Auditoría de cambios y reversión de Active Directory

La auditoría de Active Directory es el proceso de supervisión de AD en busca de vulnerabilidades y errores comunes de configuración y gestión que pueden abrir la puerta a compromisos de seguridad. Muchas organizaciones tienen entornos AD heredados con docenas o cientos de errores de configuración que se han acumulado a lo largo del tiempo. Debido a los recursos limitados y a la falta de conocimientos sobre AD en el personal, a menudo se pasa por alto la auditoría continua de AD y Entra ID en busca de brechas de seguridad. Los ciberdelincuentes saben que muchas brechas de seguridad comunes de AD no se abordan, lo que convierte a AD en el objetivo número 1 de los ciberataques: Los investigadores de Mandiant informan de que 9 de cada 10 ataques afectan a AD de alguna manera. Para conocer las vulnerabilidades de seguridad de AD en su organización, descargue Purple Knight, una herramienta gratuita de evaluación de la seguridad de AD que analiza el entorno de AD en busca de cientos de indicadores de exposición (IOE) y de compromiso (IOC), proporciona una puntuación de seguridad general y ofrece orientación prioritaria para la corrección por parte de expertos en seguridad de AD.

La auditoría de los cambios en las directivas de grupo es una parte fundamental del refuerzo de la seguridad de Active Directory y supone un reto porque las soluciones tradicionales de supervisión basada en eventos no suelen incluir detalles sobre los cambios dentro de una directiva de grupo. Por ejemplo, si un atacante realiza un cambio malicioso con el ransomware Ryuk ransomware, la única señal será que una cuenta con acceso a la directiva de grupo ha realizado un cambio, lo que probablemente no activará una alerta. Para detectar cambios maliciosos en la directiva de grupo, necesita una solución que utilice varias fuentes de datos, incluido el flujo de replicación de AD, para obtener un contexto adicional que indique un posible ataque en curso. Para comprender las brechas de seguridad en su AD relacionadas con las desconfiguraciones de las directivas de grupo, descargue Purple Knight, una herramienta gratuita de evaluación de la seguridad de AD que analiza el entorno AD en busca de cientos de indicadores de exposición (IOE) y compromiso (IOC). Purple Knight busca varios errores de configuración de las directivas de grupo, incluidos los cambios ejecutables de SYSVOL, la delegación de enlaces de GPO en el nivel de sitio de AD y las contraseñas reversibles encontradas en los GPO.

Para realizar un seguimiento de los cambios en Active Directory, es necesario supervisar continuamente el entorno de AD en busca de indicadores de exposición (IOE) y de compromiso (IOC) relacionados con la seguridad de las cuentas de Active Directory, la delegación de AD, la directiva de grupo, Kerberos, la seguridad de Entra ID y la seguridad de la infraestructura de AD. Los grupos de ransomware están desarrollando constantemente nuevos métodos para comprometer AD, que es el principal almacén de identidades para el 90% de las organizaciones de todo el mundo. Con un acceso privilegiado a AD, los ciberdelincuentes pueden acceder a toda la red y paralizar las operaciones empresariales. Para una evaluación puntual de las brechas de seguridad de AD, descargue Purple Knight, una herramienta gratuita de evaluación de la seguridad de AD que escanea el entorno de AD en busca de cientos de indicadores de exposición (IOE) y de compromiso (IOC), proporciona una puntuación de seguridad global y ofrece orientación prioritaria para la corrección por parte de expertos en seguridad de AD. Para realizar un seguimiento continuo de los cambios en AD y Entra ID, consulte Directory Services Protectoruna solución de detección y monitoreo de amenazas de AD que rastrea los cambios en AD y Entra ID y proporciona reversión automatizada de cambios maliciosos en AD.

Puede utilizar la herramienta gratuita de evaluación de la seguridad de AD Purple Knight para escanear su entorno de Entra ID en busca de varios IOE e IOC, incluyendo cuentas de invitados inactivas, políticas de acceso condicional mal configuradas y usuarios privilegiados de Entra ID que también son usuarios privilegiados en AD on-prem, lo que puede resultar en que ambos entornos se vean comprometidos. Puede utilizar Directory Services Protector para rastrear los cambios de Entra ID en tiempo real; para obtener más información, consulte "Mejore la protección de AD y Entra ID contra amenazas cibernéticas".

DCShadow es uno de los pocos tipos de ataques que no dejan pruebas de actividad maliciosa, por lo que son difíciles de detectar con los sistemas tradicionales basados en eventos o registros. Esta técnica de ataque elude el registro tradicional basado en SIEM. En su lugar, los cambios se inyectan directamente en el flujo de replicación de los controladores de dominio de producción. Para protegerse de los ataques que eluden la supervisión tradicional, las organizaciones necesitan soluciones que utilicen varias fuentes de datos, incluido el flujo de replicación de AD. Para una detección y respuesta exhaustivas a las amenazas de AD, incluida la capacidad de auditar AD en busca de ataques que eluden los SIEM y otras herramientas de supervisión tradicionales, consulte Directory Services Protector.