Salta al contingut
← Tornar al blog
2 min ca

Active Directory: els deu primers canvis en qualsevol domini nou

Abans de tocar GPO avançades, hi ha una llista curta que reviso sempre en un domini d'Active Directory nou. La majoria porten mal configurades des de la instal·lació.

  • active-directory
  • hardening
  • windows-server
  • sysadmin
Active Directory: els deu primers canvis en qualsevol domini nou

Quan hereto un domini d'Active Directory que no vaig muntar jo, hi ha una llista ràpida que reviso abans de res, abans de ficar-me en GPO complexes. Són les fallades més comunes, les més barates d'arreglar, i amb més impacte real si s'exploten.

Comptes i privilegis

  1. Contrasenyes de comptes privilegiats que no caduquen. Sorprenentment comú, fins i tot en administradors de domini. Es revisa en un minut amb PowerShell.
  2. Massa gent a Domain Admins. El grup hauria de tenir el mínim possible, i cap d'aquests comptes s'hauria de fer servir per al dia a dia.
  3. Comptes de servei amb privilegis de més. Es creen «temporalment» amb permisos d'administrador de domini per instal·lar alguna cosa, i hi queden.

Configuració que s'hereta malament

  1. Delegació de Kerberos sense restriccions. És una de les rutes d'escalada de privilegis més explotades en AD real. Migrar a delegació restringida sempre que es pugui.
  2. Política de contrasenyes per defecte. Continua sense exigir una longitud mínima competitiva. Pujar a 14 caràcters o més.
  3. LAPS sense desplegar. Si l'administrador local comparteix contrasenya a tots els equips, un sol equip compromès dona accés lateral a tots els altres. És gratuït i fa anys que és quasi un estàndard.
  4. SMBv1 encara actiu «per si de cas». Anys després que deixés de ser defensable, continua apareixent.

Visibilitat i recuperació

  1. Auditoria avançada sense activar. Sense registre de canvis de grup i autenticacions fallides, qualsevol investigació comença a cegues.
  2. Grups aniuats sense documentar. Diversos nivells d'aniuament acaben donant accessos que ningú recorda haver concedit.
  3. Sense pla de recuperació de l'AD mateix provat de debò. Si el domini cau, tota la resta cau amb ell. És la peça que menys es pot permetre fallar en silenci.

Cap d'aquests deu punts necessita pressupost ni eines de tercers: és configuració nativa de Windows Server. És exactament el tipus de deute que s'acumula perquè «funciona així de sempre», fins que apareix en una auditoria o, pitjor, en un incident real.