Los ataques contra el Active Directory (AD) tienen un fuerte impacto global en los negocios. Esta amenaza ha demostrado su capacidad de detener fábricas, hacer aterrizar aviones, destruir marcas, desestabilizar mercados bursátiles y llevar a corporaciones a la quiebra. En el marco del 2° IT Masters CON: Virtual, Edher Domínguez, ingeniero de Seguridad de Tenable, expuso los grandes riesgos que hay detrás de los ataques al AD y cómo enfrentarlos de forma eficiente.
“Detrás de casi toda intrusión hay una vulnerabilidad conocida y un AD inseguro”, indicó Domínguez. Las cifras lo respaldan: 99% de las grandes organizaciones utiliza un directorio activo; 80% de las organizaciones globales auditadas por problemas de AD tenían errores de configuración críticos; y 60% de los nuevos malware incluyen código específico para atacar el AD.
“El acceso al AD es muy redituable. Permite realizar infecciones laterales de forma fácil y rápida. Ryuk, una amenaza muy popular en el último tiempo, demora apenas cinco horas entre el phishing inicial y la toma de control del dominio de administrador”, dijo el experto de Tenable.
El ataque reciente más conocido que aprovechó el AD fue el que afectó a SolarWinds, un proveedor de servicios IT de Estados Unidos. El grave incidente se extendió a los clientes de SolarWinds y operó desde las sombras durante meses, alcanzando a afectar a organizaciones clave del gobierno norteamericano e incluso a empresas de ciberseguridad, como FireEye. De acuerdo con Domínguez, no hay mejor prueba de que el directorio activo on-premises es aún un vector de acceso efectivo.
Esto sucede porque Active Directory tiene las llaves de todo: gobierna la autenticación, administra los derechos de acceso a todos los activos y sistemas vitales; es además una arquitectura compleja, en continuo desarrollo, que se vuelve inmanejable con el tiempo.
“Muchas empresas cuentan con todo un set de soluciones de ciberseguridad y se sienten protegidas, pero con el AD esto no es siempre efectivo. Lo cierto es que herramientas como IAM, EDR, VAPT y SIEM, realmente no protegen de ataques al AD”, dijo Domínguez.
Una de las razones es que las credenciales de acceso en el AD no son tan sencillas de administrar. El Active Directory es una tecnología que existe hace más de 20 años y prácticamente no ha cambiado en el tiempo. Se actualizó para dar lugar a las nuevas herramientas, pero sigue siendo básicamente lo mismo.
“Prácticamente la única forma en que podemos tener certeza que estos ataques están sucediendo, y por lo tanto enfrentarlos, es con visibilidad completa y una una solución automatizada. Lo importante es detectar los comportamientos irregulares y conocer dónde se pueden cortar las cadenas de ataque aún si alguna de nuestras protecciones falla”, indicó Domínguez.
Algunos consejos de Tenable para asegurar el Active Directory son:
- Encontrar y reparar las deficiencias existentes: siguiendo tácticas de corrección paso a paso.
- Desenmascarar las nuevas vías de ataque: Identificar continuamente las nuevas vulnerabilidades y errores de configuración, para luego eliminarlos.
- Detectar ataques en curso en tiempo real: Recibir alertas y planes de corrección accionables para los ataques al AD.
- Investigar incidentes y rastrear amenazas: Buscar y correlacionar los cambios en el AD a nivel de objetos y de atributos.
