¿Qué es la seguridad de Active Directory? Explicación de la seguridad de AD

¿Cuáles son las principales amenazas y técnicas de ataque contra Active Directory?

Estas son las principales amenazas y técnicas de ataque utilizadas contra Active Directory:

Ataques basados en cuentas

Los ataques de Active Directory (AD) basados en cuentas irán tras sus usuarios e intentarán comprometer sus credenciales. Así es como funcionan los principales:

Golden Ticket (T1558.001)

Los ataques Golden Ticket  son una subtécnica de Steal or Forge Kerberos Tickets: Golden Ticket (T1558.001). Pueden comprometer redes enteras y otorgar acceso no autorizado a recursos del dominio.

Opera con herramientas como Impacket y Mimikatz para evadir la detección, y manipula el protocolo de autenticación Kerberos dentro de las redes Windows.

Silver Ticket

Los ataques Silver Ticket funcionarán de una manera diferente. Comprometen sus credenciales de usuario y abusan del diseño del protocolo Kerberos. Los ataques Silver Ticket permitirán al atacante falsificar tickets de concesión de servicio (TGS) para servicios específicos. Vienen cifrados con un hash de contraseña y estos tickets TGS pueden emitirse para esos servicios. Los ataques Silver Ticket básicamente ofrecen acceso sigiloso y persistente a los recursos, y solo requieren el hash de contraseña de la cuenta de servicio para acceder a ellos.

Cuentas de servicio con privilegios excesivos

Las cuentas no humanas que tienen permisos y controles excesivos se denominan cuentas con privilegios excesivos en Active Directory. Pueden causar filtraciones de datos, robo de credenciales e interrupciones operativas.  Cualesquiera que sean los permisos que tengan, son más de los necesarios en las redes.

Robo de credenciales

Los ataques de robo de credenciales de Active Directory (AD) robarán nombres de usuario, contraseñas y otros datos de autenticación. Así es como funcionan:

Pass-the-Hash (T1550.002)

Pass-the-Hash (PtH) (MITRE T1550.002) es un ataque de movimiento lateral en el que el adversario robará el hash de su contraseña a través de un sistema comprometido. Lo usará para autenticarse en otro sistema como un usuario legítimo.

Pass-the-Ticket (T1550.003)

Pass-the-Ticket (PtT) (MITRE T1550.003) reutilizará tickets Kerberos robados. para obtener acceso no autorizado a recursos en sus redes. Los atacantes usarán Mimikatz para extraer TGT de la memoria de su sistema. Inyectarán estos tickets robados en sus propias sesiones y suplantarán a usuarios legítimos para obtener acceso a servicios exclusivos.

Kerberoasting (T1558.003)

Kerberoasting (MITRE T1558.003) es una técnica de recopilación y descifrado de cuentas de servicio para cuentas que están fuera de línea. Cualquier usuario autenticado del dominio puede hacer esto. No hay riesgo de ser detectado en la red y los actores de amenazas pueden evitar las políticas de bloqueo de cuentas, ya que es un ataque fuera de línea. Mientras los SPN estén vinculados a cuentas de usuario, usted será vulnerable.

AS-REP Roasting

Este es un ataque de volcado de credenciales que explota configuraciones incorrectas en su Active Directory. El atacante primero encontrará cuentas con la configuración 'Do not require Kerberos preauthentication' habilitada. Enviará una solicitud de autenticación (AS-REQ) a un controlador de dominio en nombre de un usuario vulnerable. No es necesario proporcionar ninguna contraseña, ya que la preautenticación está habilitada, y así es como el atacante obtiene a cambio una respuesta válida del servidor de autenticación (AS-REP) que contiene el Ticket-Granting Ticket (TGT).

Explotación del servicio de directorio

Estas son algunas formas en que los atacantes pueden explotar los servicios de Active Directory:

DCsync/DCShadow (T1003.006/T1528)

El ataque DCSync vuelca credenciales que explotan el proceso de replicación de AD. El atacante puede suplantar controles de dominio y solicitar a otro que replique datos confidenciales de contraseñas directamente para él.

Los ataques DCShadow introducirán cambios maliciosos gracias a privilegios de nivel superior obtenidos por el atacante. Es una excelente técnica de persistencia sigilosa y puede obligar a máquinas comprometidas a hacerse pasar por controladores de dominio no autorizados en las redes.

Explotación de AD Certificate Services (rutas de ataque ESC1–ESC8)

Las rutas de ataque ESC1 implican el uso de plantillas de certificados vulnerables para explotar configuraciones incorrectas. El atacante puede usar herramientas como Certipy para identificar estas plantillas y solicitar certificados en nombre de los usuarios. Puede autenticarse como usuarios privilegiados y lanzar más ataques usando esos certificados.

ESC8 (NTLM Relay) aprovechará los servicios web de inscripción de AD CS mal configurados. Utilizan autenticación NTLM en lugar de HTTP y pueden obligar a cuentas privilegiadas a autenticarse en servicios maliciosos mediante la retransmisión de hashes NTLM.

Abuso de relaciones de confianza y delegación

Los atacantes pueden abusar de las relaciones de confianza en entornos multidominio que permiten a los usuarios obtener acceso a otros recursos. Pueden escalar privilegios en dominios de confianza y comprometer máquinas con delegaciones no restringidas.  La delegación restringida basada en recursos (RBCD) es otra forma de entrar y configurar incorrectamente servicios que se ejecutan en sistemas para escalar sus privilegios.

Ataques de replicación

Los servicios de replicación de Active Directory pueden introducir cambios maliciosos e intentar robar credenciales explotando el directorio. Así es como funcionan los ataques de replicación:

• Solicitudes de replicación no autorizadas (DCsync): Permite a un atacante suplantar a un controlador de dominio (DC) y solicitar datos confidenciales.
• Controlador de dominio en la sombra (DCShadow): Es una técnica de alto sigilo en la que el atacante registrará un DC no autorizado. El no autorizado introducirá cambios maliciosos en el directorio mediante la replicación normal.
• Persistencia mediante abuso de AdminSDHolder/ACL: El atacante obtendrá acceso persistente a través de una cuenta privilegiada comprometida. Modifica los permisos en el objeto AdminSDHolder. También revertirá automáticamente los cambios manuales en los permisos de los grupos protegidos.

Cómo fortalecer Active Directory: mejores prácticas y lista de verificación

Aquí está su lista de verificación de fortalecimiento de seguridad de Active Directory. También enumera mejores prácticas de seguridad de Active Directory que puede seguir:

• Las cuentas administrativas deben restringir el acceso mediante la gestión de acceso privilegiado. Elimine los permisos innecesarios y aplique el modelo de derechos de acceso de privilegio mínimo. Evite la proliferación de credenciales en todo su entorno de dominio auditando las cuentas con regularidad.
• Los jump servers pueden proporcionar puntos de acceso controlados y evitar el movimiento lateral durante posibles brechas. Cree segmentación de red entre los usuarios habituales y las tareas de administración del dominio. Asegúrese de proteger sus estaciones de trabajo de administración y de aplicar tiering.
• Implemente la firma LDAP porque evita ataques de intermediario, mientras que el enlace de canal detiene los intentos de retransmisión de credenciales contra sus servicios de directorio.
• Establezca políticas de contraseñas sólidas y rotación automatizada de contraseñas para las cuentas de servicio para reducir las superficies de ataque. Cambie las contraseñas con frecuencia y asegúrese de que sean únicas para dificultar que los actores de amenazas ejecuten ataques basados en credenciales.
• Certificate Services necesitará plantillas y controles de inscripción adecuados para reforzarlo. Deberá configurar cuidadosamente las confianzas de Federation para evitar la escalada de privilegios entre dominios y los intentos de acceso no autorizado a recursos.
• Revise sus estaciones de trabajo, aplicaciones, servidores miembro y repositorios de datos para asegurarse de no haber otorgado privilegios excesivos a cuentas de usuario. Comience a usar hosts de administración seguros y revise también su seguridad física, además de la seguridad del sistema y de la red.
• Puede establecer líneas base de configuración de seguridad para sus controladores de dominio y aplicarlas con objetos de directiva de grupo (GPO).  Use políticas de auditoría avanzadas y clasifique sus datos de AD.

Cómo detectar ataques a Active Directory: señales de monitoreo y detección de amenazas

Hay muchas señales que observar en los entornos de Active Directory que pueden ayudarle a monitorear y detener ataques en seco. Esto es lo que debe buscar:

Registros y telemetría

Recopile registros de eventos de los controladores de dominio. Revise las solicitudes de tickets Kerberos y los informes de DC Diagnostics para detectar patrones inusuales. Vigile los picos en las solicitudes de ticket‐granting-ticket o las autenticaciones fallidas repetidas desde un único host. Correlacione la telemetría entre servicios para identificar reconocimiento o abuso de privilegios.

Herramientas/analítica

Use herramientas de mapeo de rutas de ataque y motores de detección de anomalías para visualizar cómo fluyen las credenciales por su red. Las plataformas de monitoreo de red rastrean el tráfico Este-Oeste e identifican llamadas SMB o RPC inusuales; pueden revelar movimiento lateral oculto.

Indicadores de compromiso

Busque SPN que aparezcan en hosts inesperados, tickets Kerberos reutilizados en varias cuentas y cambios repentinos de grupo. Debe marcar cualquier cuenta cuyos derechos de acceso cambien sin un flujo de trabajo aprobado o cualquier ticket emitido fuera del horario laboral habitual.

Cómo responder y recuperarse después de una brecha de Active Directory

Las amenazas a Active Directory pueden causar estragos en su organización cuando se dejan sin control. Así es como debe responder y recuperarse después de una brecha de seguridad de Active Directory:

Debe aislar de inmediato cualquier cuenta comprometida para evitar más daños. Revoque sus tickets y restablezca los límites de contraseñas durante el análisis forense. Debe preservar cualquier evidencia que encuentre para una investigación adicional y la planificación de la recuperación.

También necesita restaurar sus sistemas. Haga copias de seguridad limpias y céntrese en la recuperación de la base de datos NTDS. El análisis forense puede ayudarle a identificar técnicas de ataque a Active Directory, vectores y sistemas comprometidos antes de volver a poner los servicios en línea de forma segura.

El refuerzo posterior al incidente debe aplicar las lecciones aprendidas de la brecha. Cambie sus configuraciones y realice monitoreo adicional para prevenir ataques similares mientras mejora la postura general de seguridad y las capacidades de detección de su organización.

¿Qué herramientas y tecnologías mejoran la seguridad de Active Directory?

Estas son algunas herramientas y tecnologías que pueden mejorar su seguridad de Active Directory:

Tecnologías de SIEM/EDR/Identity Threat Detection

Los sistemas de gestión de eventos e información de seguridad recopilan registros de autenticación de los controladores de dominio y analizan patrones de comportamiento en busca de indicios de actividad sospechosa, como robo de credenciales o elevación de privilegios. Los sistemas de Endpoint Detection and Response analizan proactivamente las estaciones de trabajo en busca de infecciones de malware, así como intentos de movimiento lateral, mientras que los sistemas de detección de amenazas de identidad analizan anomalías de autenticación en su entorno híbrido. Estos sistemas correlacionan eventos de múltiples fuentes en busca de indicios de amenazas persistentes avanzadas.

Software de gestión de rutas de ataque cibernético + gestión de identidad/privilegios

El software de gestión de acceso privilegiado protege las credenciales de administrador en bóvedas cifradas y proporciona acceso justo a tiempo con flujos de trabajo de aprobación automatizados. Estas plataformas modelan las posibles superficies de ataque en todo su entorno, al tiempo que exigen principios de privilegio mínimo con rotación automatizada de contraseñas de cuentas de servicio. Productos como SentinelOne Singularity™ Identity Detection & Response también proporcionan prevención de la proliferación de credenciales mediante la gestión de cuentas privilegiadas con supervisión en tiempo real de la actividad de las sesiones.

Monitoreo, automatización y  Threat Hunting

Los controles de monitoreo de cambios supervisan los cambios en objetos de Active Directory, membresía de grupos y permisos con alertas en tiempo real. Los sistemas automatizados reconocen la deriva de configuración, identifican cuentas inactivas y destacan patrones de autenticación anómalos que pueden ser indicativos de compromiso. Las tecnologías de Threat Hunting integran señales de identidad con datos de red y endpoints para identificar amenazas avanzadas que escapan a los controles de seguridad convencionales.

Errores comunes y configuraciones incorrectas ponen en riesgo a Active Directory

Los errores frecuentes y las configuraciones incorrectas ponen en peligro la seguridad de Active Directory. LDAP abierto, contraseñas débiles, exceso de membresía en grupos privilegiados, confianzas mal configuradas, cuentas inactivas, etc.

Muchas organizaciones dejan los canales LDAP sin firmar. Esto crea oportunidades para la interceptación de credenciales y ataques de retransmisión durante los procesos de autenticación. Las políticas de contraseñas débiles, combinadas con una membresía excesiva en los grupos Domain Admins, amplían innecesariamente las superficies de ataque. Las relaciones de confianza mal configuradas entre dominios permiten la escalada de privilegios, mientras que las cuentas inactivas proporcionan puertas traseras persistentes que evaden los sistemas de monitoreo normales. Sin ciclos de revisión regulares, las cuentas de servicio a menudo pueden obtener permisos excesivos.

Tendencias y riesgos emergentes en la seguridad de Active Directory

Esto es lo que debe vigilar:

Riesgos de integración híbrida de AD + Azure AD

Las implementaciones de nube híbrida por parte de las organizaciones crean nuevas superficies de ataque, ya que los actores de amenazas explotan brechas de sincronización entre las infraestructuras de identidad locales y en la nube. Las implementaciones configuradas de forma insuficiente de Azure AD Connect y también de las confianzas de federación de ADFS crean oportunidades de escalada de privilegios en ambas infraestructuras. Los atacantes consideran los servicios de sincronización de identidad como un medio para atacar al mismo tiempo las credenciales locales y en la nube.

Amenazas a la identidad en la nube, amenazas a la cadena de suministro, tácticas de adversarios con IA

Las amenazas cibernéticas avanzadas usan algoritmos de aprendizaje automático para analizar listas de credenciales robadas, automatizando así métodos de ataque sofisticados como password spraying y credential stuffing. Los compromisos de la cadena de suministro se dirigen cada vez más a administradores de identidad y autoridades de certificación, mientras que las fuerzas de amenazas atacan principales de servicio en la nube con privilegios excesivos e identidades de aplicaciones que tienen demasiados privilegios.

Cambios de políticas/gobernanza y presiones regulatorias

Las normas de cumplimiento actuales exigen cero privilegios permanentes, así como monitoreo continuo de identidades con pistas de auditoría completas de cada actividad privilegiada. Las empresas deben implementar modelos de acceso just-in-time con separación de funciones y revisiones de acceso automatizadas. La nueva legislación impulsa la adopción de tecnologías de gobernanza de identidades que exigen autenticación basada en riesgos, así como verificación continua del cumplimiento.

Métricas de seguridad y KPI de Active Directory que debe seguir

Estas son las métricas de seguridad y KPI clave de Active Directory que debe seguir:

• Tiempo medio de detección: Debe medir la velocidad a la que su equipo de seguridad descubre amenazas potenciales desde el compromiso inicial hasta la detección, con una respuesta óptima de detección dentro de 30 minutos a 4 horas.
• Tiempo medio de respuesta: Esto mide el tiempo desde la detección de la amenaza hasta la contención y remediación completas. Ambos ayudan a medir la madurez de sus procesos de respuesta a incidentes y su cobertura de detección de controladores de dominio y sistemas de autenticación.
• Exposición de cuentas privilegiadas: Lleve un control del total agregado de cuentas que tienen derechos administrativos privilegiados dentro de su dominio mediante el monitoreo de cambios de membresía de grupos de alto riesgo como Domain Admins y Enterprise Admins.  Deberá rastrear las cuentas privilegiadas no utilizadas a las que no se haya accedido dentro de un determinado período, los intentos fallidos de inicio de sesión contra cuentas de administrador, así como la duración de las sesiones privilegiadas, además de indicaciones de uso de cuentas privilegiadas fuera del horario laboral.
• Uso de protocolos heredados: Monitoree los intentos de autenticación que usan protocolos obsoletos como NTLM, LDAP sin firma y versiones anteriores de TLS que permiten ataques de retransmisión de credenciales..
• Cobertura de auditoría: Rastree el número de controladores de dominio con registro completo habilitado para eventos de autenticación, cambios de privilegios y modificaciones de políticas. Deberá identificar brechas en la recopilación y retención de registros en toda su infraestructura de AD para evitar puntos ciegos.
• Número de cuentas obsoletas: Revise las cuentas de usuario y de equipo que no se hayan autenticado dentro de los plazos definidos, normalmente 90 días para usuarios y 30 días para equipos. Monitoree las actividades de limpieza y la proporción de cuentas activas frente a inactivas en todo su entorno de dominio.

Seguridad de Active Directory con SentinelOne

Si quieres saber cómo proteger Active Directory, aquí tienes una solución:

Singularity™ Identity Detection & Response puede ayudarte a poner fin al uso indebido de credenciales mediante defensa de infraestructura en tiempo real para Active Directory y defensa para Active Directory y Entra ID. Defiende los controladores de dominio y los activos unidos al dominio frente a adversarios que buscan obtener privilegios y moverse de forma encubierta.

Puedes detectar ataques a AD en toda la empresa que surjan de todos los sistemas gestionados o no gestionados en cualquier SO, desde cualquier tipo de dispositivo, incluidos IoT y OT. Puedes alejar a los atacantes de las joyas de la corona de AD y, en su lugar, desviarlos por callejones sin salida con señuelos e información falsa. Puede ocultar y denegar el acceso a datos almacenados localmente y en la nube, al mismo tiempo que dificulta enormemente el movimiento lateral de los atacantes.

Puedes:

• Mejorar la seguridad de Active Directory y obtener visibilidad y conocimiento de la actividad de los atacantes dirigida a servidores de dominio críticos
• Obtener visibilidad de los compromisos de cuentas de servicio que permiten a los atacantes elevar privilegios en los endpoints.
• Identificar configuraciones erróneas de listas de control de acceso y delegación que otorgan a las cuentas derechos elevados sin la pertenencia adecuada.
• Proteger cuentas de usuario, servicio y sistema de alto valor frente al compromiso por parte de atacantes.
• Lograr un tiempo de obtención de valor rápido y obtener cobertura completa para Active Directory local, Entra ID y entornos multinube

Singularity™ Identity Detection & Response respalda tu programa Zero Trust y puede limitar la confianza implícita a aplicaciones y recursos de datos con funciones de gestión de acceso controlado. Identificará exposiciones de identidad en endpoints, AD y la nube para reducir tu superficie de ataque general. Puede detectar ataques de identidad desde endpoints o controladores de dominio y alertar sobre violaciones de la confianza de identidad.

Comprenderás la ruta hacia una brecha y experimentarás visualmente mapas topográficos que muestran cómo los adversarios podrían avanzar en sus ataques de un sistema a otro. Al usarlo, puedes descubrir elementos ocultos en toda la red que permiten el movimiento lateral, incluidas superficies expuestas, activos de credenciales huérfanos y violaciones de políticas. Puedes usar nuestro AI-SIEM  para el análisis de registros y SentinelOne también tiene Singularity™ Endpoint para la seguridad de endpoints.

Reduzca el riesgo de identidad en toda su organización

Detecte y responda a los ataques en tiempo real con soluciones integrales para Active Directory y Entra ID.

Demostración

Conclusión

La seguridad de Active Directory no es un enfoque único para todos. Es una combinación de medidas, herramientas y tecnologías, además de prácticas que usarás para reforzar los entornos de Active Directory. Ve paso a paso y comienza con lo básico. Revisa tu infraestructura de seguridad existente, las cuentas de usuario y realiza una auditoría. Luego avanza a partir de ahí.

Si estás buscando las mejores herramientas de seguridad para Active Directory, puedes ponerte en contacto con el equipo de SentinelOne. Nuestros servicios pueden ayudarte.