Empecemos con una pequeña lección de historia... Allá por 2014, se publicaron una serie de artículos en los que se pedía el desmantelamiento y la desaparición de Active Directory (AD) por diversas razones. Avancemos hasta 2018, cuando pedíamos su desaparición o, sencillamente, que las empresas cogieran sus servidores de AD, los tiraran por un precipicio y se subieran al carro de la nube de los servicios de directorio gestionados y la identidad como servicio...
Hoy en día, si escuchas a algunos de los proveedores de soluciones de identidad que hay por ahí, te explicarán que AD tiene 20 años y que hay que jubilarlo y fundirlo para hacer barras de pegamento, porque ellos pueden encargarse de todo. Y, caramba, ¿quién quiere lidiar con impresoras compartidas y todas esas minucias de la oficina? No pasa nada, la nube ya se encarga de eso, y de lo que se le escape, ellos se ocuparán, O no es para tanto.
Hmmm, reality check, por favor.
En primer lugar, sí, Active Directory lleva con nosotros unos 20 años, y ha evolucionado, madurado y se ha vuelto polifacético para poder hacer frente a muchas de las complejidades modernas a las que lo hemos sometido. No es perfecto, como tampoco lo es nada más que exista, pero es capaz de funcionar como parte de una solución híbrida para gestionar muchas de esas aplicaciones relacionadas con la nube que todos utilizamos.
En segundo lugar, cualquiera que piense que los recursos como las impresoras «se las arreglarán solas» debería hacerse revisar la cabeza. Como hacker, las impresoras son uno de mis lugares favoritos para pasar el rato, analizar el terreno, vigilar la oficina, recolectar, recopilar y extraer datos… Son geniales. A nadie le gusta instalarles antivirus, aplicarles parches o incluso incluirlas en las reglas de seguridad de la red porque son un rollo de gestionar… lo que significa que son como un asiento en primera fila en la ópera para cualquiera con mentalidad de atacante.
En tercer lugar, hay que estar completamente loco para pensar que lo que tienes hoy te lo pueden quitar y entregárselo a una organización de gestión de identidades. Sí, gran parte de lo que hacen es excelente y complementa parte de la arquitectura de AD. Añade una capa y proporciona mecanismos de autenticación adicionales que AD simplemente no tiene. Pero, desde luego, NO va a gestionar todos tus sistemas, arquitecturas, recursos compartidos, entornos y matices dentro de tu empresa.
Lo cual nos lleva directamente a la sección «POR QUÉ»...
Como se ha señalado anteriormente en el tercer punto, Active Directory es complejo y extenso. Tiene más tentáculos incrustados en tu empresa que Cthulhu en un buen día, lo que significa que presenta vulnerabilidades y retos. Algunos de estos problemas se deben a la forma en que está configurado AD, otros a su gestión y a cómo ha evolucionado, y otros simplemente a que administrar AD (me refiero a administrarlo DE VERDAD) es un arte oscuro que solo conocen unos pocos expertos… la mayoría de los cuales se han vuelto locos con el paso de los años.
Todo esto hace que AD sea un objetivo prioritario para cualquier adversario que intente acceder a tu entorno. Si echamos un vistazo rápido a diversas bases de datos de vulnerabilidades, AD tiene tantas que necesitaríamos un grupo de amigos que sumaran los dedos de las manos y los pies para contar todas las formas de entrar en él o explotarlo. Y el pobre LDAP tiene tantos problemas que lleva acudiendo al terapeuta casi cada semana desde que apareció en escena (casi 600 formas de utilizar LDAP para violar la seguridad de los sistemas... y la lista sigue creciendo).
Así pues, enhorabuena: en el corazón de tu empresa hay una fantástica solución tecnológica que gestiona todos tus activos, usuarios, sistemas, políticas, perfiles y derechos... pero que, sin embargo, tiene tantas fugas como un colador y es tan vulnerable como un potro de un día.
¿Qué haces? Lo rodeas de un sinfín de siglas diseñadas para proteger y servir, pero, como adversario, voy a colarme de todos modos. De hecho, por lo general, ya estoy dentro. Probablemente estoy sentado en esa impresora, y llevo allí varios meses simplemente observando… y ni siquiera sabías que estaba aquí. Ya hemos tenido esta conversación antes, pero te lo voy a recordar. No puedes mantenerme fuera, ni por asomo; nada de lo que compres, nada a lo que te suscribas ni en lo que inviertas me impedirá llegar a la primera base en tu red (o dentro de ella). El reto es: ¿qué haces a continuación?
Si sigues la filosofía de «dar por hecho que se ha producido una brecha de seguridad», ya tendrás en cuenta algunos aspectos. Habrás realizado simulacros. Conocerás tus problemas y retos. Habrás implementado diversas tecnologías para recibir alertas más proactivas y preventivas, y ahí es donde entra en juego el equipo de Semperis. Y esa es también la razón por la que estoy colaborando con ellos y ayudándoles a comprender un poco más el tema. (Ya tienen muchísima información sobre cómo actúa el adversario… Yo solo estoy aquí para las cosas realmente sutiles…)
Adoptando un enfoque proactivo... ¿qué tal si tomamos el concepto de la herramienta de supervisión de la salud, la seguridad y la protección de AD... lo llevamos al máximo y lo ponemos a disposición de la comunidad de forma gratuita? Sí, eso será algo que saldrá pronto para los investigadores y los frikis.
Siguiendo el enfoque de auditoría... ¿qué tal si analizamos los retos de AD, relacionamos los vectores de ataque con el marco MITRE ATT&CK y, a continuación, te ayudamos a comprender cómo mitigamos esos problemas? Sí, eso saldrá pronto y debería satisfacer tanto al equipo de auditoría como a la dirección.
Pensando en el peor de los casos... cuando te ataquen, ¿qué tal si establecemos un proceso de recuperación para que dediques tu tiempo a recuperarte y NO a pagar rescates a personas anónimas de Internet? Sí, ya lo tenemos todo controlado... eso mantendrá contentos tanto a los expertos en informática como a los de la aseguradora.
Ya te haces una idea. El equipo de aquí está adoptando un enfoque proactivo. Se están acercando a la comunidad para crear un centro de investigación que fomente el intercambio de conocimientos y están aportando a las conversaciones ese espíritu de colaboración que tanto se necesita.
De ahí la lógica de salir con ellos, se preocupan.
«Eso es todo por ahora»
Chris
