El enemigo dentro de la red: cómo detectar movimientos sospechosos de usuarios privilegiados
En el marco del mes de la ciberseguridad, queremos recordar a nuestros lectores un enemigo sigiloso que suele ocultarse en los cuellos de botella del Active Directory.
Seguro recordará a los insiders y los peligros que conllevan en la red empresarial. Consisten en usuarios que hacen un uso indebido de privilegios y que permiten la presencia de atacantes con una apariencia legítima.
Revisemos de cerca cómo es el modus operandi de estas amenazas y cómo podemos detectarlas para evitar cualquier tipo de incidente de seguridad.
La motivación de los ataques internos
Los usuarios privilegiados cuentan con accesos especiales que los diferencian de los usuarios estándar. Monitorear a los usuarios privilegiados es esencial para la seguridad del Active Directory, ya que cuentan con permisos como modificar objetos de AD, usuarios y grupos; cambiar políticas de seguridad; crear nuevas cuentas; alterar permisos de los recursos; acceder a información crítica; y borrar logs y registros de auditoria.
Algunas de las cuentas que suelen tener estos privilegios son los administradores locales, de dominio, de servidores y de bases de datos. Hay otros un poco más específicos como cuentas de servicio con permisos elevados, usuarios con acceso a sistemas críticos y cuentas con permisos para modificar políticas o grupos de seguridad.
El objetivo es claro para el atacante: acceder a la información sensible de la empresa. Esto implica tanto habeas data de empleados y gerentes de la empresa como datos financieros relacionados a la gestión humana, la infraestructura tecnológica o directamente para iniciar prácticas de hacking como phishing y ransomware.
Si bien no todos los usuarios privilegiados son maliciosos, la brecha de seguridad aparece cuando hay un uso indebido de los privilegios y/o vulnerabilidades de seguridad, ya sea por errores accidentales o credenciales comprometidas. Los principales riesgos son:
Escalada de privilegios, cuando un usuario común intenta obtener privilegios de alto perfil.
Movimiento lateral, cuando se accede a otros equipos de la organización.
Cambios no autorizados, como modificar los grupos de seguridad, las políticas de contraseñas y la configuración del Active Directory.
Acceso a información sensible, como datos de clientes, bases de datos, archivos confidenciales y más.
Eliminación de evidencias, lo cual se vuelve crítico al borrar el registro de lo que pasa en la red cuando se presenta una anomalía o un incidente de seguridad.
Siguiéndole la pista a los patrones anómalos
Para el caso de una empresa con 1000 empleados, monitorear cada uno de los movimientos es prácticamente imposible. Por ello, existen ciertos comportamientos que realmente le pueden funcionar para identificar si algo está bien o si puede comenzar a sospechar.
Nos encontramos en este camino a los Indicadores de Compromiso (IoC), que son las pruebas forenses digitales que son consultadas cuando existe un acceso sin autorización al sistema, dispositivo o red. Esto aplica principalmente después de un ataque.
Los IoC suelen basarse en trazas dentro de la red, los hosts, los archivos e incluso el comportamiento de los usuarios.
Lectura recomendada: Cumplimiento SOX: todo lo que debe saber
Los inicios de sesión fuera de los horarios habituales o desde una ubicación inusual, así como varios intentos fallidos, suelen ser el identificador principal de robo de credenciales o accesos no autorizados.
Monitorear el tráfico saliente de los usuarios puede ayudarnos a identificar una posible filtración de datos. La anomalía está cuando los archivos transferidos tienen un volumen muy grande e inusual, o cuando se envíen a direcciones IP maliciosas.
De igual manera, la presencia de un atacante en la red es evidente cuando se encuentra software donde no debería estar, tareas programadas, logs modificados, herramientas de seguridad desactivadas, políticas y configuraciones de firewall alteradas sin solicitudes autorizadas, entre muchas otras señales.
Recurso: https://open.spotify.com/episode/2fqMj9edCa2lPNqI3vPCE0
Existen distintas buenas prácticas para evitar que estos casos se presenten:
Cantidad de privilegios: es un error común que ciertas cuentas tengan exceso de privilegios. Los tres grupos con mayor cantidad de permisos suelen ser los Administradores de empresa, Administradores de dominio y Administradores. Protegerlas es una tarea obligatoria. Aquí toma el control un modelo de mínimo privilegio, donde los privilegios elevados no existen en cuentas con tareas cotidianas a menos que sea absolutamente necesario.
Hosts administrativos seguros: aquí nos referimos a equipos que garanticen una administración segura al AD y otros sistemas conectados. Estos están diseñados para ejecutar únicamente software de gestión.
Controladores de dominio: la seguridad de los controladores evita que un atacante modifique, dañe o destruya la base de datos de AD. Estos deben mantenerse seguros tanto en su estructura física como en su sistema operativo y deben tener lineamientos base que pueda aplicar mediante GPO.
Planificación de fallos de seguridad: si bien las medidas preventivas son un punto clave, la organización debe estar lista en caso de un incidente de seguridad. Deben existir directrices para la planificación antes de una posible vulnerabilidad.
También se pueden diferenciar actividades legítimas de las relacionadas a un ataque cuando los cambios están programados, los tickets aprobados, las acciones corresponden al rol o hay un trabajo de mantenimiento ya aprobado. Es importante conocer el contexto de dicha actividad que pueda parecer sospechosa.
Las herramientas clave del proceso
Ya conoce un poco de las prácticas que debe tener en cuenta tanto para prevenir como para actuar. Debemos ponernos en marcha.
La auditoria continua de usuarios privilegiados, el monitoreo de cambios en el Active Directory, el análisis del comportamiento de los usuarios, alertas en tiempo real y los reportes integrales son características clave de ADAudit Plus.
Esta es una solución unificada para cualquier auditoria de seguridad en la infraestructura empresarial, alineada a cualquier industria y a los cumplimientos internacionales como SOX, HIPPA, GDPR, PCI DSS, GLBA, FISMA e ISO 27001.
¡Todo listo! Es hora de que tome acción frente al uso indebido de privilegios y lo que puede significar para la seguridad de su Active Directory. Puede descargar una prueba gratuita de 30 días o programar una demo que se ajuste a las necesidades de su negocio.