Active Directory (AD) es un potente servicio de autenticaci\u00f3n y directorio utilizado por organizaciones de todo el mundo. Con esta ubicuidad y poder viene el potencial de abuso. Las amenazas internas ofrecen algunos de los mayores potenciales de destrucci\u00f3n. Muchos usuarios internos tienen acceso y visibilidad excesivos en la red interna.<\/p>\n
El nivel de acceso y confianza de los internos en una red conduce a vulnerabilidades \u00fanicas. La seguridad de la red a menudo se enfoca en mantener alejado a un actor de amenazas, no en la seguridad de los usuarios existentes y las posibles vulnerabilidades. Mantenerse al tanto de las amenazas potenciales significa protegerse contra las amenazas internas y externas.<\/p>\n
Vulnerabilidades de directorio activo<\/h2>\n
Desde el exterior, un dominio AD correctamente configurado ofrece una soluci\u00f3n segura de autenticaci\u00f3n y autorizaci\u00f3n. Pero con la ingenier\u00eda social compleja y los ataques de correo electr\u00f3nico de phishing, un usuario de AD existente puede verse comprometido. Una vez dentro, los actores de amenazas tienen muchas opciones para atacar Active Directory.<\/p>\n
Dispositivos inseguros<\/h3>\n
Con el crecimiento de “Bring Your Own Device” (BYOD), existe un mayor soporte de dispositivos y una mayor complejidad de seguridad. Si los usuarios conectan un dispositivo que ya est\u00e1 comprometido o tiene medidas de seguridad inadecuadas, los atacantes tienen una forma sencilla de acceder a la red interna.<\/p>\n
En el pasado, un atacante tendr\u00eda que colarse para instalar un dispositivo malicioso. Ahora, sin embargo, un usuario con un dispositivo comprometido hace el trabajo duro por ellos. Adem\u00e1s, muchos trabajadores tambi\u00e9n pueden conectar sus tel\u00e9fonos inteligentes o tabletas a la red. Esto significa que, en lugar de una sola computadora port\u00e1til emitida por el trabajo, puede tener dos o tres dispositivos de usuario que no est\u00e1n sujetos a las mismas medidas de seguridad.<\/p>\n
Acceso sobreaprovisionado<\/h3>\n
Agregar complejidad a la seguridad interna es el problema com\u00fan del acceso sobreaprovisionado. Las organizaciones a menudo tienden a ampliar el acceso en lugar de restringirlo. Un solo acto de conveniencia para resolver un problema puede tener la consecuencia no deseada de crear un vector de ataque potencial, que luego a menudo se olvida.<\/p>\n
Para aquellos usuarios que tambi\u00e9n son administradores, no siempre existe una cuenta “Administrativa” altamente segura creada para separar los diferentes niveles de acceso. De esta manera, la conveniencia de permitir tareas administrativas a trav\u00e9s de una cuenta de usuario est\u00e1ndar abre la puerta a un abuso desenfrenado debido a una cuenta comprometida y con muchos privilegios.<\/p>\n
Pol\u00edticas de contrase\u00f1as d\u00e9biles<\/h3>\n
Muchas organizaciones, especialmente las m\u00e1s grandes, pueden tener pol\u00edticas de contrase\u00f1as m\u00e1s d\u00e9biles debido a las diversas aplicaciones que admiten. No todas las aplicaciones son iguales y algunas no son compatibles con los \u00faltimos est\u00e1ndares de seguridad. Ejemplos de esto incluyen aquellos que no admiten la firma LDAP o TLS sobre LDAP con LDAPS.<\/p>\n
Una pol\u00edtica de contrase\u00f1a d\u00e9bil junto con la falta de autenticaci\u00f3n de m\u00faltiples factores facilita el descifrado de un hash recuperado a trav\u00e9s de una t\u00e9cnica como Keberoasting a trav\u00e9s de una cuenta interna privilegiada. Esto contrasta marcadamente con una pol\u00edtica de contrase\u00f1as s\u00f3lidas y la autenticaci\u00f3n de m\u00faltiples factores, lo que hace que sea mucho m\u00e1s dif\u00edcil obtener acceso a un sistema o red mediante el descifrado de un hash.<\/p>\n
Mejores pr\u00e1cticas para proteger Active Directory<\/h2>\n
Para asegurar Active Directory, hay muchas mejores pr\u00e1cticas a seguir. Basado en los temas de seguridad descritos anteriormente, aqu\u00ed hay varios:<\/p>\n
Es esencial capacitar a los usuarios para identificar posibles correos electr\u00f3nicos de phishing y ataques de ingenier\u00eda social. Adem\u00e1s, se debe disuadir a los usuarios de hacer clic en los archivos adjuntos, y las organizaciones deben usar sistemas que busquen contenido malicioso. Estas medidas pueden ayudar a reducir el riesgo de un ataque exitoso.<\/p>\n
Pero supongamos que AD ya se ha visto comprometida. Una organizaci\u00f3n puede y debe analizar en profundidad los permisos asignados a los usuarios y sistemas activos y no activos o dados de baja. \u00bfHay formas de separar los permisos de las cuentas de usuario t\u00edpicas y asignarlos a cuentas administrativas especiales con un nivel de seguridad m\u00e1s alto?<\/p>\n
Habilitar la autenticaci\u00f3n multifactor con una pol\u00edtica de contrase\u00f1a segura es esencial para crear algunas de las protecciones m\u00e1s s\u00f3lidas disponibles. Dado que muchos ataques de ingenier\u00eda social se basan en aprender y comprometer los sitios externos de un usuario donde una contrase\u00f1a reutilizada podr\u00eda ofrecer un punto de apoyo, una organizaci\u00f3n debe exigir contrase\u00f1as seguras.<\/p>\n
Mantener la seguridad de Active Directory con la pol\u00edtica de contrase\u00f1as de Specops<\/h2>\n
La base de muchas de las recomendaciones de seguridad es una pol\u00edtica de contrase\u00f1a segura. Las configuraciones predeterminadas de Active Directory y las herramientas de usuario son inadecuadas. Para asegurarse de que los usuarios cumplan con las pol\u00edticas de contrase\u00f1as como NIST, CJIS y PCI, y bloqueen las contrase\u00f1as d\u00e9biles, las organizaciones pueden usar Pol\u00edtica de contrase\u00f1as de Specops<\/a>. Brinda a su organizaci\u00f3n la capacidad de crear listas de diccionarios personalizadas y bloquear nombres de usuario, nombres para mostrar, palabras espec\u00edficas, caracteres consecutivos, contrase\u00f1as incrementales y reutilizar una parte de la contrase\u00f1a actual; mientras proporciona retroalimentaci\u00f3n en tiempo real para los usuarios. <\/p>\n El complemento Protecci\u00f3n de contrase\u00f1a violada mejora a\u00fan m\u00e1s la seguridad al alertar a los usuarios en tiempo real si su contrase\u00f1a elegida est\u00e1 en una lista de contrase\u00f1as violadas. Tambi\u00e9n proporciona un an\u00e1lisis en profundidad para detectar m\u00e1s de 3 mil millones de contrase\u00f1as comprometidas en cuentas en todo un dominio de AD.<\/p>\n Aunque puede ser imposible protegerse contra todas las amenazas, al analizar en profundidad las estructuras de permisos existentes, los usuarios activos y la implementaci\u00f3n t\u00e9cnica de Active Directory, una organizaci\u00f3n puede recorrer un largo camino para proteger su entorno. Con Pol\u00edtica de contrase\u00f1as de Specops<\/a>lleve su pol\u00edtica de contrase\u00f1as al siguiente nivel a trav\u00e9s de la Protecci\u00f3n de contrase\u00f1a violada y exija contrase\u00f1as \u00fanicas y seguras en todos los \u00e1mbitos.<\/p>\n <\/p>\nProtecci\u00f3n de Active Directory de amenazas internas<\/h2>\n