¿Deberías actualizar tu bosque de AD actual a Active Directory de Windows Server 2016 (también conocido como AD 2016), o deberías dejarlo como está? A pesar del interés y la actividad que rodea hoy en día a la adopción de servicios en la nube, lo cierto es que Active Directory sigue siendo la base de todo. Además de su prolongado dominio como fuente de identidades local, la gran mayoría de las organizaciones de tamaño medio y grande de todo el mundo utilizan un modelo de identidades híbrido, basado en AD, para sus servicios en la nube. Por ello, se trata de una cuestión importante.
Una de las principales razones por las que los departamentos de TI no han actualizado su entorno de Active Directory a Windows Server 2016 desde sistemas operativos en fase intermedia de soporte, como Windows Server 2012 o R2, es que no creen que haya una «funcionalidad estrella» clara y convincente, como la Papelera de reciclaje de Active Directory, que justifique la actualización. Si eres uno de ellos, deberías echar un vistazo más de cerca a Windows Server 2016.
Analicemos, a través de ejemplos prácticos —tanto empresariales como técnicos— de entornos y necesidades que quizá también tenga, las principales mejoras en materia de seguridad de Active Directory y del sistema operativo de Windows Server desde la versión 2008 R2. ¿Se ajusta alguno de estos ejemplos a su organización?
Si virtualiza sus DC
La virtualización lleva muchos años generalizada, pero la virtualización de los servidores de dominio (DC) suele ir a la zaga de otras cargas de trabajo por dos razones de peso: la integridad y la seguridad. Si ha virtualizado algunos o todos sus servidores de dominio, tanto el sistema operativo Windows Server 2016 como Active Directory (AD) ofrecen importantes mejoras en materia de integridad y seguridad que debería aprovechar de inmediato.
Uno de los problemas que plantea la virtualización de una aplicación como AD, que realiza un seguimiento de su estado, es que, si se restaura a partir de una instantánea de máquina virtual tomada anteriormente, el controlador de dominio restaurado no se da cuenta de que está desincronizado con los demás controladores de dominio. Esta situación puede provocar graves errores de divergencia en el dominio o el bosque. Windows Server 2012 introdujo una característica tanto en AD como en Hyper-V, el VM-GenID, que básicamente le indica a AD que se ha restaurado a partir de una instantánea y que debe tomar las medidas adecuadas para protegerse.
Al recibir la notificación de la restauración de la instantánea, el servidor de dominio descarta su grupo de RID y restablece el ID de invocación (el número de versión de la base de datos de AD) para evitar problemas de divergencia. (Sin embargo, sigue sin ser recomendable restaurar los servidores de dominio a partir de instantáneas de forma habitual). VMware, Xen y otros proveedores de virtualización también han adoptado este método, por lo que no es necesario que tus servidores de dominio estén en Hyper-V.
Si tus controladores de dominio (DC) tienen Windows Server 2012 o 2012 R2 y aún no los has virtualizado por motivos de seguridad relacionados con los servidores de host, Windows Server 2016 te ofrece una característica importante. El sistema operativo más reciente resuelve un problema de seguridad fundamental de cualquier máquina virtual: cualquier persona con derechos de administrador en la máquina de host puede simplemente copiar los archivos de la máquina virtual desde el host y manipularlos a su antojo. Un DC es un objetivo principal para este tipo de ataque, ya que, como es lógico, contiene los ID de usuario y las contraseñas de todos los empleados de la empresa. La función «Shielded VMs» protege las máquinas virtuales frente a administradores malintencionados o que hayan sido comprometidos, como los administradores de almacenamiento, los de copias de seguridad, etc., mediante el cifrado del disco y del estado de las máquinas virtuales, de modo que solo los administradores de la máquina virtual o del inquilino puedan acceder a ellas.
Apoyo a sus clientes en un mundo híbrido
Por supuesto, una organización no se limita únicamente a sus servidores. Los clientes con los que interactúan los usuarios también son importantes. Tradicionalmente, el departamento de TI solo tenía que ocuparse de los clientes Windows incorporados al dominio, pero hoy en día los usuarios empresariales disponen de una gran variedad entre la que elegir. A lo largo de varias versiones, Active Directory se ha adaptado para gestionar esta mayor variedad.
Si tu organización está adoptando la «transformación digital» de los servicios en la nube —en concreto, Azure Active Directory con clientes de Windows 10—, hay un caso concreto en el que debes prestar especial atención a AD 2016. En primer lugar, unos breves antecedentes sobre la compatibilidad de dispositivos en AD te ayudarán a comprender este caso.
Active Directory ha soportado históricamente dispositivos Windows unidos a un dominio. A partir de Windows Server 2012 R2, AD también permitió a un usuario realizar un registro (se puede pensar en ello como una unión ligera) de un dispositivo móvil como un teléfono inteligente. Esta capacidad de Workplace Join da al dispositivo una presencia en AD y lo asocia con un usuario. Esta asociación confiere al dispositivo un mayor grado de confianza que un dispositivo desconocido, por lo que se le puede conceder el inicio de sesión único y el acceso a recursos de red más seguros.
El hermano mayor de AD en la nube —Azure AD— también es compatible con ambos tipos de dispositivos. Puede incorporarlos directamente al servicio en la nube mediante la incorporación a Azure AD para dispositivos Windows 10 y el registro en Intune para dispositivos iOS, Android y Mac OS. Esta arquitectura ya de por sí confusa se vuelve aún más confusa en un entorno híbrido con clientes locales de Windows 7 y 8; Azure AD puede detectarlos mediante una incorporación híbrida a Azure AD, necesaria para aplicar políticas de acceso condicional basadas en el dispositivo.
¿Está considerando utilizar Windows Hello para empresas con el fin de ofrecer una autenticación segura más allá de las contraseñas? De forma predeterminada, Hello le permite desbloquear su dispositivo con Windows 10 mediante datos biométricos o un PIN. Hello para empresas es un marco de autenticación multifactorial (MFA) más amplio que utiliza claves asimétricas (almacenadas en el módulo de seguridad del dispositivo) para autenticar al usuario. Existe un escenario de MFA en un entorno híbrido de Active Directory local y Azure AD en el que se necesitan tanto AD 2016 como AD FS 2016. Hablaré de las razones para considerar la actualización a AD FS 2016 en una próxima entrada del blog.
Mayor seguridad
Independientemente de las mejoras de AD, actualizar el sistema operativo subyacente a Windows Server 2016 te aportará ventajas en materia de seguridad. Si por casualidad sigues utilizando la versión 2008 R2, al actualizar obtendrás una interfaz de usuario para la Papelera de reciclaje de AD que facilita mucho su uso. También puede empezar a cerrar una brecha de seguridad que lleva mucho tiempo sin solucionarse: las contraseñas antiguas e inmutables de sus cuentas de servicio. Las cuentas de servicio gestionadas por grupo (gMSA) actualizan automáticamente la contraseña de estas cuentas por usted, incluso si se utilizan en un clúster.
Si ya utilizas la versión 2012 R2, Windows Server 2016 incluye algunas mejoras de seguridad que conviene tener en cuenta. Windows Defender Credential Guard y Remote Guard protegen las credenciales NTLM y Kerberos en AD para evitar que los atacantes las recopilen y las utilicen en ataques de tipo «pass-the-hash». Windows Defender Application Control protege la integridad del sistema operativo base al permitir que solo se ejecuten determinadas aplicaciones (lo que también se conoce como «lista blanca»), una excelente medida de seguridad para un servidor que ejecuta una carga de trabajo dedicada, como AD.
Gestión de acceso privilegiado para AD
Si tienes la indicación de restringir al máximo el acceso a tus cuentas administrativas de AD, AD 2016 también introduce la Gestión de Acceso Privilegiado (PAM). En combinación con unaimplementación específicade MIM, PAM consiste en un bosque «rojo» especial y altamente seguro que se crea para controlar los grupos administrativos de un bosque de AD de destino.
AD 2016 incluye actualizaciones en los grupos de seguridad, denominadas «entidades de sombra», que permiten que los grupos de administradores del bosque de destino se «dupliquen» en el bosque rojo mediante un nuevo tipo de confianza entre bosques. Cuando se añade una cuenta de administrador del bosque rojo a un grupo de administradores duplicado en ese bosque, dicha cuenta obtiene el mismo SID que el grupo de administradores y, por lo tanto, los mismos derechos. Con esta capacidad implementada, las cuentas administrativas se eliminan del bosque de destino y solo existen en el bosque rojo protegido.
AD 2016 también incluye actualizaciones del protocolo Kerberos que permiten limitar el tiempo de pertenencia a un grupo (almacenado en el campo PAC del ticket Kerberos). Cuando se combina con las entidades de seguridad en la sombra y el flujo de trabajo de solicitud de acceso integrado en MIM, los administradores pueden solicitar y obtener derechos de administrador (a través de la pertenencia a un grupo) durante un periodo de tiempo específico. Cuando expira el plazo, estos derechos se revocan automáticamente.
Razones para quedarse donde está
Sinceramente, no hay muchos motivos para seguir en un nivel AD bajo.
Si tienes un entorno de pruebas en una red aislada, que funciona con servidores de dominio físicos y no admite dispositivos cliente, quizá puedas posponerlo un poco.
Puede que el presupuesto sea un problema en este momento. La dirección debe tener una visión más amplia: la mayoría de las empresas tienen menos de cincuenta centros de distribución. El coste de las licencias, la actualización y el despliegue de nuevas capacidades en estos servidores es trivial comparado con el coste de una brecha que obtenga credenciales de dominio de versiones anteriores de AD.
La compatibilidad de AD con aplicaciones muy antiguas, o con software cliente integrado obsoleto que se ejecuta en hardware muy costoso —como equipos de fabricación automatizados—, puede suponer un problema más espinoso. Pero 2008 R2 no seguirá siendo viable por mucho más tiempo: el fin del soporte técnico (con el SP1 instalado, eso sí) tendrá lugarel 14 de enero de 2020. Solo queda un año y cuatro meses. El fin del soporte significa que Microsoft ya no proporcionará actualizaciones de seguridad, un servicio esencial en el actual mundo de vulnerabilidades y parches, en el que se juega al gato y al ratón. Los bosques de 2012 y 2012 R2 tienen más tiempo: hasta el 10 de octubre de 2023. (Tenga en cuenta que tanto 2012 como R2 tienen la misma fecha de fin de soporte).
Recomendaciones
Mis recomendaciones son:
- Si sus DC están ejecutando 2008 R2, independientemente de los escenarios anteriores en los que encaje, debería planificar sus actualizaciones y realizar pruebas de compatibilidad de aplicaciones de inmediato.
- Para los usuarios de 2012 o 2012 R2, las mejoras en virtualización y en la seguridad básica del sistema operativo justifican una actualización. También es recomendable que colabores con los equipos de ingeniería de servidores y de seguridad, en calidad de parte interesada, para impulsar la implementación de las mejoras de seguridad de 2016 en la imagen de compilación de la plataforma estandarizada. Los problemas de compatibilidad de aplicaciones deberían ser mínimos.
- A menos que te encuentres en el caso concreto del escenario híbrido de Hello for Business, las mejoras en la gestión de dispositivos no serán un factor determinante para la adopción de AD 2016.
Si se analiza detenidamente la posibilidad de actualizar a AD 2016 frente a la de mantener el sistema actual, aparte de la compatibilidad de las aplicaciones, no hay realmente ninguna razón de peso para no actualizar. Probablemente, la principal razón para no hacerlo sea la complacencia: el sistema funciona bien tal y como está. Sin embargo, las mejoras de seguridad tanto en el sistema operativo base como en AD reforzarán significativamente la protección de su organización frente a los atacantes. Y eso significa que debería empezar a planificar sus actualizaciones hoy mismo.
