¿Alguna vez has pensado en cuántas cuentas de tu entorno operan fuera de tu visibilidad y control? Una de las más grandes seguridad de identidad Los puntos ciegos, a menudo ignorados por las organizaciones pero utilizados con frecuencia por los atacantes, son Cuentas locales.
A diferencia de las cuentas basadas en dominios que los equipos de seguridad pueden detectar y monitorear fácilmente, las cuentas locales quedan en la oscuridad con una visibilidad limitada o nula de su actividad y privilegios. Esta brecha se ha convertido en un problema tan crítico que la El FBI emitió recientemente una advertencia, instando a las organizaciones a deshabilitar las cuentas de administrador local para reducir el riesgo de ciberataques.
En este blog, exploraremos los diferentes riesgos de seguridad que plantean las cuentas locales y cómo SilverfortLa nueva función de visibilidad de autenticaciones locales ayuda a las organizaciones a cerrar el punto ciego.
Entendiendo las cuentas locales: qué son y cómo funcionan
Las cuentas locales existen en dos tipos principales: locales cuentas de usuario y cuentas de administrador local. Describamos cada tipo con más detalle:
- Cuentas de usuarios locales
Estas son cuentas estándar con permisos de acceso limitados, que se utiliza normalmente para el acceso básico a un punto final. Los usuarios locales pueden iniciar sesión y operar un sistema, pero carecen de privilegios administrativos para realizar cambios en todo el sistema.
- Cuentas de administrador local
Estas cuentas tienen control total sobre un punto final, lo que permite a los usuarios instalar software, modificar la configuración del sistema y crear nuevas cuentas. Las cuentas de administrador locales integradas (por ejemplo, la cuenta de "Administrador" predeterminada de Microsoft Windows) suelen estar expuestas a un alto riesgo, ya que los atacantes pueden explotarlas para comprometer y proteger su seguridad. escalada de privilegios.
Si bien las cuentas de dominio se administran de forma centralizada a través de Active Directory (AD) o un proveedor de identidad (IdP), cuentas locales Existen solo en puntos finales individuales. Desde un de gestión de identidades Desde una perspectiva global, la diferencia clave entre las cuentas locales y las cuentas de dominio es quién las administra:
- Cuentas locales existen y están controlados en el punto final individualEl usuario tiene control total sobre el sistema, incluido acceso privilegiado a configuraciones críticas, sin visibilidad por parte de los equipos de seguridad.
- Cuentas de dominio, por otra parte, Son administrados centralmente por administradores de dominio. within Active Directory (AD) o un proveedor de identidad (IdP). Los equipos de seguridad tienen más visibilidad de las cuentas de dominio y la capacidad de aplicar controles de seguridad a cada usuario, con políticas específicas y configuración de restricciones.
Las cuentas locales suelen usarse para tareas administrativas o sistemas heredados para brindar acceso a una computadora o dispositivo específico, pero carecen de la supervisión y los controles de seguridad avanzados que ofrecen las cuentas basadas en dominio.
Los riesgos ocultos de las cuentas locales
Desde una perspectiva de seguridad, las cuentas locales por sí solas no causarán grandes riesgos de seguridad. Pero no administrarlas adecuadamente puede tener un impacto grave en la organización. Los principales riesgos son: falta de visibilidad, gestión centralizada limitada, y controles de seguridad más débilesEstos desafíos hacen que las cuentas locales sean un objetivo principal para los atacantes que buscan moverse lateralmente y escalar privilegios sin ser detectados.
Centrémonos en los riesgos de seguridad de identidad de las cuentas locales con más detalle:
- Falta de visibilidad: un punto ciego en autenticación monitoreo
Uno de los mayores riesgos de las cuentas locales es que los equipos de seguridad no pueden ver lo que no pueden rastrear. A diferencia de las autenticaciones basadas en dominios, que se registran y almacenan de forma centralizada, las actividades de las cuentas locales se aíslan en puntos finales individuales y no tienen ningún registro en los registros de AD o IdP. Esto significa que cualquier actividad maliciosa, incluidos inicios de sesión fallidos, patrones de acceso inusuales o credenciales comprometidas, hace que sea casi imposible detectarlo antes de que sea demasiado tarde.
- Gestión centralizada limitada: una pesadilla operativa y de seguridad
Las cuentas locales se almacenan fuera del ámbito de la gestión de identidades basada en directorios. Los equipos de seguridad tienen dificultades no solo para aplicar políticas, sino también para rastrear quién tiene acceso a qué. Muchas organizaciones utilizan contraseñas predeterminadas o credenciales estáticas para las cuentas locales sin una rotación adecuada de credenciales, lo que aumenta el riesgo de acceso no autorizado. Sin una gestión centralizada de la autenticación, las organizaciones tienen controles de seguridad fragmentados que los atacantes pueden explotar fácilmente para comprometer su seguridad.
- Controles de seguridad más débiles: una puerta abierta para los atacantes
Las cuentas locales rara vez están protegidas con controles de seguridad sólidos, como la autenticación multifactor (MFA) u otros controles de seguridad, lo que las convierte en un blanco fácil para los atacantes. Una vez comprometida una cuenta local, puede utilizarse para escalar privilegios o moverse lateralmente por el entorno sin activar ninguna alerta de seguridad. Esto convierte a las cuentas locales en un punto ciego crítico en la estrategia de seguridad de la identidad de la organización.
Cómo Silverfort permite la visibilidad de las cuentas locales
Con Silverfort Ahora puede mejorar su visibilidad en las autenticaciones de cuentas locales, comenzando desde Silverfort por la Versión de inicio de sesión de Windows 2.1.3.
Cuando un usuario local accede a una máquina Windows con Silverfort Para el inicio de sesión de Windows instalado, la autenticación se registrará con el tipo de autenticación "Local" y obtendrá Visibilidad completa de estos intentos de acceso desde Silverfort Pantalla de registros filtrando por tipo de autenticación = “Local”.
Esta nueva capacidad del producto le permite: realizar un seguimiento de los inicios de sesión locales Para Windows. Al filtrar los intentos de acceso a cuentas locales, puede identificar rápidamente cualquier actividad maliciosa, incluido el posible uso indebido de credenciales.
Poner las cuentas locales bajo el foco: el primer paso hacia la protección
Las cuentas locales siempre se han considerado un punto ciego de seguridad que los atacantes pueden utilizar para crear una entrada fácil y comprometer un entorno sin ser detectados. Sin visibilidad de las actividades de autenticación de las cuentas, no se podría detectar ni responder a ninguna de estas actividades maliciosas antes de que se intensificaran.
Con SilverfortGracias a la visibilidad en tiempo real de las autenticaciones de las cuentas locales, finalmente podrá acceder a una nueva capa oculta de seguridad de identidad, evitando ser completamente invisible y monitorizando, rastreando e investigando estas identidades. Esta es una base sólida para avanzar hacia la seguridad y protección completas de las cuentas locales.
¿Está listo para explorar las cuentas locales ocultas en su entorno? Si ya es cliente, comuníquese con su gerente de éxito del cliente o programar una llamada con uno de nuestros expertos
