Evalúe, identifique y mitigue los riesgos de seguridad con los indicadores de riesgo de ADManager Plus
La gobernanza, el riesgo y el cumplimiento (GRC) son esenciales para mantener la seguridad, garantizar el cumplimiento y mitigar los riesgos asociados a las identidades. Una minuciosa evaluación de riesgos ayuda a identificar vulnerabilidades, como permisos excesivos, mecanismos de autenticación débiles y errores de configuración que podrían ser explotados por los atacantes. ADManager Plus mejora la evaluación de riesgos proporcionando indicadores de riesgo clave que ayudan a las organizaciones a descubrir y abordar las brechas de seguridad dentro de sus entornos de Active Directory (AD) y Microsoft 365. Cada indicador de riesgo se analiza con respecto a su impacto potencial y su probabilidad de ocurrencia, lo que permite a las organizaciones centrarse en las amenazas y vulnerabilidades más críticas. Al aprovechar estos indicadores, las organizaciones obtienen información procesable, pueden remediar los riesgos al instante y reforzar significativamente su postura general de seguridad.
Usuarios
- Usuarios
- Computadores
- Controladores de dominio
- Grupos
- GPO
- Seguridad
- General
| Categoría | Nombre del indicador | Probabilidad de compromiso | Gravedad
| Marco |
|---|---|---|---|---|
| Seguridad de la cuenta | Usuarios inactivos Privilegiado | Detecta a los usuarios que han estado inactivos durante un periodo determinado. Las cuentas de usuarios identificadas pueden pertenecer a antiguos empleados o atacantes y sus contraseñas podrían haber caducado o no. Estas cuentas son susceptibles a los ataques Golden Ticket, DCShadow y DCSync. | Alto | MITRE Attack
ANSSI
|
| Seguridad de la cuenta | Usuarios que nunca iniciaron sesión Privilegiado | Cuentas de usuario cuyo atributo lastLogon tiene el valor 0. Estas cuentas de usuario se podrían haber creado hace unos días y nunca se ha iniciado sesión en ellas, es posible que tengan contraseñas comunes, predeterminadas o vacías, lo que las hace susceptibles de sufrir ataques de contraseña. | Alto | MITRE Attack
|
| Seguridad de la cuenta | Usuarios con contraseñas sin modificar Privilegiado | Identifica a los usuarios que no han cambiado sus contraseñas en los últimos N días (45 días, por defecto). Las cuentas con contraseñas inalteradas son más propensas a los ataques internos y pueden verse comprometidas por la pulverización de contraseñas, el robo de credenciales, Kerberoasting y los ataques de fuerza bruta, especialmente cuando sus contraseñas son predeterminadas, comunes o débiles. | Alto | MITRE Attack
ANSSI
|
| Seguridad de la contraseña y autenticación | Usuarios cuya contraseña nunca caduca Privilegiado | Busca a los usuarios cuyas contraseñas se configuraron de modo que nunca caduquen. Estas cuentas son propensas a los ataques de fuerza bruta y podrían resultar en violaciones de los datos y exposición. | Alto | MITRE Attack
ANSSI
|
| Seguridad de la contraseña y autenticación | Usuarios sin contraseña requerida Privilegiado | Identifica a los usuarios cuyo atributo PasswordNotRequired tiene el valor True. Estas cuentas se pueden utilizar para acceder a recursos y datos críticos, y también pueden provocar incumplimientos y consecuencias legales. | Crítico | MITRE Attack
|
| Seguridad de la cuenta | Usuarios deshabilitados Privilegiado | Detecta las cuentas de usuario deshabilitadas en su dominio. Es probable que estas cuentas de usuario deshabilitadas no se eliminen por motivos de auditoría o cuando no existe una directiva adecuada de eliminación/deshabilitación. | Bajo | MITRE Attack
|
| Seguridad de la contraseña y autenticación | Miembros de grupos privilegiados Privilegiado | Busca los miembros de los grupos privilegiados predeterminados. Es probable que las cuentas identificadas sean víctimas de DCShadow DCSync, amenazas internas y ataques de escalamiento de privilegios. | Bajo | MITRE Attack
|
| Usuarios con historial de SID | Privilegiado>Usuarios con historial de SID | Bajo | MITRE Attack
ANSSI
| |
| Seguridad de la contraseña y autenticación | Usuarios con preautenticación Kerberos deshabilitada Privilegiado | Identifica a todos los usuarios que tienen deshabilitada la preautenticación Kerberos. Dado que los atacantes pueden solicitar una respuesta de autenticación cifrada (AS-REP) al servicio Kerberos, las cuentas con la preautenticación Kerberos deshabilitada suponen un riesgo de seguridad importante. | Alto | MITRE Attack
ANSSI
|
| Seguridad de la contraseña y autenticación | Usuarios sin una directiva de contraseña granular Privilegiado | Detecta todos los usuarios que no tienen aplicadas directivas de contraseñas granulares. Sin estas directivas, los atacantes pueden explotar las vulnerabilidades mediante ataques de fuerza bruta, diccionario y phishing para descifrar contraseñas, obtener acceso a información confidencial y, potencialmente, provocar denegaciones del servicio y ataques man-in-the-middle. | Alto | MITRE Attack
|
| Seguridad de la contraseña y autenticación | Cuentas con contraseñas almacenadas mediante cifrado reversible Privilegiado | Detecta todas las cuentas cuyas contraseñas se almacenan mediante cifrado reversible. Son especialmente vulnerables, ya que estas contraseñas se pueden descifrar fácilmente, dejando al descubierto credenciales en texto claro. Esta debilidad permite a los atacantes obtener contraseñas rápidamente, lo que aumenta el riesgo de acceso no autorizado y de movimiento lateral a través de la red. | Alto | MITRE Attack
ANSSI
|
| Seguridad de la contraseña y autenticación | Usuarios con cifrado DES de Kerberos habilitado Privilegiado | Identifica a todos los usuarios para los que está habilitado el cifrado DES de Kerberos. Estas cuentas corren un mayor riesgo de verse comprometidas, ya que DES es un protocolo de cifrado anticuado y débil. Los atacantes pueden explotar estos estándares de cifrado más débiles para descifrar credenciales más fácilmente, obteniendo potencialmente un acceso no autorizado a recursos e información sensible. | Alto | MITRE Attack
ANSSI
|
| Delegación y confianza de AD | Cuentas con nombres de principal de servicio (NPS) Privilegiado | Identifica las cuentas de usuario con nombres de principal de servicio (SPN). Estas cuentas suelen ser el objetivo de los atacantes en ataques como Kerberoasting, en el que los atacantes extraen tickets Kerberos para servicios, los crackean fuera de línea y obtienen acceso no autorizado. Los SPN mal configurados o pasados por alto pueden crear puntos de entrada para los atacantes, comprometiendo la seguridad de todo el entorno de AD. | Bajo | MITRE Attack
ANSSI
|
| Seguridad de la contraseña y autenticación | Cuentas de usuario con una directiva de contraseña débil Privilegiado | Detecta las cuentas de usuario con una directiva de contraseña débil a partir de su directiva de dominio predeterminada o del objeto de ajustes de contraseñas (PSO). Estas cuentas suponen una grave amenaza para la red de identidad de la organización, y los actores de las amenazas suelen utilizar ataques de fuerza bruta, ataques de diccionario y ataques de phishing para descifrar estas cuentas y moverse por la red para robar información confidencial. Estas instancias también podrían dar lugar a ataques de denegación del servicio y man-in-the-middle. | Medio | MITRE Attack
ANSSI
|
| Seguridad de la contraseña y autenticación | Usuarios sin MFA - Microsoft 365 Privilegiado | Detecta a los usuarios de Microsoft 365 que no tienen habilitada la MFA. Estas son susceptibles de sufrir diversos ataques, entre los que se incluyen la pulverización de contraseñas, los ataques de fuerza bruta, el phishing, el relleno de credenciales, los ataques man-in-the-middle, el secuestro de sesiones, el malware, el sniffing de contraseñas y la ingeniería social. | Alto | MITRE Attack
|
| Seguridad de la identidad privilegiada | Múltiples usuarios privilegiados - Microsoft 365 Privilegiado | Detecta y enumera los usuarios privilegiados de Microsoft 365 si el número es superior a 10. SI hay múltiples usuarios privilegiados en una organización, esto plantea riesgos como una mayor superficie de ataque, un mayor potencial de amenazas internas, retos de monitoreo, un posible uso indebido, una gestión de accesos compleja y una sobreutilización de recursos. | Bajo | MITRE Attack
|
| Seguridad de la identidad privilegiada | Múltiples administradores globales - Microsoft 365 Privilegiado | Detecta y enumera los usuarios de Microsoft 365 que tienen el rol de administrador global. Estos usuarios tienen un amplio acceso a todos los recursos de una organización y, por lo tanto, plantean riesgos de seguridad significativos, como un mayor potencial de abuso de privilegios, accesos no autorizados, dificultad en el control de cambios y desafíos en el cumplimiento y la gestión de auditorías. La cuenta comprometida también se puede utilizar para crear nuevas cuentas, alterar permisos o acceder a recursos sin levantar sospechas. | Medio | MITRE Attack
|
| Seguridad de la cuenta | Usuarios inactivos - Microsoft 365 Privilegiado | Identifica a los usuarios inactivos de Microsoft 365. Si las cuentas de los usuarios privilegiados permanecen inactivas pero no se deshabilitan o eliminan adecuadamente, pueden seguir teniendo acceso a recursos sensibles. Estos usuarios plantean riesgos para la seguridad y el cumplimiento, incluido el potencial de accesos no autorizados, violaciones de datos y ataques de phishing. | Alto | MITRE Attack
|
| Seguridad de la cuenta | Usuarios que nunca han iniciado sesión - Microsoft 365 Privilegiado | Detecta los usuarios con privilegios que nunca han iniciado sesión en ninguno de los servicios de Microsoft 365. Estos suponen un riesgo de seguridad importante si no se controlan y pueden ser el objetivo de los atacantes, y las cuentas comprometidas con privilegios elevados pueden dar lugar a un acceso no autorizado a los recursos. | Alto | MITRE Attack
|
| Seguridad de la cuenta | Usuarios bloqueados - Microsoft 365 Privilegiado | Detecta las cuentas de usuario de Microsoft 365 bloqueadas. A menudo, estas cuentas solo se bloquean y no se eliminan por motivos de auditoría o por falta de directivas adecuadas de eliminación o deshabilitación. Sin embargo, esto los deja vulnerables a ser desbloqueados por atacantes que podrían acceder a los recursos. | Alto | MITRE Attack
|
| Seguridad de la cuenta | Cuentas de usuario sincronizadas - Microsoft 365 Privilegiado | Identifica las cuentas de usuario de Microsoft 365 sincronizadas desde AD on-premises. Sincronizar los usuarios y grupos de AD on-premises con Microsoft Entra ID permite un acceso unificado, pero pone en riesgo la seguridad si se incluyen cuentas privilegiadas como las de los administradores globales. Una cuenta de AD comprometida permite a los atacantes explotar la cuenta de Entra ID correspondiente, especialmente las cuentas de servicio más débiles. | Alto | MITRE Attack
|
| Seguridad de la contraseña y autenticación | Usuarios con el valor AdminCount | Detecta los usuarios con el valor AdminCount. Cuando las cuentas de usuario o los grupos muestran un valor AdminCount de 1, pero no están en grupos privilegiados, podría ser un indicio de una posible manipulación. Este atributo podría significar que la cuenta tenía privilegios elevados a través de SDProp, lo que permitiría a los atacantes conservar el acceso oculto. | Bajo | |
| Seguridad de la cuenta | Usuarios inactivos | Detecta a los usuarios que han estado inactivos durante un periodo determinado. Las cuentas de usuarios identificadas pueden pertenecer a antiguos empleados o atacantes y sus contraseñas podrían haber caducado o no. Estas cuentas son susceptibles a los ataques Golden Ticket, DCShadow y DCSync. | Alto | MITRE Attack
ANSSI
|
| Seguridad de la cuenta | Usuarios deshabilitados | Detecta las cuentas de usuario deshabilitadas en su dominio. Es probable que estas cuentas de usuario deshabilitadas no se eliminen por motivos de auditoría o cuando no existe una directiva adecuada de eliminación/deshabilitación. | Bajo | NA* |
| Seguridad de la cuenta | Usuarios con contraseña sin modificar | Identifica a los usuarios que no han cambiado sus contraseñas en los últimos N días (45 días, por defecto). Las cuentas con contraseñas inalteradas son más propensas a los ataques internos y pueden verse comprometidas por la pulverización de contraseñas, el robo de credenciales, Kerberoasting y los ataques de fuerza bruta, especialmente cuando sus contraseñas son predeterminadas, comunes o débiles. | Medio | MITRE Attack
|
| Seguridad de la cuenta | Usuarios que nunca iniciaron sesión | Cuentas de usuario cuyo atributo lastLogon tiene el valor 0. Estas cuentas de usuario se podrían haber creado hace unos días y nunca se ha iniciado sesión en ellas, es posible que tengan contraseñas comunes, predeterminadas o vacías, lo que las hace susceptibles de sufrir ataques de contraseña. | Medio | MITRE Attack
|
| Seguridad de la contraseña y autenticación | Usuarios sin contraseña requerida | Identifica a los usuarios cuyo atributo PasswordNotRequired tiene el valor True. Estas cuentas se pueden utilizar para acceder a recursos y datos críticos, y también pueden provocar incumplimientos y consecuencias legales. | Alto | MITRE Attack
ANSSI |
| Seguridad de la contraseña y autenticación | Usuarios cuya contraseña nunca caduca | Busca a los usuarios cuyas contraseñas se configuraron de modo que nunca caduquen. Estas cuentas son propensas a los ataques de fuerza bruta y podrían resultar en violaciones de los datos y exposición. | Medio | MITRE Attack
ANSSI
|
| Seguridad de la cuenta | Usuarios con historial de SID | Detecta todos los usuarios con valor de historial de SID. Cuando los usuarios migran entre dominios, pueden conservar sus antiguos privilegios de dominio a través del historial de SID, lo que les da un acceso que no deberían tener. Inyectar un SID de alto nivel (como el de los administradores de dominio) en una cuenta de usuario de nivel inferior puede conducir a un escalamiento de privilegios no autorizado, permitiendo un control excesivo sobre los recursos sensibles. | Bajo | MITRE Attack
|
| Seguridad de la contraseña y autenticación | Usuarios con preautenticación Kerberos deshabilitada | Identifica a todos los usuarios que tienen deshabilitada la preautenticación Kerberos. Dado que los atacantes pueden solicitar una respuesta de autenticación cifrada (AS-REP) al servicio Kerberos, las cuentas con la preautenticación Kerberos deshabilitada suponen un riesgo de seguridad importante. | Medio | MITRE Attack
|
| Seguridad de la contraseña y autenticación | Cuentas con contraseñas almacenadas mediante cifrado reversible | Detecta todas las cuentas cuyas contraseñas se almacenan mediante cifrado reversible. Son especialmente vulnerables, ya que estas contraseñas se pueden descifrar fácilmente, dejando al descubierto credenciales en texto claro. Esta debilidad permite a los atacantes obtener contraseñas rápidamente, lo que aumenta el riesgo de acceso no autorizado y de movimiento lateral a través de la red. | Medio | MITRE Attack
ANSSI
|
| Seguridad de la contraseña y autenticación | Usuarios con cifrado DES de Kerberos habilitado | Identifica a todos los usuarios para los que está habilitado el cifrado DES de Kerberos. Estas cuentas corren un mayor riesgo de verse comprometidas, ya que DES es un protocolo de cifrado anticuado y débil. Los atacantes pueden explotar estos estándares de cifrado más débiles para descifrar credenciales más fácilmente, obteniendo potencialmente un acceso no autorizado a recursos e información sensible. | Medio | MITRE Attack
ANSSI
|
| Seguridad de la contraseña y autenticación | Cuentas de usuario con una directiva de contraseña débil | Detecta las cuentas de usuario con una directiva de contraseña débil a partir de su directiva de dominio predeterminada o del objeto de ajustes de contraseñas (PSO). Estas cuentas suponen una grave amenaza para la red de identidad de la organización, y los actores de las amenazas suelen utilizar ataques de fuerza bruta, ataques de diccionario y ataques de phishing para descifrar estas cuentas y moverse por la red para robar información confidencial. Estas instancias también podrían dar lugar a ataques de denegación del servicio y man-in-the-middle. | Medio | MITRE Attack
|
| Seguridad de la contraseña y autenticación | Usuarios sin MFA - Microsoft 365 | Detecta a los usuarios de Microsoft 365 que no tienen habilitada la MFA. Estas son susceptibles de sufrir diversos ataques, entre los que se incluyen la pulverización de contraseñas, los ataques de fuerza bruta, el phishing, el relleno de credenciales, los ataques man-in-the-middle, el secuestro de sesiones, el malware, el sniffing de contraseñas y la ingeniería social. | Medio | MITRE Attack
|
| Seguridad de la cuenta | Usuarios inactivos - Microsoft 365 | Identifica a los usuarios inactivos de Microsoft 365. Si las cuentas de los usuarios privilegiados permanecen inactivas pero no se deshabilitan o eliminan adecuadamente, pueden seguir teniendo acceso a recursos sensibles. Estos usuarios plantean riesgos para la seguridad y el cumplimiento, incluido el potencial de accesos no autorizados, violaciones de datos y ataques de phishing. | Medio | MITRE Attack
|
| Seguridad de la cuenta | Usuarios que nunca han iniciado sesión - Microsoft 365 | Detecta los usuarios con privilegios que nunca han iniciado sesión en ninguno de los servicios de Microsoft 365. Estos suponen un riesgo de seguridad importante si no se controlan y pueden ser el objetivo de los atacantes, y las cuentas comprometidas con privilegios elevados pueden dar lugar a un acceso no autorizado a los recursos. | Medio | MITRE Attack
|
| Seguridad de la cuenta | Usuarios bloqueados - Microsoft 365 Privilegiado | Detecta las cuentas de usuario de Microsoft 365 bloqueadas. A menudo, estas cuentas solo se bloquean y no se eliminan por motivos de auditoría o por falta de directivas adecuadas de eliminación o deshabilitación. Sin embargo, esto los deja vulnerables a ser desbloqueados por atacantes que podrían acceder a los recursos. | Bajo | MITRE Attack
|
| Categoría | Nombre del indicador | Probabilidad de compromiso | Gravedad
| Marco |
|---|---|---|---|---|
| Seguridad de la cuenta | Equipos deshabilitados | Detecta todos los equipos deshabilitados en un dominio de AD. Es probable que se vean comprometidos por ataques de robo de credenciales para obtener privilegios administrativos y actúan como potenciales superficies de ataque al proporcionar acceso no autorizado a recursos y servicios de red. | Bajo | NA* |
| Seguridad de la cuenta | Equipos inactivos | Identifica a los equipos habilitados que han estado inactivos durante los últimos N días (90 días, por defecto). Los objetos de equipo obsoletos ocupan mucho espacio y pueden afectar al rendimiento. También sirven como superficies de ataque para los atacantes que buscan una forma de entrar en su red. Es posible que estas cuentas no reciban actualizaciones de seguridad periódicas y, por tanto, sean propensas a sufrir vulnerabilidades. | Medio | MITRE Attack
ANSSI
|
| Delegación y confianza de AD | Equipos de confianza con delegación sin restricciones | Detecta equipos de confianza con delegación Kerberos sin restricciones. Es posible que los administradores hayan habilitado accidentalmente la opción "Confiar en este equipo para la delegación (sólo delegación Kerberos)" o que no sean conscientes de los riesgos de seguridad que conlleva la delegación sin restricciones. Los atacantes pueden acceder directamente a los recursos y aplicaciones asociados a la cuenta comprometida e incluso podrían tener acceso a todos los tokens de autenticación almacenados en ella, utilizándola para desplazarse lateralmente e intentar comprometer todo el dominio. Estos equipos son más propensos a verse comprometidos por los ataques Pass-the-Ticket y Silver Ticket. | Alto | MITRE Attack
ANSSI
|
| Configuraciones del DC y servidor | Equipos con versiones obsoletas del SO | Detecta a los equipos con versiones obsoletas del SO. Estos equipos ya no se utilizan activamente o se dejan funcionando para reducir los costos de actualización. Estos son fácilmente explotables y susceptibles a las vulnerabilidades de seguridad y puede que no sean compatibles con el software y las aplicaciones más recientes. | Crítico | MITRE Attack
|
| Configuraciones del DC y servidor | Equipos con BitLocker deshabilitado | Detecta los equipos con BitLocker deshabilitado en un dominio de AD. Estos equipos pueden contener datos sin cifrar y cualquiera que tenga acceso a ellos puede acceder a los datos. Los equipos comprometidos pueden provocar el robo de datos y ataques de arranque en frío. Los equipos perdidos o robados con el cifrado de unidad BitLocker deshabilitado corren el riesgo de robo, manipulación y exposición de los datos. | Alto | MITRE Attack
|
| Seguridad de la cuenta | Cuentas de equipo con contraseñas sin modificar | Busca las cuentas de equipo cuyas contraseñas no se hayan cambiado en los últimos N días (90 días, por defecto). Estas son más propensas a los ataques internos y pueden verse comprometidas por la pulverización de contraseñas, el robo de credenciales, Kerberoasting y los ataques de fuerza bruta. Las cuentas comprometidas pueden ayudar a los atacantes a obtener acceso a recursos y datos sensibles. | Medio | MITRE Attack
|
| Seguridad de la cuenta | Servidores con contraseñas sin modificar | Identifica los servidores con contraseñas que no han sido actualizadas en el periodo de tiempo configurado. Estos servidores pueden dar lugar a vulnerabilidades como los ataques Pass-the-Hash, los ataques Pass-the-Ticket y la ejecución remota de código (RCE), que se aprovechan de una autenticación débil para obtener acceso administrativo. | Alto | MITRE Attack
ANSSI
|
| Delegación y confianza de AD | Delegación restringida con transición de protocolo a un servicio privilegiado | Identifica los equipos que han restringido la delegación mediante la transición de protocolo definida a un servicio privilegiado. Un equipo comprometido podría permitir que un atacante interactuara con otros servicios, lo que daría lugar a accesos no autorizados, robo de datos o escalamiento de privilegios. Además, las transiciones de Kerberos mal gestionadas pueden crear brechas de seguridad en los procesos de autenticación, amenazando la seguridad general del entorno de AD. | High | MITRE Attack
ANSSI
|
| Configuraciones del DC y servidor | Servidores con SMB versión 1.0 | Busca servidores con SMB versión 1.0 en un dominio de AD. SMB versión 1 es un protocolo antiguo (suspendido por Microsoft en 2014), que se considera inseguro y susceptible a todo tipo de ataques. Los equipos que utilizan SMB versión 1 para compartir archivos carecen de protecciones clave como el cifrado, la integridad previa a la autenticación, los inicios de sesión de invitados seguros y la firma de mensajes mejorada que ofrecen las últimas versiones. Los atacantes podrían explotar las brechas de seguridad y tomar el control de los equipos mediante sesiones remotas, lo que provocaría la pérdida de datos. | Alto | MITRE Attack
|
| Configuraciones del DC y servidor | Equipos con ID de grupo principal anómalo | Identifica las cuentas de equipo con ID de grupo principal anómalo. Normalmente, el grupo principal establecido durante la creación del equipo en AD es Equipos de Dominio (PGID=515). Los ciberatacantes pueden modificar el PGID de un objeto de equipo comprometido o utilizar cuentas de equipo con PGID modificados y formar parte de grupos privilegiados. Esto les permite tener los altos privilegios necesarios para adentrarse en la red. Podrían exponer a la organización al robo de datos y a otros ciberataques. | Medio | MITRE Attack
ANSSI
|
| Configuraciones del DC y servidor | Equipos con ID de grupo principal ilegible | Enumera los equipos que no tienen permisos de lectura sobre el ID de grupo principal. Los ID de grupo principal ilegibles pueden hacer que los administradores concedan permisos y privilegios excesivos para una cuenta de equipo. Si los atacantes utilizan estas cuentas para comprometer la red, pueden añadirlas a cualquier grupo privilegiado y acceder a archivos y carpetas confidenciales. | Medio | MITRE Attack
|
| Categoría | Nombre del indicador | Probabilidad de compromiso | Gravedad
| Marco |
|---|---|---|---|---|
| Seguridad de la cuenta | DC inactivos | Detecta los controladores de dominio en su dominio cuyo valor del atributo lastLogonTimestamp es superior a 45 días. Los DC obsoletos que no se han replicado durante más de 45 días, o cuyo intervalo de replicación (n) está configurado para más de 45 días, pueden causar varias vulnerabilidades de seguridad dentro de la organización, ya que no recibirán ninguna actualización de seguridad ni cambios en las directivas de grupo. También pueden tener datos obsoletos, como cambios en las cuentas de usuario, pertenencia a grupos o actualizaciones de contraseñas. Esto puede causar problemas de autenticación y autorización en toda la red, y los ciberatacantes podrían explotar estas brechas para acceder a datos confidenciales. | Bajo | MITRE Attack
ANSSI
|
| Delegación y confianza de AD | Controladores de dominio configurados con delegación restringida basada en recursos | Identifica los controladores de dominio que conceden a determinadas cuentas plenos derechos de delegación en los controladores de dominio. Esta configuración concede a determinadas cuentas plenos derechos de delegación en los controladores de dominio, lo que puede proporcionar puntos de entrada a los atacantes. Si un atacante compromete una cuenta de servicio delegada, podría explotar esta confianza para suplantar a usuarios, acceder a datos confidenciales y realizar un ataque DCSync. | Alto | MITRE Attack
ANSSI
|
| Configuraciones del DC y servidor | CD con configuraciones inusuales | Enumera los controladores de dominio que no tienen las características estándar en su dominio de AD. La presencia de controladores de dominio no funcionales y maliciosos en el dominio hace que todo AD sea altamente vulnerable a varios ataques cibernéticos como los ataques DCShadow y los ataques DCSync. En tales escenarios, los atacantes pueden inyectar objetos de dominio (como cuentas, listas de control de acceso, esquemas, credenciales o claves de acceso) y replicar los cambios en la infraestructura de AD. | Crítico | MITRE Attack
ANSSI
|
| Categoría | Nombre del indicador | Probabilidad de compromiso | Gravedad
| Marco |
|---|---|---|---|---|
| Gestión de grupos y pertenencias | Grupos vacíos | Detecta los grupos de seguridad vacíos en un dominio de AD. Estos grupos tendrán permisos y acceso a los recursos de su organización y servirán como superficies de ataque para los atacantes que buscan una oportunidad para explotar, proporcionando acceso no autorizado a los recursos de la red. Además, los grupos vacíos en AD pueden consumir mucho espacio y afectar al rendimiento. | Bajo | MITRE Attack
|
| Seguridad de la identidad privilegiada | Grupos privilegiados | Detecta los grupos de seguridad con privilegios administrativos en un dominio de AD. Estos grupos con privilegios administrativos son grupos con privilegios elevados y, por tanto, cuando un miembro del grupo administrativo se ve comprometido, los atacantes pueden acceder fácilmente y tomar el control de su red. Con un anidamiento excesivo, también podrían provocar una sobrecarga administrativa. | Bajo | MITRE Attack
|
| Gestión de grupos y pertenencias | Grupos de un solo miembro | Identifica a los grupos de seguridad de AD con un solo miembro, incluidos los grupos anidados y sus miembros. Los grupos de seguridad se crean para gestionar los permisos de acceso de un determinado grupo de objetos. Tener un solo usuario en un grupo frustra todo el propósito de las pertenencias a grupo. También existe la posibilidad de que los administradores añadan accidentalmente usuarios a estos grupos, que no requieren los permisos y recursos que entran en el ámbito de este grupo. | Bajo | MITRE Attack
|
| Gestión de grupos y pertenencias | Grupos grandes | Detecta los grupos de seguridad de AD cuyo recuento de miembros supera el valor de umbral configurado (20% del total de usuarios y equipos del dominio, por defecto) para el total de usuarios y equipos en un dominio de AD. Estos grupos tienden a ocupar mucho espacio y podrían afectar al rendimiento y la salud del dominio de AD. Estos grupos también pueden ser muy intrincados y, por tanto, resulta complejo gestionarlos. | Bajo | MITRE Attack
|
| Seguridad de la identidad privilegiada | Grupos grandes privilegiados | Busca a los grupos de seguridad con privilegios administrativos cuyo número de miembros supera el valor de umbral configurado (2% del total de usuarios del dominio, por defecto) para el total de usuarios en el dominio de AD. Los miembros de los grupos administrativos heredarán automáticamente los permisos que se les asignen y tener un gran número de miembros es una gran amenaza para la seguridad. Dado que tienen una superficie de ataque más amplia, comprometer una sola cuenta puede llevar a comprometer otras cuentas privilegiadas y allanar el camino a ataques de escalamiento de privilegios. | Bajo | MITRE Attack
ANSSI
|
| Gestión de grupos y pertenencias | Grupos con historial de SID | Detecta los grupos con el valor de historial de SID. Inyectar un SID de alto nivel (como el de los administradores) en un grupo de nivel inferior puede conducir a un escalamiento de privilegios no autorizado, permitiendo un control excesivo sobre los recursos sensibles. Cuando los grupos migran entre dominios, pueden conservar sus antiguos privilegios de dominio a través del historial de SID, lo que les da un acceso que no deberían tener. Esta situación aumenta el riesgo de uso indebido. | Bajo | MITRE Attack
ANSSI
|
| Gestión de grupos y pertenencias | Grupos vacíos | Enumera los grupos de Microsoft 365 que no tienen ningún miembro. Los grupos no utilizados, en particular los que tienen una finalidad específica, pueden descuidarse o pasarse por alto, lo que conlleva riesgos para la seguridad. El anidamiento de grupos puede dificultar la eficacia del directorio, y el anidamiento innecesario puede complicar la comprensión de las pertenencias a grupos. | Bajo | MITRE Attack
|
| Categoría | Nombre del indicador | Probabilidad de compromiso | Gravedad
| Marco |
|---|---|---|---|---|
| Errores de configuración en directivas y permisos | GPO no vinculados | Identifica los GPO no vinculados en un dominio de AD. Estos GPO pueden ocupar mucho espacio y podrían afectar la salud de AD. Los GPO con ajustes de seguridad que no se aplican pueden hacer que los sistemas sean vulnerables y generar errores administrativos debido a los cuales los administradores pueden vincularlos accidentalmente a un sitio, OU o dominio que requiera ajustes de directivas diferentes. | Bajo | NA* |
| Errores de configuración en directivas y permisos | GPO deshabilitados | Identifica los GPO deshabilitados en su dominio de AD. Estos GPO pueden introducir ineficiencias y crear posibles brechas de seguridad en AD. Cuando los GPO con ajustes de directivas inactivas se acumulan, pueden causar un desorden innecesario, dificultando a los administradores la navegación y la gestión efectiva de las directivas. En algunos casos, los GPO deshabilitados obsoletos o conflictivos incluso podrían volver a habilitarse accidentalmente, provocando un comportamiento inesperado en todos los sitios, OU o dominios. | Bajo | NA* |
| Categoría | Nombre del indicador | Probabilidad de compromiso | Gravedad
| Marco |
|---|---|---|---|---|
| Seguridad de la identidad privilegiada | Objetos con permisos para restablecer contraseñas de cuentas privilegiadas | Detecta los objetos con permisos para restablecer contraseñas de cuentas privilegiadas en su dominio. Los atacantes que comprometen estos objetos pueden restablecer la contraseña de cualquier otra cuenta utilizando herramientas como net user/domain, Set-ADAccountPassword -Reset, Active Directory Users and Computers o PowerSploit. Luego se pueden autenticar como el usuario afectado utilizando la nueva contraseña para explotar sus privilegios. Como los atacantes no conocen la contraseña anterior, no pueden restablecer la contraseña original. Así, los usuarios legítimos y las cuentas de servicio se convierten a menudo en víctimas del ataque y sufren la interrupción de los servicios. | Crítico | MITRE Attack
|
| Seguridad de la identidad privilegiada | Objetos con permisos para cambiar la pertenencia a grupo de las cuentas privilegiadas | Identifica los objetos con permisos para modificar la pertenencia a grupo de las cuentas privilegiadas de su dominio. Si los atacantes obtienen acceso a dichos objetos, pueden explotar los derechos de acceso concedidos en el grupo, como los permisos a archivos compartidos y aplicaciones. Puede resultar en un acceso no autorizado a datos confidenciales, lo que se traduce en ciberataques de escalamiento de privilegios. | Crítico | MITRE Attack
|
| Errores de configuración en directivas y permisos | Cuentas sin privilegios con permisos sobre los DC | Busca las cuentas sin privilegios que gestionan controladores de dominio en su dominio. Los controladores de dominio suelen ser establecidos por cuentas con privilegios, y si las cuentas sin privilegios tienen demasiados permisos, pueden poner en peligro todo el dominio. El acceso no autorizado puede permitir cambios perjudiciales, como la eliminación de objetos importantes y la manipulación de ajustes críticos, que pueden resultar en violaciones de la seguridad de los datos. Es crucial mantener un control estricto sobre los permisos para proteger la seguridad del dominio. | Crítico | MITRE Attack
ANSSI
|
| Errores de configuración en directivas y permisos | Cuentas sin privilegios con permisos AdminSDHolder | Detecta las cuentas sin privilegios con permisos AdminSDHolder en su dominio. Cuando los atacantes utilizan dichas credenciales de usuarios no privilegiados y modifican los permisos de las cuentas privilegiadas, podrían conceder privilegios administrativos ocultos a las cuentas privilegiadas comprometidas, a través de los cuales pueden acceder a datos sensibles. Como estos cambios son más difíciles de detectar, podrían convertirse en una cortina de humo para muchos ciberataques en una red de AD. | Crítico | MITRE Attack
ANSSI
|
| Errores de configuración en directivas y permisos | Cuentas sin privilegios autorizadas para la replicación de DC | Detecta las cuentas sin privilegios con permisos de replicación del controlador de dominio en su dominio. Si una cuenta de usuario con este privilegio se ve comprometida, se podría iniciar un ataque DCSync para obtener los hashes de todas las contraseñas en un entorno de AD, lo que podría llevar a la violación de múltiples cuentas. Esto podría hacer que la organización sea víctima de ataques de ransomware o de phishing y pierda los datos de la empresa. | Crítico | MITRE Attack
|
| Errores de configuración en directivas y permisos | Cuentas sin privilegios con permisos sobre los GPO | Identifica a los usuarios o cuentas de equipo sin privilegios que pueden modificar la DACL de los objetos de GPO utilizando cualquiera de los siguientes permisos: Control total, Escribir todas las propiedades, Modificar permisos. Si los atacantes comprometen las cuentas con permiso para modificar la DACL de los GPO, esto haría que los objetos de GPO en AD fueran altamente vulnerables. Podrían alterar las directivas de seguridad, como las de cuentas y contraseñas, lo que conllevaría graves riesgos como la creación de puertas traseras para el acceso persistente no autorizado y la manipulación de datos organizacionales. Esto podría resultar en directivas de contraseñas débiles, controles de seguridad deshabilitados, privilegios elevados para los atacantes y posibles violaciones de los datos, comprometiendo gravemente la seguridad organizacional. | Alto | MITRE Attack
|
| Errores de configuración en directivas y permisos | Objetos sin permisos heredados | Busca los objetos cuyos permisos son diferentes de los de sus objetos principales, independientemente del árbol de permisos en AD. Las directivas de seguridad suelen basarse en permisos heredados para aplicar controles de acceso consistentes en todo AD. Los atacantes pueden explotar la herencia deshabilitada para escalar privilegios aprovechando los permisos personalizados configurados incorrectamente y obtener acceso no autorizado a los recursos. | Bajo | MITRE Attack
|
| Seguridad de la identidad privilegiada | Administradores ocultos | Detecta las cuentas de administrador ocultas en su dominio. Los administradores ocultos son usuarios con derechos administrativos sobre las cuentas altamente privilegiadas en un dominio de AD. Cuando los atacantes se infiltran en una red, suelen apuntar a los privilegios del administrador del dominio para acceder a activos sensibles. Es probable que se detecte la obtención de privilegios administrativos utilizando una cuenta ordinaria comprometida. Sin embargo, si las cuentas comprometidas son cuentas administrativas ocultas, pueden obtener discretamente los privilegios administrativos y explotarlos. Esto aumenta significativamente los riesgos de ciberseguridad, ya que estas actividades a menudo pasan desapercibidas, lo que provoca graves incidentes de seguridad. | Crítico | MITRE Attack
|
| Categoría | Nombre del indicador | Probabilidad de compromiso | Gravedad
| Marco |
|---|---|---|---|---|
| Seguridad de la cuenta | Cuentas con ID de grupo principal anómalo | Identifica las cuentas de usuario con valores modificados del ID de grupo principal. Normalmente, el grupo principal establecido durante la creación de usuarios en AD es Usuarios de Dominio (PGID=513). Los ciberatacantes pueden modificar el PGID de un objeto de usuario comprometido o utilizar las cuentas de usuario con PGID modificado y convertirse en parte de grupos privilegiados eludiendo las directivas de control de acceso existentes y obtener privilegios elevados. Podrían exponer a la organización al robo de datos y a otros ciberataques | Bajo | MITRE Attack
ANSSI
|
| Seguridad de la cuenta | Usuarios sin un ID de grupo principal legible | Busca las cuentas de usuario que no tengan permisos de lectura sobre el ID de grupo principal (PGID). Esto podría dar resultar en controles de acceso incorrectos o insuficientes, permitiendo a usuarios no autorizados acceder a recursos sensibles o impidiendo a los usuarios legítimos acceder a lo que necesitan. Los administradores pueden conceder inadvertidamente permisos excesivos a los usuarios o no aplicar las restricciones necesarias, lo que aumenta el riesgo de violación de la seguridad de los datos o de acciones no autorizadas. Además, puede afectar a la postura de seguridad general, ya que un ID principal mal configurado genera pistas de auditoría incompletas. | Alto | MITRE Attack
|
| Seguridad de la cuenta | Usuarios inactivos en servicios específicos de Microsoft 365 | Detecta los usuarios no privilegiados de Microsoft 365 que han estado inactivos durante un periodo específico (30 días, por defecto) o que nunca han iniciado sesión en servicios específicos de Microsoft 365 como Exchange, OneDrive, Teams, SharePoint, Skype o Yammer. Si las cuentas inactivas no se gestionan correctamente, las credenciales válidas vinculadas a ellas podrían ser explotadas por individuos para obtener acceso no autorizado o moverse lateralmente dentro de su sistema. También consumen recursos como licencias, almacenamiento y potencia de procesamiento, lo que genera costos innecesarios para la organización. | Bajo | NA* |
MANTÉNGASE PROTEGIDO la evaluación de riesgos de ADManager Plus
Evaluación exhaustiva
Identifique las brechas de seguridad con información detallada sobre cada indicador de riesgo y los objetos de riesgo responsables.
Priorización de riesgos
Concentre los esfuerzos y los recursos en las vulnerabilidades más críticas según la gravedad de los indicadores y la exposición al riesgo.
Mitigación proactiva
Gestione al instante los objetos de riesgo de cada indicador de riesgo con acciones de gestión sobre la marcha.
Corrección de riesgos
Obtenga información sobre cómo se pueden mitigar los riesgos de forma proactiva con medidas de recomendación detalladas.