Active Directory: resultados y rutas de ataque

Resumen

La pestaña Active Directory de un escaneo interno te indica por dónde puede llegar un atacante al Domain Admin y qué errores corregir primero. En esta lección abres el escaneo de la sonda stabilimento-treviglio, eliges el dominio meccanicaadda.local y pasas del resumen a los hallazgos, hasta una ruta de ataque y su corrección.

Capítulos

Puntos clave

• Dónde está: abre el escaneo interno y selecciona la pestaña Active Directory. Si la sonda recopila varios dominios, elige uno en el selector. La pestaña aparece cuando el escaneo tiene una recopilación de Active Directory, aunque haya fallado.
• Resumen: indica cuántos hallazgos están en una ruta activa al Domain Admin y muestra la Postura, una puntuación de 1 a 100 con una nota de la A a la F (A desde 90, B desde 80, C desde 70, D desde 60, F por debajo). La puntuación baja con la gravedad de los hallazgos y con el número de objetos afectados, y baja todavía más por cada hallazgo que está en una ruta activa. En el ejemplo, meccanicaadda.local tiene una postura de 71 sobre 100, nota C.
• Identidad: el inventario de usuarios, grupos, equipos, unidades organizativas y GPO. La insignia Tier-0 marca quién controla el dominio, como Domain Admins.
• Configuraciones incorrectas: el catálogo de hallazgos, primero los que están En ruta y después por gravedad (crítico, alto, medio). En el ejemplo, el hallazgo crítico es una delegación no restringida en un host que no es un controlador de dominio.
• Rutas de ataque: cada ruta es una cadena de derechos de control (por ejemplo GenericAll, es decir, control total) que parte de una cuenta sin privilegios y llega a un objeto Tier-0. RECON muestra hasta 12 rutas de 7 saltos como máximo. El objeto que aparece en el mayor número de rutas (al menos dos) se marca como Punto de estrangulamiento: corregirlo rompe el mayor número de rutas.
• Confianza y esfuerzo: la confianza es mayor cuanto más corta es la cadena; el esfuerzo crece con el número de saltos y de derechos de control que hay que aprovechar. Cuanto menor es el esfuerzo, más fácil es el ataque.
• Cómo romperla: el panel de la ruta señala el salto más débil que hay que eliminar: "Revoca ese derecho (o refuerza el objeto al que apunta) y la cadena ya no alcanza Tier-0."
• Qué corregir primero: en Resumen, la tabla Corrige primero — en una ruta activa coloca arriba los hallazgos que están en una ruta. Abre un hallazgo para leer la Remediación: para el Kerberoasting, por ejemplo, trasladar los service principal names a cuentas de servicio administradas de grupo (gMSA) o imponer contraseñas largas y aleatorias a las cuentas de servicio.
• Comparación: un dominio sin rutas hacia el Tier-0 muestra "No se encontró ninguna ruta de ataque al Tier-0 en el grafo recolectado." En el ejemplo, addaservizi.local tiene una postura de 93, nota A.

Transcripción

La transcripción completa del vídeo, en italiano, está en la pestaña Transcripción del reproductor.

Artículos relacionados