Che cos'è l'hardening di Active Directory? Importanza e best practice

Active Directory è l'aspetto più importante di un'organizzazione. È importante assicurarsi che le persone giuste abbiano accesso alle risorse aziendali. Poiché AD è essenziale per un'infrastruttura IT, diventa anche uno dei vettori di attacco più attraenti. Ecco perché l'hardening di Active Directory è importante. L'hardening è il processo di rendere un sistema più sicuro riducendo la sua superficie di attacco agli attaccanti reali e aumentando le sue difese.

Con il processo di hardening di Active Directory, si intende che le organizzazioni garantiscano che il loro AD sia sicuro e non le esponga a casi di accesso non autorizzato o a rischi di altro tipo legati alla cybersecurity, che mettono a rischio le informazioni sensibili e consentono quindi ai processi aziendali di continuare senza interruzioni.

Comprendere Active Directory

Agisce come una posizione centrale in cui identità e risorse vengono fornite o gestite all'interno di un'organizzazione (domini, rete) che comprende i computer degli utenti, tra le altre periferiche. Con AD, gli amministratori possono semplificare le attività di gestione e applicare criteri di sicurezza concentrandosi su ciò di cui gli utenti hanno bisogno in termini di risorse.

Diversi componenti di Active Directory

Active Directory è costituito da diversi componenti chiave che insieme forniscono un'infrastruttura completa di gestione delle identità e degli accessi.

1. Dominio: Un raggruppamento logico di oggetti in Active Directory che condividono un database di directory comune. Nome univoco per ciascun dominio, che aiuta a trovarlo sulla rete. Ad esempio, un dominio per un'organizzazione, per esempio, example.com.
2. Albero: Un albero è costituito da uno o più domini che sono stati raggruppati poiché condividono parte dello stesso namespace. Ad esempio, se example.com è un dominio, sales-example.com può essere un dominio figlio.
3. Foresta:  Una foresta è un insieme di uno o più alberi che non condividono necessariamente namespace contigui. La foresta è il confine di sicurezza di livello più alto in Active Directory e contiene impostazioni di schema e configurazione condivise tra tutti i domini. Una foresta può includere uno o più alberi di entrambi i tipi e gli alberi in una foresta possono anche essere collegati tra loro da relazioni di trust per consentire l'accesso alle risorse tra domini.
4. Unità organizzative (OU): Le unità organizzative (OU) sono contenitori all'interno di un dominio utilizzati per organizzare gli oggetti. Le OU sono contenitori per utenti, gruppi, computer e altre OU. Allo stesso tempo, questa struttura offre agli amministratori un certo livello di controllo su parti o OU che hanno delegato a vari team e reparti al fine di creare vincoli di criterio basati su autorizzazioni più granulari.
5. Controller di dominio (DC): Un controller di dominio è un server che accetta richieste di autenticazione dai client all'interno dello stesso e di altri domini. Dispone di un proprio database di Active Directory, chiamato anche partizione di directory del dominio, che include tutti gli oggetti nel dominio. I controller di dominio replicano questo database tra loro in modo che tutti abbiano copie coerenti disponibili.

Come funziona Active Directory

Active Directory si basa su alcuni protocolli e funzionalità che consentono l'autenticazione, l'autorizzazione e la gestione delle risorse di rete. Vediamoli.

Protocolli di autenticazione

1. Kerberos: Kerberos è il principale protocollo di autenticazione utilizzato in Active Directory. Si concentra sulla sicurezza di rete per un'autenticazione forte. Quando un utente accede al sistema, Kerberos emette un TGT (Ticket Granting Ticket) affinché possa richiedere ticket di sessione per singoli servizi. Questa procedura riduce la dipendenza dalla trasmissione di password sul sistema e, di conseguenza, aiuta la sicurezza.
2. NTLM (NT LAN Manager): Questo è un protocollo di autenticazione legacy con cui Kerberos in genere deve interoperare, quindi non c'è molta scelta. NTLM utilizza l'autenticazione challenge-response, che in realtà non è affatto sicura (da evitare quando possibile), e il warm-up di Kerberos non deve avere fallback a NTLM.

Ruolo dei criteri di gruppo

I criteri di gruppo sono uno strumento molto più potente e possono essere utilizzati per applicare impostazioni o configurazioni specifiche per gli utenti così come per i sistemi all'interno del dominio. Possono essere utilizzati per configurare quasi qualsiasi impostazione, incluse le opzioni di sicurezza o il software che viene installato e quali impostazioni compaiono dove nell'interfaccia utente.

I criteri di gruppo vengono applicati tramite Group Policy Objects (GPO) che possono essere associati a domini, OU o siti. I GPO possono essere utilizzati dagli amministratori per imporre determinati requisiti di sicurezza come l'applicazione della complessità delle password, i criteri di blocco dell'account e le restrizioni software. Questa gestione centralizzata garantisce che standard uniformi siano rispettati in modo uniforme in tutta l'organizzazione.

L'importanza dell'hardening di Active Directory

Un AD non sicuro può avere gravi conseguenze per un'azienda. AD è una miniera d'oro per gli hacker quando non è configurato in modo sicuro, motivo per cui l'hardening di Active Directory è importante. I possibili risultati includono:

1. Violazioni dei dati: Gli hacker con accesso ad Active Directory possono utilizzare credenziali utente rubate per ottenere accesso a dati privati, con conseguenti enormi violazioni dei dati. In tali casi, le informazioni riservate delle aziende possono essere divulgate.
2. Attacco ransomware: Un Active Directory non protetto può consentire a un attaccante di distribuire ransomware nella rete. Dopo aver ottenuto un punto d'appoggio, possono crittografare file importanti e chiedere un pagamento per l'accesso. In effetti, ciò può avere un impatto sulle operazioni di qualsiasi azienda, ma comporta anche direttamente potenziali perdite finanziarie e danni alla reputazione.
3. Interruzione operativa: Un Active Directory compromesso può portare a una sospensione delle operazioni aziendali. Gli attaccanti possono potenzialmente assumere il controllo degli account utente o manipolare le autorizzazioni per negare l'accesso alle risorse necessarie, causando tempi di inattività e una perdita di produttività per le organizzazioni colpite.
4. Perdita finanziaria: L'effetto diretto che una violazione della sicurezza ha sulla tua organizzazione è la perdita di denaro. La risposta agli incidenti, i costi di ripristino ed essere colpiti da spese legali e forse sanzioni per la non conformità alle normative sulla protezione dei dati potrebbero essere spese che un'organizzazione dovrebbe affrontare una volta compromessa.
5. Implicazioni normative: Diversi settori sono tenuti a mantenere ambienti sicuri quando sono coinvolti dati sensibili. La non conformità derivante da una violazione dovuta alla compromissione della sicurezza di Active Directory potrebbe comportare pesanti sanzioni e azioni legali.

Checklist per l'hardening di Active Directory

Alla luce dei fatti, è importante proteggere l'ambiente IT di un'organizzazione e rafforzare adeguatamente le aree di amministrazione di Active Directory (AD). Quindi, ecco una checklist dettagliata per l'hardening di Active Directory che incorpora spiegazioni per ciascun elemento.

1. Accesso con privilegi minimi

Ridurre l’uso di diritti di accesso eccessivamente permissivi e seguire il principio del privilegio minimo dovrebbe essere un requisito nella sicurezza di AD. Questo principio afferma che gli utenti finali dei sistemi dovrebbero avere solo il livello di accesso necessario per svolgere le proprie funzioni lavorative.

Per fare ciò, le aziende dovranno iniziare identificando tutti gli account che dispongono di diritti amministrativi e rivalutare quali siano necessari. Gli account amministrativi devono essere isolati dallo spazio utente normale utilizzando credenziali di accesso diverse. Inoltre, Role-Based Access Control (RBAC) tramite assegnazioni può semplificare l’assegnazione dei permessi ai ruoli designati all’interno dell’organizzazione.

2. Verificare regolarmente i permessi

È fondamentale per la sicurezza di Active Directory che i permessi vengano verificati regolarmente. Le aziende dovrebbero eseguire audit dei permessi per esaminare i permessi correnti, ad esempio gli account utente e le relative appartenenze ai gruppi, nonché i diritti di accesso, in modo che solo gli utenti autorizzati dispongano dei permessi corretti.

Le organizzazioni devono inoltre condurre audit regolari, non solo sui titolari degli account che accedono ai dati dell’organizzazione, ma anche un controllo successivo sulle azioni amministrative. Ad esempio, ciò può includere la verifica dei log per rilevare modifiche effettuate da chi dispone di diritti elevati e così via. Le organizzazioni possono rilevare tempestivamente possibili comportamenti fraudolenti per mitigare i rischi monitorando l’attività amministrativa.

3. Garantire un’autenticazione sicura

I meccanismi di autenticazione sicuri sono quindi fondamentali per la protezione di Active Directory. Un modo per farlo è garantire Multi-Factor Authentication (MFA) per tutti gli utenti, in particolare gli amministratori. L’MFA richiede due o più forme di verifica dell’identità per accedere agli account utente, creando così un ulteriore livello di sicurezza. Oltre all’MFA, le aziende dovrebbero adottare una solida policy di applicazione delle password.

Le aziende potrebbero anche voler applicare policy di blocco dell’account per proteggersi dagli attacchi brute-force. Imporre agli utenti password più robuste e impostare soglie per i tentativi di accesso non riusciti, che possono bloccare temporaneamente gli account (impedendo agli hacker di accedere a un account provando un elenco di possibili password). Naturalmente, questo deve essere bilanciato con l’esigenza di non bloccare involontariamente gli utenti legittimi.

4. Proteggere i domain controller

I controller di dominio (DC) sono importanti in Active Directory e devono essere supportati con una barriera protettiva più ampia. Dovrebbe essere una priorità assoluta ridurre al minimo il numero di persone che entrano fisicamente nei DC e le organizzazioni devono rendere evidente che i server in questione si trovano all'interno di quei data center specifici. Il perimetro sicuro implementa controlli fisici, amministrativi e tecnici, inclusi sistemi di sorveglianza i cui dati possono essere utilizzati per monitorare la disponibilità, fungendo da controllo degli accessi.

Anche aggiornare regolarmente i DC con patch di sicurezza è importante per contribuire a proteggersi dalle vulnerabilità. Le patch e gli aggiornamenti di rilievo che affrontano queste vulnerabilità dovrebbero essere ben testati prima dell’implementazione, ma i test richiedono tempo, quindi si consiglia di gestire questo aspetto con un solido processo di patch management.

5. Segmentazione della rete

Un modo importante per migliorare la sicurezza con Active Directory è la segmentazione della rete. Le organizzazioni possono anche ridurre ulteriormente la superficie di attacco e impedire qualsiasi movimento laterale isolando i domain controller come sistemi critici. Nel caso delle reti on-premises, le Virtual Local Area Network (VLAN) possono essere utilizzate per delineare i segmenti nella rete e consentire solo alle entità attendibili di accedere ai domain controller.

Firewall sono necessari per impedire il traffico tra vari segmenti di rete. I log del firewall dovrebbero essere sempre controllati per rilevare eventuali attività sospette o accessi non autorizzati, attivando le misure necessarie.

Inoltre, l’uso della tecnologia di micro-segmentazione è altamente raccomandato perché consente a un’organizzazione una maggiore precisione nel definire i flussi di traffico su quella stessa rete. In questo modo è possibile applicare policy di sicurezza fino a un livello granulare, ottenendo mappature più accurate di quali sistemi si connettono tra loro.

6. Monitoraggio e logging

Rilevare e rispondere a potenziali incidenti di sicurezza in Active Directory è essenziale, motivo per cui sono necessari buoni strumenti di monitoraggio/logging. Le organizzazioni possono garantire un monitoraggio completo abilitando il logging dettagliato per tutti gli eventi AD, incluse le attività di accesso/disconnessione e le modifiche agli account o alle appartenenze ai gruppi.

Inoltre, le soluzioni di security information and event management (SIEM) possono essere integrate per migliorare il monitoraggio aggregando i log da AD e da altri sistemi per l’analisi, consentendo la correlazione. La capacità di rilevamento delle minacce in tempo reale permette di individuare qualcosa di sospetto e avvisare l’azienda affinché risponda in modo proattivo.

7. Configurazione delle Group Policy

Le Group Policy sono un modo molto efficace per applicare impostazioni di sicurezza in tutta l’infrastruttura AD aziendale. Le impostazioni organizzative dovrebbero essere implementate tramite GPO per applicare baseline di sicurezza allineate alle policy dell’organizzazione.

Ad esempio, i GPO potrebbero essere utilizzati per applicare requisiti di complessità delle password, policy di blocco dell’account e restrizioni software. È inoltre importante rivedere e aggiornare regolarmente i GPO, poiché nel tempo possono diventare obsoleti o persino entrare in conflitto con altre policy. Gli audit dei GPO mantengono la conformità agli standard di sicurezza e rilevano configurazioni errate che potrebbero aumentare il rischio per l’ambiente.

Come migliorare il livello di sicurezza di Active Directory

Migliorare il livello di sicurezza in Active Directory (AD) è un passaggio fondamentale per la protezione di una rete aziendale e potenzialmente anche di informazioni molto sensibili.

1. Segmentazione della rete

Nella segmentazione della rete, dividiamo la rete in segmenti più piccoli e isolati che possono limitare l’accesso e ridurre l’esposizione. La segmentazione della rete consente alle organizzazioni di filtrare chi ha accesso alle proprie risorse più critiche, come i domain controller. Questo riduce la probabilità che un attaccante che compromette un singolo ambiente possa muoversi lateralmente verso altre parti della rete.

L’aggiunta di rigorosi controlli di accesso e firewall tra i segmenti può anche contribuire ad aumentare la sicurezza, impedendo agli utenti malevoli di passare facilmente alle parti critiche della rete.

2. Utilizzo di app e software di sicurezza

La sicurezza di Active Directory trae grande vantaggio da strumenti e software specializzati per migliorare la sicurezza del database. Gli strumenti di monitoraggio e auditing di AD sono importanti per rilevare qualsiasi cambiamento in tempo reale, ad esempio quando l’utente ha tentato un accesso non autorizzato o altri comportamenti anomali che si verificano nell’ambiente AD.

Può anche richiedere una solida policy per le password e imporre audit regolari delle password, cosa particolarmente utile quando si hanno centinaia se non migliaia di servizi diversi all’interno dell’organizzazione.

Le soluzioni che offrono visibilità sulla configurazione e sui permessi di AD possono anche rivelare vulnerabilità, debolezze o configurazioni errate, fornendo una remediation immediata.

3. Pianificazione della risposta agli incidenti

Un solido piano di risposta agli incidenti è fondamentale per gestire correttamente gli incidenti di sicurezza che possono coinvolgere Active Directory. Dovrebbe dettagliare quale sia l’obiettivo finale, chi se ne occuperà e come (ad esempio, identificando da dove è stata avviata una violazione — triage in quel caso; oppure, se avete subito una violazione, la vostra azienda può fornire una soluzione di uscita prima che influisca su altri sistemi).

Inoltre, controllare e rivedere frequentemente il piano di risposta agli incidenti assicura di essere sempre pronti ad affrontare qualsiasi possibile problema con una risposta rapida e sistematica.

Strategie di hardening di Active Directory

È necessario adottare pratiche di hardening di Active Directory per proteggere e difendere un ambiente Active Directory. Questa sezione elenca cinque componenti critici per rafforzare l’infrastruttura AD.

1. Implementare Secure Administrative Workstations (SAWs)

Le SAW sono macchine con un’impronta software ridotta, liste di controllo degli accessi minime e nessuna connettività di rete diretta. Hanno inoltre un sistema operativo in sola lettura e la crittografia completa del disco, in modo che il malware non possa mantenere la propria persistenza. Le SAW impediscono l’esecuzione del software a meno che non sia esplicitamente approvato tramite application allow listing.

2. Abilitare e configurare Advanced Audit Policy

Advanced Audit Policy in AD consente di definire in modo estremamente dettagliato ciò che viene registrato nei log degli eventi. Configurare l’auditing per gli eventi di accesso agli account, l’accesso agli oggetti, le modifiche alle policy e l’uso dei privilegi sui domain controller e sui member server. Utilizzare Windows Event Forwarding per raccogliere i log in una posizione centralizzata per la revisione.

3. Utilizzare Microsoft Local Administrator Password Solution (LAPS)

LAPS è una soluzione on-premises che consiste in un’estensione lato client di Group Policy che si occupa della gestione e della randomizzazione delle policy delle password. Memorizza le password in un attributo AD sicuro, a cui possono accedere solo gli utenti autorizzati (ma il tuo account di servizio deve decrittografarlo), e le ruota in base a policy configurabili. LAPS consente policy personalizzate di complessità delle password e può essere monitorato tramite sistemi SIEM preesistenti.

4. Distribuire i controller di dominio di sola lettura (RODC)

Mantieni sempre una copia di sola lettura del database AD e utilizza la replica unidirezionale tramite RODC. Per evitare che informazioni sensibili finiscano nelle mani del tuo RODC, definisci un filtered attribute set (FAS). Il caching delle credenziali consente agli RODC di memorizzare nella cache credenziali utente specifiche per l'autenticazione.

Conclusione

È importante che le organizzazioni rafforzino il proprio Active Directory(AD). Poiché AD è di fatto il nucleo di tutte le identità utente e dei privilegi di accesso, qualsiasi falla di sicurezza avrà implicazioni di vasta portata, dalle violazioni dei dati alla paralisi operativa.

Una solida checklist di hardening di Active Directory aiuta le organizzazioni a ridurre al minimo la propria superficie di attacco e ad affrontare efficacemente le minacce informatiche. Le strategie chiave includono la revisione degli accessi con privilegi minimi, il controllo regolare dell'assegnazione dei permessi, l'autenticazione sicura e la gestione della configurazione dei controller di dominio.

Con la sicurezza di AD come una delle massime priorità, le organizzazioni non solo rafforzano la propria postura di sicurezza informatica, ma si preparano anche a rispettare i requisiti normativi, costruendo un'infrastruttura IT molto più sicura.