Homeland. La defensa del patrimonio tecnológico frente a los ciberataques. 10 y 11 de diciembre de

Transcripción

1 La defensa del patrimonio tecnológico frente a los ciberataques 10 y 11 de diciembre de 2014 Homeland 2014 Centro Criptológico Nacional C/Argentona 20, MADRID

2 El enemigo puede estar en casa VIII JORNADAS STIC CCN-CERT

3

4 Intro Directorio Activo en la actualidad Ciclo de vida de una intrusión Access Arquitectura del servicio Tipos de ataques Remediation Lecciones aprendidas Conclusiones

5 Introducción Directorio Activo en la actualidad: Servicio de gestión y almacenamiento de datos Centraliza el control de los recursos de red Centraliza y descentraliza la administración de recursos Almacena objetos de manera segura en una estructura lógica Optimiza el tráfico de red

6

7

8 Introducción Directorio Activo en la actualidad: Un alto porcentaje de proyectos exige la integración en AD Su seguridad disminuye con el tiempo Software de terceros, mala configuración, etc.. Uno de los servicios menos auditados Blanco perfecto para ataques de todo tipo

9 Introducción I wouldn t say the vendor had AD credentials but that the internal administrators would use their AD The virus erased data on three-quarters of Aramco s login to corporate access the PCs system documents, from spreadsheets, inside. This s, would files mean replacing the sever all of it with an image of a burning American flag. had access to the rest of the corporate network... 9

10 Introducción VIII JORNADAS STIC CCN-CERT

11 Qué ocurre realmente? Power: Controladores de dominio 1. Objetivos en masa 2. Usuarios con altos privilegios son el principal objetivo Data: Servidores Aplicaciones 3. Buscan credenciales de lo que sea 4. Búsqueda de credenciales cacheadas, cuentas de acceso a dominio, correo electrónico, etc.. Access: Usuarios Equipos 5. Si logran acceder al DC principal, la empresa está perdida

12 13 2 Primer vistazo

13

14 DNS Record Types SOA = Start of Authority NS = Name Server A = Address (Host) CNAME = Canonical Name (Alias) MX = Mail Exchanger SRV = Service Locator TXT = Text Data

15 Descubrimiento de servicios Registros de servicio SRV Publicación de servicio a través de DNS _servicio._protocolo.hostname Obligatorio a partir de W2K Ej LDAP _ldap._tcp.ccncert.local _ldap._tcp.ccncert.com

16 13 2 Búsquedas DNS

17 Configuraciones por defecto Permite a un usuario sin privilegios Acceder al árbol de objetos (Read Only) Consulta de atributos de casi cualquier objeto Usuario Equipo Servicio Impresora Unidad Organizativa Sitios Etc, etc..

18 Uso indebido de características Preferencias de grupo Característica de Windows Server 2008 Permite configurar a golpe de clic Credenciales cifradas con AES

19 Uso indebido de características VIII JORNADAS STIC CCN-CERT AdminSDHolder Encargado de proteger cuentas críticas Previene contra cambios Domain Admins tienen control total Puede requerirlo un proyecto de terceros Cambio de contraseñas Gestión de AD Etc

20 13 2 Características

21 Configuraciones por defecto El ecosistema Microsoft es una gran API WMI Jscript VBScript Powershell.NET Perl Etc

22 13 2 Automatización

23 Conclusiones Audita tu infraestructura Versiones modernas de AD son muy seguras Necesidad de bastionado Security Configuration Wizard Políticas de grupo Cumplimiento del mínimo privilegio Restricción de OU Restricción de consulta de atributos

24 Conclusiones Planificación de Directorio Activo Cuentas Sitios Auditoría Unidades organizativas Despliegue de software Ubicación física de servidores Plan de implantación del Directorio Activo. Políticas de grupo

25 VIII JORNADAS STIC CCN-CERT

26 VIII JORNADAS STIC CCN-CERT

27 s Websites Síguenos en Linked in