Mejores prácticas de seguridad de PowerShell a nivel empresarial

Microsoft desarrolló Windows PowerShell para la automatización de tareas y la gestión de configuraciones. Se basa en el marco .NET; mientras que incluye un shell de línea de comandos y un lenguaje de secuencias de comandos. No ayuda a los usuarios a automatizar, pero también resuelve rápidamente tareas de administración complejas. A pesar de eso, muchos usuarios suelen creer que PowerShell es una herramienta utilizada por los piratas informáticos para las brechas de seguridad. Desafortunadamente, es cierto que PowerShell se usa mucho para las brechas de seguridad. Debido a esto, los usuarios con menos o ningún conocimiento técnico a menudo desactivan PowerShell. Sin embargo, la realidad es que el enfoque de seguridad de PowerShell puede brindar la mejor protección contra las infracciones de seguridad a nivel empresarial.

David das Neves, ingeniero de campo principal de Microsoft Alemania, menciona en una de sus publicaciones que el enfoque de seguridad de PowerShell es una forma poderosa de configurar la seguridad a nivel empresarial. De hecho, PowerShell es uno de los lenguajes más utilizados en GitHub, según el gráfico de clasificación de lenguajes de programación creado por RedMonk.

Comprender la seguridad de PowerShell

Muchos administradores de TI de todo el mundo utilizan Windows PowerShell. Es un marco de gestión de configuración y automatización de tareas de Microsoft. Con su ayuda, los administradores pueden realizar tareas administrativas en sistemas Windows locales y remotos. Sin embargo, recientemente, algunas organizaciones han estado evitando usarlo; especialmente para acceso remoto; sospechar vulnerabilidades de seguridad. Para aclarar esta confusión en torno a la herramienta, la ingeniera de campo premier de Microsoft, Ashley McGlone, publicó un blog que menciona por qué es una herramienta segura y no una vulnerabilidad.

Las organizaciones están considerando PowerShell como una vulnerabilidad

McGlone menciona algunas de las tendencias recientes en las organizaciones con respecto a esta herramienta. Algunas organizaciones prohíben el uso de la comunicación remota de PowerShell; mientras que en otros lugares InfoSec ha bloqueado la administración remota del servidor con él. También menciona que constantemente recibe preguntas sobre la seguridad de PowerShell Remoting. Varias empresas están restringiendo las capacidades de la herramienta en su entorno. La mayoría de estas empresas están preocupadas por la herramienta Remoting, que siempre está encriptada, puerto único 5985 o 5986.

Prácticas recomendadas de seguridad de PowerShell

McGlone describe por qué esta herramienta no es una vulnerabilidad pero, por otro lado, es muy segura. Menciona puntos importantes como que esta herramienta es una herramienta de administración neutral, no una vulnerabilidad. La comunicación remota de la herramienta respeta todos los protocolos de autenticación y autorización de Windows. Requiere la pertenencia al grupo de administradores locales de forma predeterminada.

Además, menciona por qué la herramienta es más segura de lo que las empresas piensan:

“Las mejoras en WMF 5.0 (o WMF 4.0 con KB3000850) hacen de PowerShell la peor herramienta elegida por un pirata informático cuando habilita el registro de bloques de secuencias de comandos y la transcripción de todo el sistema. Los piratas informáticos dejarán huellas dactilares en todas partes, a diferencia de las populares utilidades CMD”.

Debido a sus potentes funciones de seguimiento, McGlone recomienda PowerShell como la mejor herramienta para la administración remota. La herramienta viene con funciones que permiten a las organizaciones encontrar la respuesta a preguntas como quién, qué, cuándo, dónde y cómo para las actividades en sus servidores.

Además, proporcionó los enlaces a los recursos para obtener información sobre cómo proteger esta herramienta y usarla a nivel empresarial. Si el departamento de seguridad de la información de su empresa desea obtener más información sobre esta herramienta, McGlone proporciona un vínculo a Consideraciones de seguridad de comunicación remota de PowerShell. Esta es la nueva documentación de seguridad del equipo de PowerShell. El documento incluye varias secciones informativas, como qué es Powershell Remoting, su configuración predeterminada, aislamiento y cifrado de procesos y protocolos de transporte.

La publicación del blog menciona varias fuentes y enlaces para obtener más información sobre PowerShell. Puede obtener estas fuentes, incluidos los vínculos al sitio web de WinRMSecurity y un documento técnico de Lee Holmes aquí en los blogs de TechNet.

Seguridad de Windows PowerShell a nivel empresarial

Antes de configurar Windows PowerShell Security, es necesario conocer los conceptos básicos. Los usuarios deben usar la última versión de Windows PowerShell. El usuario debe tener en cuenta aquí que PowerShell Security debe configurarse con la última versión de Windows PowerShell. Si se trata de una versión inferior (como la versión 2 de PowerShell) puede hacer más daño que bien. Por lo tanto, se recomienda que los usuarios se deshagan de la versión 2 de PowerShell.

Además de la última versión de Windows PowerShell, los usuarios también deben optar por la última versión del sistema operativo. Para configurar PowerShell Security, Windows 11 o Windows 10 son los sistemas operativos más compatibles. Windows 11/10 viene con muchas funciones de seguridad. Por lo tanto, se recomienda que los usuarios migren sus máquinas Windows más antiguas a Windows 11/10 y evalúen todas las características de seguridad que se pueden usar.

ExecutionPolicy: Muchos usuarios no optan por el enfoque de seguridad de PowerShell y utilizan ExecutionPolicy como límite de seguridad. Sin embargo, como menciona David en su publicación, hay más de 20 formas de superar ExecutionPolicy incluso como usuario estándar. Por lo tanto, los usuarios deben configurarlo a través de GPO como RemoteSigned. ExecutionPolicy puede evitar que algunos piratas informáticos usen scripts de PowerShell de Internet, pero no es una configuración de seguridad completamente confiable.

Factores a considerar en el enfoque de seguridad de PowerShell

David menciona todos los factores importantes que deben tenerse en cuenta al configurar PowerShell Security a nivel empresarial. Algunos de los factores que cubre David son los siguientes:

Comunicación remota de PowerShell
Asegurar el acceso privilegiado
Modernizando el Medio Ambiente
Listas blancas/Firma/Idioma restringido/Applocker/Device Guard
Inicio sesión
ScriptBlockLogging
Registro extendido/WEF y JEA