Las amenazas de ransomware o ataques activos forman parte desde hace mucho tiempo del día a día de las empresas. Muchos ataques a sistemas de identidad y especialmente a Active Directory siguen siendo las mayores amenazas. Los ciberatacantes utilizan datos de inicio de sesión robados mediante phishing, por ejemplo. La copia de seguridad y restauración de Active Directory preserva el negocio.
Cuanto más digitalicen las empresas los procesos operativos, mayor será la necesidad de resiliencia operativa y cibernética. En este contexto, los ataques basados en sistemas de identidad combinados con ransomware representan una amenaza crítica, ya que pueden paralizar por completo las operaciones comerciales de las organizaciones. Para poder mantener las operaciones o restaurarlas de forma rápida y fiable incluso en caso de un ataque, la copia de seguridad y la restauración de Microsoft Active Directory (AD) desempeñan un papel fundamental.
El ransomware sigue siendo la amenaza número uno
La amenaza del ransomware se ha convertido desde hace mucho tiempo en parte del día a día de las empresas. Sin embargo, esto ha alcanzado un nuevo nivel gracias a los ataques a los sistemas de identidad y, sobre todo, al Active Directory. Los ciberatacantes utilizan credenciales robadas (por ejemplo, obtenidas mediante tácticas de phishing o pass-the-hash) para obtener acceso legítimo al sistema. Cada vez más, se dirigen a cuentas de servicios de Active Directory.
Centro de control de directorio activo
Active Directory actúa como un centro de control para gestionar todas las identidades corporativas digitales con sus permisos, acceso y derechos de autenticación en varios sistemas de servidores. Una implementación de AD está estructurada de la siguiente manera:
Suscríbete al boletín ahora
Lea las mejores noticias de SEGURIDAD CIBERNÉTICA B2B una vez al mes- Los dominios se refieren a una colección de objetos que representan recursos como usuarios o dispositivos en la red.
- Árboles AD: Se crean estableciendo conexiones entre dominios a través de relaciones de confianza.
- Un bosque AD comprende un grupo de árboles AD y representa el nivel organizativo más alto del AD. Dependiendo de la organización, puede haber solo uno o más bosques.
- Controlador de dominio significa el servidor que aloja los Servicios de dominio de Active Directory (AD DS). Almacena información sobre cada objeto individual, como nombres y contraseñas, y permite a los usuarios autorizados acceder a esta información.
Diferentes grupos crean un concepto de autorización para acceder a los datos de la empresa. Sólo la membresía en dichos grupos otorga a los usuarios acceso a los datos y aplicaciones correspondientes. Si los atacantes logran hacerse un hueco en un entorno de TI, intentan ampliar sus derechos de acceso (escalada de privilegios) utilizando, entre otras cosas, políticas de grupo AD para poder implementar el ransomware lo más ampliamente posible.
Directorio Activo y su relevancia
La ciberresiliencia (la capacidad de mantener la continuidad del negocio durante o como resultado de un ataque) se está convirtiendo en una prioridad en las estrategias de seguridad de TI de las empresas a medida que avanza la transformación digital. Active Directory, que las empresas suelen utilizar en combinación con Entra ID, Okta u otro servicio de directorio basado en la nube, influye en esto de dos maneras:
1) Como objetivo principal
Durante gran parte de los casi 25 años de existencia de Active Directory, la seguridad ha sido secundaria a la usabilidad. La lista de vulnerabilidades conocidas es igualmente larga. A esto se suma la administración a menudo inadecuada por parte de las empresas, por ejemplo mediante configuraciones incorrectas como el acceso de lectura AD para todos los usuarios o la asignación de derechos de acceso sobredimensionados. Todos estos factores hacen que Active Directory sea extremadamente atractivo para los ciberdelincuentes, ya que aumentan las posibilidades de éxito de los ataques de ransomware.
2) Para la recuperación del sistema
Si los ciberdelincuentes han logrado infiltrarse total o parcialmente en una empresa e infectarla con ransomware, AD es la base crucial para restablecer las operaciones normales. Dado que todas las identidades de usuarios y dispositivos y sus derechos de acceso se crean allí, los equipos de TI generalmente solo pueden comenzar a restaurar aplicaciones o datos una vez que AD está en funcionamiento nuevamente.
Conceptos básicos de copia de seguridad y restauración de Active Directory
Si es necesario reconstruir un bosque de AD completo, esto puede significar un tiempo de inactividad de varias semanas o incluso meses para las empresas si no hay copias de seguridad de AD específicas y utilizables disponibles. Sin embargo, las rutinas de respaldo ordinarias no son suficientes para AD, ya que existe el riesgo de reinstalar sistemas infectados con malware y los sistemas de respaldo tradicionales no están diseñados para una restauración confiable de un bosque completo. Para que esto sea confiable y mantener el tiempo de recuperación al mínimo, las empresas deben considerar los siguientes conceptos básicos:
- Utilice una copia de seguridad de AD independiente: se debe realizar una copia de seguridad de Active Directory independientemente de las copias de seguridad del servidor y la recuperación completa, ya que plantean el riesgo de una nueva infección de malware en caso de una restauración. Una solución de respaldo de AD dedicada puede simplificar este proceso.
- Proteja varios controladores de dominio: realizar una copia de seguridad de al menos dos controladores de dominio por dominio en el bosque de Active Directory proporciona redundancia. Las copias de seguridad de AD deben almacenarse de forma segura sin conexión o como copias de imágenes en Azure o AWS Blob Storage.
-
Oliver Keizers, vicepresidente de área central de EMEA en Semperis (Imagen: Semperis)
Recuperación sin instantáneas: las instantáneas del controlador de dominio son inadecuadas para la recuperación de Active Directory por varias razones: Es probable que un bosque restaurado a partir de instantáneas cause problemas de coherencia de los datos. Si hay malware presente en un controlador de dominio en el momento en que se toma la instantánea, el malware se restaurará junto con el controlador de dominio. (Esto se aplica a cualquier copia de seguridad clásica).
- Una copia de seguridad de AD aún no es una restauración de bosque: Microsoft describe el proceso oficial y correcto de una restauración de bosque e incluye muchos pasos que deben realizarse manualmente con una herramienta de copia de seguridad clásica y que pueden provocar fácilmente errores y retrasos. Para una restauración exitosa y confiable de un bosque, se debe utilizar una herramienta específica diseñada para la restauración forestal de DA y esto se debe practicar al menos una vez al año.
- Copia de seguridad periódica: dependiendo de los procesos comerciales, se debe establecer un objetivo de punto de recuperación (RPO) apropiado que garantice que no se pueda perder una cantidad crítica de datos comerciales entre intervalos de copia de seguridad.
- Pruebas: las pruebas periódicas del proceso de copia de seguridad y restauración de AD deben ser parte del plan de contingencia, especialmente si se trata de una restauración manual de AD, que es extremadamente complicada y requiere mucho tiempo.
Además de procesos de recuperación sólidos, las organizaciones deben implementar soluciones de detección y respuesta a amenazas de identidad (ITDR) que puedan detectar anomalías en entornos de AD y ayudar a combatir los ataques de manera temprana.
La ciberresiliencia se basa en identidades seguras
Cuanto más procesos de negocio se lleven a cabo digitalmente, más grave puede ser el impacto en las brechas de ciberseguridad. Esto crea la necesidad de aumentar la resiliencia cibernética para minimizar la interrupción de las operaciones comerciales.
La evolución de las infraestructuras de TI y el cambiante panorama de amenazas han convertido a las identidades en una importante línea de defensa para las organizaciones. Teniendo esto en cuenta, Active Directory, el directorio de identidad más utilizado por las organizaciones, es a la vez un talón de Aquiles y un pilar, que requiere atención especial cuando se trata de copias de seguridad y recuperación.
Acerca de Semperis
Para los equipos de seguridad encargados de defender entornos híbridos y de múltiples nubes, Semperis garantiza la integridad y disponibilidad de los servicios de directorio empresarial críticos en cada paso de la cadena de ciberataque, reduciendo el tiempo de recuperación en un 90 por ciento. Semperis tiene su sede en Hoboken, Nueva Jersey y opera a nivel internacional, con su equipo de investigación y desarrollo repartido por Estados Unidos, Canadá e Israel.