{"id":3626,"date":"2018-03-30T04:10:00","date_gmt":"2018-03-30T07:10:00","guid":{"rendered":"http:\/\/www.radians.com.ar\/blog\/?p=3626"},"modified":"2018-03-31T16:11:36","modified_gmt":"2018-03-31T19:11:36","slug":"las-mejores-prcticas-para-securizar-nuestra-arquitectura-de-active-directory-parte-2-camino-al-desastre-howto","status":"publish","type":"post","link":"https:\/\/www.radians.com.ar\/blog\/?p=3626","title":{"rendered":"Las mejores pr&aacute;cticas para Securizar nuestra arquitectura de Active Directory [Parte 2] &ndash; Camino al desastre [HowTo]"},"content":{"rendered":"<p align=\"justify\"><img loading=\"lazy\" decoding=\"async\" title=\"www.radians.com.ar\" style=\"margin: 5px; float: left; display: inline;\" alt=\"www.radians.com.ar\" src=\"http:\/\/www.radians.com.ar\/Articulos\/Images2018\/Las-mejores-prcticas-para-Segurizar-nues_EBE2\/ADSecurity.png\" width=\"400\" align=\"left\" height=\"169\" \/>Hoy vamos a continuar con la serie de notas sobre como securizar nuestra arquitectura de Active Directory. Obviamente este tema es un tema conocido por todos y nosotros vamos a cubrir muchoa de los aspectos y mejores practicas propuestas por Microsoft, ya que si bien son conocidos no siempre son aplicados.&#160; Estas mejores practicas nos ayudaran mucho ya que nunca, por mas seguro que estemos, nadie esta 100% seguro frente a las amenazas existentes o por venir.&#160; La primera nota la pueden encontrar <a href=\"http:\/\/www.radians.com.ar\/blog\/?p=3620\">Las mejores pr\u00e1cticas para Securizar nuestra arquitectura de Active Directory [Parte 1] [HowTo]<\/a> y hoy veremos la segunda parte sobre las cosas comunes que nos afectan a nuestra seguridad.<\/p>\n<p align=\"justify\">En organizaciones que han experimentado eventos de compromiso catastr\u00f3ficos, las evaluaciones generalmente revelan que las organizaciones tienen una visibilidad limitada del estado real de sus infraestructuras de TI, que pueden diferir significativamente de sus estados &quot;documentados&quot;. Estas variaciones introducen vulnerabilidades que exponen al entorno a un compromiso, a menudo con poco riesgo de descubrimiento hasta que el compromiso haya progresado hasta el punto en el cual los atacantes &quot;poseen&quot; efectivamente el entorno.<\/p>\n<p align=\"justify\">Las evaluaciones detalladas de la configuraci\u00f3n de AD DS de estas organizaciones, infraestructuras de clave p\u00fablica (PKI), servidores, estaciones de trabajo, aplicaciones, listas de control de acceso (ACL) y otras tecnolog\u00edas revelan configuraciones err\u00f3neas y vulnerabilidades que, de ser corregidas, podr\u00edan haber evitado el compromiso inicial.<\/p>\n<p align=\"justify\">El an\u00e1lisis de la documentaci\u00f3n, procesos y procedimientos de TI identifica las vulnerabilidades introducidas por las lagunas en las pr\u00e1cticas administrativas que fueron aprovechadas por los atacantes para eventualmente obtener privilegios que se utilizaron para comprometer completamente el bosque de Active Directory. Un bosque completamente comprometido es aquel en el que los atacantes no solo comprometen sistemas individuales, aplicaciones o cuentas de usuario, sino que escalan su acceso para obtener un nivel de privilegio en el que pueden modificar o destruir todos los aspectos del bosque. Cuando una instalaci\u00f3n de Active Directory se ha visto comprometida hasta ese punto, los atacantes pueden realizar cambios que les permitan mantener una presencia en todo el entorno, o lo que es peor, destruir el directorio y los sistemas y cuentas que administra.<\/p>\n<p align=\"justify\">Aunque varias de las vulnerabilidades com\u00fanmente explotadas en las descripciones que siguen no son ataques contra Active Directory, permiten a los atacantes establecer un punto de apoyo en un entorno que puede usarse para ejecutar ataques de escalada de privilegios y tambi\u00e9n para atacar y comprometer AD DS.<\/p>\n<p align=\"justify\">Esta secci\u00f3n de este documento se centra en describir los mecanismos que los atacantes generalmente utilizan para obtener acceso a la infraestructura y, finalmente, para lanzar ataques de elevaci\u00f3n de privilegios. Ver tambi\u00e9n las siguientes secciones:<\/p>\n<ul>\n<li>\n<div align=\"justify\"><a href=\"https:\/\/docs.microsoft.com\/en-us\/windows-server\/identity\/ad-ds\/plan\/security-best-practices\/reducing-the-active-directory-attack-surface\">Reducci\u00f3n de la superficie de ataque de Active Directory<\/a> Recomendaciones detalladas para la configuraci\u00f3n segura de Active Directory.<\/div>\n<\/li>\n<li>\n<div align=\"justify\"><a href=\"https:\/\/docs.microsoft.com\/en-us\/windows-server\/identity\/ad-ds\/plan\/security-best-practices\/monitoring-active-directory-for-signs-of-compromise\">Monitoreo de Active Directory en busca de signos de compromiso<\/a> Recomendaciones para ayudar a detectar el compromiso<\/div>\n<\/li>\n<li>\n<div align=\"justify\"><a href=\"https:\/\/docs.microsoft.com\/en-us\/windows-server\/identity\/ad-ds\/plan\/security-best-practices\/planning-for-compromise\">Planificaci\u00f3n para el compromiso.<\/a> Enfoques de alto nivel para ayudar a prepararse para los ataques contra la infraestructura desde las perspectivas de TI y de negocios.<\/div>\n<\/li>\n<\/ul>\n<p align=\"justify\">NOTA: Aunque este documento se centra en los sistemas de Active Directory y Windows que forman parte de un dominio de AD DS, los atacantes rara vez se centran \u00fanicamente en Active Directory y Windows. En entornos con una combinaci\u00f3n de sistemas operativos, directorios, aplicaciones y repositorios de datos, es com\u00fan encontrar que los sistemas que no son de Windows tambi\u00e9n se han visto comprometidos. Esto es particularmente cierto si los sistemas proporcionan un &quot;puente&quot; entre entornos Windows y no Windows, como servidores de archivos a los que acceden clientes de Windows y UNIX o Linux, directorios que proporcionan servicios de autenticaci\u00f3n a m\u00faltiples sistemas operativos o metadirectorios que sincronizan datos en diferentes directorios.<\/p>\n<p align=\"justify\">AD DS est\u00e1 enfocado debido a las capacidades de administraci\u00f3n de configuraci\u00f3n y acceso centralizado que proporciona no solo a los sistemas Windows, sino a otros clientes. Cualquier otro directorio o aplicaci\u00f3n que proporcione servicios de autenticaci\u00f3n y gesti\u00f3n de configuraci\u00f3n puede, y ser\u00e1 dirigido por atacantes determinados. Aunque este documento se centra en las protecciones que pueden reducir la probabilidad de un compromiso de las instalaciones de Active Directory, todas las organizaciones que incluyen computadoras, directorios, aplicaciones o repositorios de datos que no son de Windows tambi\u00e9n deben prepararse para ataques contra esos sistemas.<\/p>\n<p align=\"justify\">Saludos, Roberto Di Lello.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Hoy vamos a continuar con la serie de notas sobre como securizar nuestra arquitectura de&#8230;<\/p>\n","protected":false},"author":1,"featured_media":4291,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"footnotes":""},"categories":[281,325,333],"tags":[217],"class_list":["post-3626","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-281","category-directory-services","category-seguridad","tag-ad-domain-services"],"_links":{"self":[{"href":"https:\/\/www.radians.com.ar\/blog\/index.php?rest_route=\/wp\/v2\/posts\/3626","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.radians.com.ar\/blog\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.radians.com.ar\/blog\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.radians.com.ar\/blog\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.radians.com.ar\/blog\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=3626"}],"version-history":[{"count":1,"href":"https:\/\/www.radians.com.ar\/blog\/index.php?rest_route=\/wp\/v2\/posts\/3626\/revisions"}],"predecessor-version":[{"id":3627,"href":"https:\/\/www.radians.com.ar\/blog\/index.php?rest_route=\/wp\/v2\/posts\/3626\/revisions\/3627"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.radians.com.ar\/blog\/index.php?rest_route=\/wp\/v2\/media\/4291"}],"wp:attachment":[{"href":"https:\/\/www.radians.com.ar\/blog\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=3626"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.radians.com.ar\/blog\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=3626"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.radians.com.ar\/blog\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=3626"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}