de TI, tanto en las instalaciones como en la nube, por lo que hasta que se recupere Active Directory, los usuarios no tienen forma de obtener acceso a esos archivos, aplicaciones y bases de datos. Por lo tanto, la copia de seguridad y recuperación de Active Directory debe estar en la parte superior de la lista de prioridades.
2. Pensar que la Papelera de reciclaje de AD es suficiente
La Papelera de reciclaje de AD es una herramienta valiosa; proporciona una manera conveniente de recuperar rápidamente ciertos tipos de objetos que se eliminaron recientemente. Pero no es (y nunca tuvo la intención de serlo) una solución de respaldo y recuperación empresarial.
Para ilustrar por qué la Papelera de reciclaje de AD es lamentablemente insuficiente para la recuperación del bosque de Active Directory, considere sus limitaciones para recuperar incluso un solo objeto de AD. Para empezar, la Papelera de reciclaje es sólo para objetos eliminados; no hay forma de restaurar atributos específicos de un objeto que fue modificado. Por ejemplo, si los atacantes colocan un codificador de contraseñas en su red, restablecerá las contraseñas de sus cuentas de usuario. Pero como esos objetos AD se modifican en lugar de eliminarse, no irán a la Papelera de reciclaje y, por lo tanto, no se podrán restaurar desde allí.
Además, no todos los tipos de objetos se mueven a la Papelera de reciclaje cuando se eliminan, e incluso los elementos que normalmente irían allí pueden eliminarse de manera que impidan que vayan a la Papelera de reciclaje. Por ejemplo, los objetos de política de grupo (GPO), que definitivamente necesita restaurar después de un desastre, no están cubiertos por la Papelera de reciclaje. E incluso los objetos eliminados que llegan a la Papelera de reciclaje permanecen allí sólo durante 30 días, después de los cuales se eliminan permanentemente. Por último, pero no menos importante, es difícil determinar qué necesita restaurar, ya que no hay un registro de cambios ni un informe de comparación que lo ayude a determinar qué objetos necesita recuperar.
En resumen, si bien la Papelera de reciclaje es ciertamente una forma útil de restaurar un objeto AD eliminado en algunos casos limitados, no es una copia de seguridad y ciertamente no debe confundirse con una estrategia de recuperación de bosques de Active Directory.
3. Planificación de restaurar manualmente los controladores de dominio desde la copia de seguridad
Como se señaló anteriormente, es posible restaurar los controladores de dominio desde la copia de seguridad manualmente, pero es un procedimiento extremadamente complejo y propenso a errores que puede tardar días o incluso semanas en completarse. Además, cometer errores o realizar pasos fuera de secuencia puede provocar una variedad de problemas graves, incluida la interrupción de la replicación entre controladores de dominio.
Además, si el proceso incluye la recuperación de Azure AD, los usuarios pueden terminar perdiendo atributos basados en la nube, como sus licencias de Office 365 y asignaciones de roles de aplicaciones, que son fundamentales para que puedan realizar su trabajo. Y dado que la mayoría de estos atributos no van a la Papelera de reciclaje de Azure AD, restaurarlos de manera oportuna es casi imposible con un enfoque manual.
En resumen, la restauración manual de los controladores de dominio desde la copia de seguridad simplemente no puede ofrecer la recuperación rápida del bosque de Active Directory que necesita para que su empresa vuelva a funcionar de manera oportuna y minimizar el daño causado por un desastre.
4. Contar con los equipos de Microsoft DART y Critical Response (CRSP)
Los equipos de Microsoft DART y CRSP pueden ayudarle a realizar la recuperación del bosque de Active Directory, pero esté preparado para pagar. Esto se debe a que le cobran por el tiempo que lleva hacer el trabajo y, como hemos visto, restaurar con herramientas y procesos nativos es un proceso que requiere mucho tiempo.
Además, tenga en cuenta que ni siquiera los expertos de Microsoft podrán restaurar su bosque si no ha creado copias de seguridad adecuadas y las ha mantenido a salvo de corrupción, eliminación y cifrado.
5. No tratar la recuperación como un componente vital de la ciberseguridad
Un plan sólido de ciberseguridad es fundamental para todas las organizaciones. Debe incluir estrategias para reducir la superficie de ataque mediante enfoques como evaluaciones de riesgos y gestión de rutas de ataque. Y requiere una auditoría en profundidad para detectar actividades sospechosas, análisis avanzado de amenazas y capacidades de respuesta rápida.
Pero recuerda que la recuperación también es fundamental para la ciberseguridad; de hecho, es uno de los pilares del marco de ciberseguridad (CSF) del NIST. Además, recuerde que su objetivo no es solo la ciberseguridad sino también la ciberresiliencia: permitir que su organización cumpla continuamente con sus objetivos o misión manteniendo el entorno de TI en funcionamiento tanto como sea posible, y haciéndolo volver a funcionar rápidamente cuando ocurra una interrupción. ocurrir. En consecuencia, invertir en la recuperación de bosques de Active Directory es tan necesario como cualquier otra parte de su estrategia de ciberresiliencia.
6. Restaurar AD desde una imagen aislada almacenada en la nube
Las instantáneas de VM (imágenes de una máquina virtual (VM) en un momento determinado) simplemente no son copias de seguridad adecuadas de Active Directory, sin importar dónde estén almacenadas. Su uso para la recuperación de bosques casi siempre generará problemas de coherencia de datos que son difíciles de resolver. Además, las imágenes en la nube no son mágicamente inmunes a los ciberataques, errores humanos, fallas y otras adversidades que podrían corromperlas o eliminarlas.
7. No proteger tus copias de seguridad
Los adversarios saben que la recuperación del bosque de Active Directory requiere buenas copias de seguridad, por lo que a menudo intentan eliminar, cifrar o corromper todas las copias de seguridad a las que pueden acceder para asegurarse de que su ataque cause el mayor daño posible. En consecuencia, es vital crear copias de seguridad inmutables que nadie pueda cambiar, ni deliberada ni accidentalmente. Además, asegúrese de que al menos algunas de sus copias de seguridad estén protegidas (almacenadas en algún lugar que no tenga conexión de red física y no sea accesible a través de la red) para que estén fuera del alcance de amenazas y malware.
Conclusión
Tener una estrategia integral y sólida de recuperación de bosques de Active Directory es vital para la ciberseguridad y la ciberresiliencia. Invertir en herramientas de calidad empresarial puede garantizar la precisión y acelerar drásticamente el proceso de recuperación, desde días o semanas hasta apenas unas horas. Permítanme dejarles una cita de Gartner Research:
“Si es posible, invierta en herramientas dedicadas para la recuperación de Active Directory, ya que las herramientas y procedimientos de Microsoft, junto con las capacidades limitadas de las herramientas de respaldo empresarial, a menudo no son adecuadas para su propósito. "
- Gartner,Inc., “Restaurar versus reconstruir: estrategias para recuperar aplicaciones después de un ataque de ransomware”, Nik Simpson y Ron Blair, 2 de marzo de 2022