Los ataques Golden Ticket son una amenaza real y particularmente peligrosa para las organizaciones públicas y privadas. Después de un primer artículo sobre el origen y la peligrosidad de estos ataques, llega el momento de centrarnos en las formas de protegernos de ellos.
Los ataques del “Billete Dorado”, cuyo nombre está inspirado en la novela Charlie y la fábrica de chocolate de Roald Dahl, explota una vulnerabilidad en Kerberos, el protocolo de autenticación que Microsoft ha utilizado de forma predeterminada desde Windows 2000. Este talón de Aquiles de Microsoft permite a los piratas informáticos acceder a Active Directory.
No hay forma de prevenir por completo los ataques Golden Ticket, pero existen muchas prácticas recomendadas que pueden reducir significativamente los riesgos. Estos son los 5 mejores métodos para protegerse de estos ataques.
1- Cambia periódicamente la contraseña de KRBTGT
Cuando un usuario se autentica, el Distribución de claves Kerberos Centro (KDC) emite un billete llamado “Boleto de concesión de boletos» ( TGT), que incluye una clave de sesión única y una marca de tiempo que especifica cuánto tiempo es válida esa sesión (Microsoft recomienda 10 horas). Antes de enviar un ticket TGT, el KDC lo cifra utilizando el hash de la contraseña de una cuenta especial: el KRBTGT . Este hash de contraseña se comparte entre todos los controladores de dominio en el dominio de Active Directory.
Por tanto, el primer método de defensa es cambiar periódicamente la contraseña de KRBTGT. Si bien esto no impedirá que se creen nuevos Boletos Dorados, invalidará los que ya estén en sus sistemas. Microsoft recomienda cambiar la contraseña de la cuenta KRBTGT con regularidad.
También se recomienda encarecidamente cambiar esta contraseña cada vez que un empleado que haya tenido la oportunidad de crear un Boleto Dorado abandone la organización. Incluso si su cuenta privilegiada se elimina rápidamente, es posible que haya dejado TGT peligrosos. Restablecer la contraseña de KRBTGT invalidará todos estos boletos. Obviamente, este reinicio es necesario tan pronto como se detecta la más mínima evidencia de un ataque efectivo del Golden Ticket.
Además, el valor del historial de contraseñas de la cuenta KRBTG es 2. Esto significa que incluye las dos contraseñas más recientes. Para invalidar todos los TGT en el sistema, debe restablecer la contraseña de KRBTGT dos veces. Se recomienda esperar a que se complete la replicación entre los dos reinicios. Microsoft detalla los pasos de reinicio manual. Sin embargo, suele ser mejor utilizar el script de reinicio automático que también proporciona Microsoft. Cambiar la contraseña de KRBTGT invalidará automáticamente todos los TGT emitidos. Pero cualquier sesión autenticada previamente establecida en un recurso (como un recurso compartido de archivos, un sitio de SharePoint o un servidor Exchange) sigue siendo válida hasta que se requiere un ticket para volver a autenticarla. Microsoft recomienda reiniciar la estación de trabajo del cliente para que la cuenta de la máquina y la cuenta del usuario se vean obligadas a volver a conectarse. Por tanto, sus TGT estarán bien cifrados con el hash de la nueva contraseña KRBTGT.
2- Minimizar el número de cuentas con acceso al hash de contraseña KRBTGT
El Principio de Mínimo Privilegio es esencial para la seguridad.
Para proteger el AD tanto como sea posible, debe identificar con precisión las cuentas que pueden ejecutar el comando DCSync. De forma predeterminada, estos son miembros de los grupos “integrados\Administradores” y “integrados\controladores de dominio”. Además, la cuenta utilizada para Azure AD Connect también puede ejecutar el comando DCSync. Asegúrese de minimizar la cantidad de cuentas de «Administradores de dominio», así como de miembros de otros grupos que otorgan derechos de conexión a los DC (como «Operadores de impresión» y «Operadores de servidor»). Si se otorga acceso a otras cuentas, es importante investigar de inmediato y eliminar cualquier permiso innecesario.
3- Limitar las posibilidades de robo de credenciales privilegiadas
Los usuarios finales no deben ser administradores locales de sus estaciones de trabajo. Las cuentas privilegiadas no deben abrir sesiones en las computadoras de los usuarios finales. Por lo tanto, un pirata informático que haya obtenido acceso a una estación de trabajo no podrá extraer credenciales con privilegios elevados.
Microsoft ha activado una nueva política de Defender «Reducción de superficie de ataque» que facilita el bloqueo de extracciones de identificadores a través del proceso lsass. Verifique que esta política se aplique a todas las estaciones de trabajo y servidores, incluso si eso significa configurar excepciones para aplicaciones que requieren una fuerte interacción con lsass.exe.
También se recomienda cambiar las contraseñas de las cuentas de servicio con regularidad o utilizar GMSA (Cuentas de servicio administradas por grupo) siempre que sea posible. Otro consejo es configurar una alerta que informe al equipo de seguridad tan pronto como se cree o modifique el SPN (nombre principal del servicio) para que puedan verificar si se han seguido los procedimientos.
4- Monitorear el entorno de TI para detectar cualquier actividad sospechosa
Las organizaciones deben asumir que su entorno de TI sufrirá una intrusión tarde o temprano. Por lo tanto, es esencial monitorear cualquier actividad inusual que pueda ser señal de un ataque Golden Ticket en curso. Las cosas a tener en cuenta, o a las que hay que alertar, incluyen:
> TGT de larga duración — Un ticket Kerberos cuya vida útil exceda la definida en la política del dominio puede ser señal de un ataque Golden Ticket. Debe revisarse inmediatamente y, si es necesario, restablecer la contraseña de KRBTGT. Entonces será necesario buscar pistas sobre el método utilizado para la intrusión inicial.
> Replicación de dominio sospechosa —La replicación de dominio en disputa puede indicar un DCSync u otro ataque destinado a capturar hashes de contraseña. Identificar, confirmar y responder rápidamente a esta situación ayudará a evitar que los atacantes lleven a cabo un ataque Golden Ticket con éxito.
> Actividad sobre controladores de dominio — Supervisar aplicaciones y scripts (especialmente scripts de PowerShell) que se ejecutan en controladores de dominio. El acceso directo a un controlador de dominio brindará acceso completo a Active Directory muy rápidamente.
> Cambios en los privilegios— En particular, si el “privilegio de depuración” (SeDebugPrivilege) se activa repentinamente, debe verificar inmediatamente el motivo.
Desafortunadamente, los registros de eventos de Windows no incluyen marcas de tiempo de TGT (que indican cuánto dura el TGT). Además, detectar actividades sospechosas en el océano de eventos puede resultar un desafío. Se recomienda invertir en una solución de monitoreo de Active Directory de terceros que pueda monitorear estas actividades en tiempo real.
5- Colocar cebo
Otra estrategia para desactivar los ataques del Billete Dorado es crear trampas tipo “honeypot”. Por ejemplo, una cuenta de usuario con un nombre prometedor que forma parte de grupos que parecen otorgar acceso a muchos privilegios atraerá la atención de un atacante. Al asignar la contraseña más larga posible a esta cuenta y monitorear cuidadosamente cualquier intento de autenticación, será posible detectar un intento de escalada de privilegios por parte de un intruso.
Detrás de su curioso nombre, los ataques Golden Ticket constituyen una de las amenazas más virulentas para cualquier entorno de Active Directory. Cada organización debe fortalecer su postura de seguridad aplicando métodos de protección probados, como privilegios mínimos y, en general, confianza cero. Sin embargo, esta no es la protección definitiva. La monitorización activa del ecosistema TI y la evolución de esta monitorización en función de la evolución de las vulnerabilidades explotadas es fundamental. También lo es preparar un plan rápido de recuperación ante desastres.
___________________
Par rey alixArquitecto principal senior de soluciones, Software de búsqueda
Del mismo autor y sobre el mismo tema:Ataques del Billete Dorado: ¿cómo explicarlos?
Lea también:
Ataques del Billete Dorado: ¿cómo explicarlos?
Empresas: ¿por qué no confiar su ciberseguridad a proveedores de servicios especializados?
Los desafíos de ciberseguridad inherentes al trabajo híbrido y remoto.
Ciberseguridad: la confianza ha muerto, ¡viva la “confianza cero”!
¿Qué futuro para la ciberseguridad en 2022?
[
