Aaron Turner:[00: 00: 00]
Primero hay que entender la mentalidad de Bill Gates a mediados de los 90. Su objetivo era que Novell ganara mucho dinero con Enterprise Directory. Así que Microsoft dijo: «Tenemos que robarle el dinero a Novell». La primera versión de la especificación de características de Active Directory era acabar con Novell. Esa era la misión.
Active Directory se concibió inicialmente como una herramienta para aumentar las ventas de Windows y Office. Era un mecanismo de implementación, no necesariamente una barrera de seguridad. Digamos que se han invertido 250 mil millones de dólares en firewalls. ¿Cuánto se ha invertido en gestión de identidades? Quizás un 2%. Como resultado de esta falta de inversión, nos encontramos ante una enorme deuda en materia de identidades.
Así que van a tener que invertir en algunas soluciones centradas en sistemas heredados para decir: "Bien, ¿qué voy a hacer para arreglar 25 años de objetos de directiva de grupo defectuosos?". Esa es la decisión que hay que tomar.
Roy Akerman:
La gestión de la identidad no es solo un problema operativo, sino también de seguridad, y la mayoría de los equipos lo están resolviendo en tiempo real.
Rob Ainscough:
Este es el podcast donde analizamos a fondo el significado de la seguridad de la identidad, compartiendo conversaciones sinceras sobre las personas que construyen, reparan y replantean la seguridad de la identidad desde dentro.
Roy Akerman:
Soy Roy Akerman.
Rob Ainscough:
Y yo soy Rob Ainscough.
Roy Akerman:
Vamos a sumergirnos
Rob Ainscough:
Vamos a hacerlo.
Bienvenido de nuevo. Hola, Roy. ¿Cómo estás?
Roy Akerman:
Estoy bien. Me alegra verte, Rob.
Rob Ainscough:
Me alegra mucho verte también. Eh, estoy muy emocionado porque, eh, para este episodio, eh, tenemos a Aaron Turner con nosotros, ¿verdad? Aaron, 30 años en la industria, fundó su propia empresa, pero lo más importante para nosotros, trabajó para Microsoft cuando Active Directory Se estaba convirtiendo en algo importante, ¿verdad?, en aquella época crucial.
Estuvo allí, en el campamento base. Fue emocionante para nosotros poder hablar con él.
Roy Akerman:
Como el diseñador, el arquitecto.
Rob Ainscough:
El culpable. Eh, pero
Aaron Turner:
Vamos... vamos a tener mucho cuidado aquí. Yo era el último de los últimos en la jerarquía.
Roy Akerman:
Entonces dijo
Rob Ainscough:
Pero tú estabas allí… tú tuviste el primer impacto. Tú estabas allí.
Roy Akerman:
Sí.
Aaron Turner:
Oh,
Rob Ainscough:
Yo estuve allí. Tú estuviste allí.
Aaron Turner:
Yo estaba allí, pero, eh, técnicamente era ingeniero de soporte, lo que significaba que tenía que lidiar con todos los errores y toda la basura, ¿entiendes? Así que vi lo peor de lo peor.
Rob Ainscough:
Vaya. Sí. Aun así, es una posición privilegiada, así que vamos a hablar un poco sobre eso. Vamos a hablar sobre cómo cambió la identidad a lo largo de los años, Active Directory¿Cuál es su papel, qué significa para los atacantes y defensores hoy en día, verdad?
Así que creo que vamos a tener una sesión muy interesante. Eh, para empezar, Aaron, ¿puedes darnos un poco de tu versión de tu trayectoria profesional y tu biografía para empezar?
Aaron Turner:
Empecé este viaje porque vi la película WarGames. O sea, la, la, en 1984, se estrenó la película WarGames, y pensé: "Eso parece increíble.
Me pregunto si puedo hacer eso. Eh, y eso me llevó a un viaje donde a veces me metía en problemas con las computadoras, ¿verdad? Y luego, finalmente, descubrí cómo ganar dinero haciendo cosas malas con las computadoras. Yo, fui uno de los primeros pentesters a principios y mediados de los 90, y, eh, finalmente descubrí que, bueno, tal vez podría conseguir un trabajo que pagara algo mejor que lo que ganaba haciendo trabajos ocasionales de pruebas de seguridad.
Microsoft publicó una oferta de trabajo donde buscaban a una persona bilingüe, con conocimientos de internet y experiencia en Novell para unirse a su equipo. Querían que se centrara en oportunidades en Latinoamérica, así que yo hablo español. Viví en México un tiempo. Sabía un poco de internet por las cosas locas que había estado haciendo desde WarGames, y entonces me llegó esta increíble oportunidad en Microsoft y me embarqué en una aventura con ellos donde, básicamente, tuvimos que sentar algunas de las bases de lo que se convertiría en internet y la informática empresarial.
Y pasé ocho años allí. Fue una época increíble para aprender muchísimo.
Roy Akerman:
Nuestros, nuestros oficiales de inteligencia nos dijeron, como, dos cosas que debo, debo, validar con ustedes. La primera es que, eh, como, después de un año de mandato, el propio Bill Gates, eh, les dio carta blanca para que realmente, eh, hicieran cualquier proyecto que quisieran allí, por supuesto, con, con un valor importante.
Y la segunda es sobre una estrella dorada, así que si pudieras empezar con esto y luego pasar a nuestras charlas sobre identidad, sería genial. ¿Podrías contarnos algo sobre eso?
Aaron Turner:
Entonces, eh, en el período de 1998, '99, el gobernador de, eh, de Venezuela vino a Microsoft y dijo: "Queremos construir una plataforma de identidad nacional para cada ciudadano de Venezuela".
Roy Akerman:
Wow.
Aaron Turner:
Bajaron y usaron NT4 para intentar construir esta plataforma de identidad empresarial, pero el sistema no dio la talla. Suena prometedor. Y seguía fallando. Fallaba una y otra vez. Y nadie de nuestro equipo se atrevió a ir a Venezuela, porque Venezuela, bueno, ahora tiene aún peor reputación, pero incluso entonces era un lugar incierto.
Como conocía bien Latinoamérica, pensé: "Vale, iré". Así que levanté la mano y fui. Gracias a que ayudé a solucionar ese problema, descubrí cómo modificar el código de NT, que más tarde se convirtió en el código de Windows 2000. Por haber realizado ese cambio y haber tenido el valor de ir a Venezuela, en 1999 me concedieron una estrella de oro, uno de los pocos premios que Bill Gates solía otorgar en aquel entonces.
Pero como receptor de eso, de alguna manera obtuviste la capacidad de experimentar, ¿verdad? Obtuviste cierta libertad para decir: "Oye, sabes, hiciste algo genial. Veamos qué puedes hacer para, ya sabes, impulsar Microsoft". Y entonces mi conocimiento del español, mi eh, valentía al ir a Venezuela básicamente me preparó para hacer cosas increíbles y trabajar en Active Directory, SQL Server, Windows Mobile, Xbox Live.
Por ejemplo, yo tuve la oportunidad de trabajar en todo tipo de cosas realmente geniales durante mi estancia allí.
Roy Akerman:
Todo desde la perspectiva de la identidad.
Aaron Turner:
A veces identidad, a veces romper cosas.
Roy Akerman:
Sí.
Aaron Turner:
Mm-hmm. ¿Verdad? A veces ayudamos a la gente a pensar en modelos de amenazas. Sabes, no teníamos un equipo de ciberseguridad completo hasta, digamos, 2002 o 2003.
Eh, ya sabes, y entonces, ya sabes, yo estaba allí en los primeros días cuando tuvimos que... Como, nadie había construido nunca, eh, un sistema de actualización de nivel empresarial como lo que era Windows Update, ¿verdad? Nadie había pensado en cómo actualizar dos mil millones de computadoras en ese momento. Mm. Eh, nadie había pensado en cifrar discos duros si perdías una computadora portátil.
Nadie había pensado en estas cosas, ¿sabes? Así que tuvimos que pensar en cosas en las que nadie había pensado antes.
Rob Ainscough:
Así que hoy nos vamos a centrar en eso. Active Directory historia, ¿verdad? Entonces, para la mayoría de las empresas, ya sabes, hablamos de la nube y de toda la transición que ha ocurrido en los últimos 10 o 15 años.
Pero la realidad es que sigue siendo, ya sabes, el centro neurálgico de la identidad empresarial para muchas compañías, ¿verdad? Es absolutamente fundamental. Y, eh, como dijimos, tienes una posición realmente interesante al haber estado allí cuando, ya sabes, nació, creció y se convirtió en lo que es hoy. Simplemente me interesa mucho, ya sabes, dónde... Active Directory ?
¿Para qué fue diseñado? ¿Qué intentabas lograr con él? Active Directory ¿En ese tiempo?
Aaron Turner:
Primero hay que entender la mentalidad de Bill Gates a mediados de los 90. Bill Gates tenía la misión de construir una empresa exitosa porque siempre estuvo paranoico de que, lo que le pasó a Wang, lo que le pasó a Digital, es como si miraras los cadáveres al costado del camino en la informática de los 80 y los 90, y había muchos cadáveres.
Roy Akerman:
Mm
Aaron Turner:
Y entonces estaba paranoico con respecto a, ya sabes, tenemos que salir y conquistar. Y, y entonces, él, estableció el objetivo de que Novell ganara mucho dinero con el directorio empresarial, y Novell era una empresa muy fuerte, eh, que básicamente había liderado la creación de un directorio empresarial. ¿Cómo se logra que la gente tenga una buena experiencia informática?
¿Cómo se tiene un nombre de usuario y una contraseña? ¿Cómo se tiene una buena estructura de archivos? Y entonces Microsoft dijo: “Tenemos que, tenemos que ir a robar ese dinero. Tenemos que ir a robar el dinero del almuerzo de Novell”. Y así la primera versión de la Active Directory La especificación de características era acabar con Novell. O sea, esa era la declaración de misión.
Eh, no teníamos mucho más, así que el resto fue interesante, ¿verdad? Por ejemplo, yo era un gran fan de Kerberos. Kerberos era bastante nuevo en ese momento. El MIT acababa de publicar el estándar Kerberos. Yo pensaba: "Oye, creo que Kerberos es lo máximo. Creo que va a ser mucho mejor". Porque todavía estábamos lidiando con NTLM, ¿no?
NTLM, el protocolo altamente susceptible y vulnerable que se puede revertir fácilmente, y los hashes se rompen y ese tipo de cosas. Todavía estamos lidiando con NT LAN Manager, ¿verdad?, que era un protocolo de Windows, eh, NT4. Entonces, ¿cómo...? El problema que teníamos era que si todo lo que estamos ahí para acabar con Novell, ¿cómo lo convertimos en un sistema de seguridad?
Y esa era la tensión que existía. Mm. Ya sabes, aquellos de nosotros que somos apasionados de la seguridad, Active Directory Se consideró inicialmente como una forma de vender más Windows, de vender más Office. Era, bueno… un mecanismo de implementación. No era necesariamente una barrera de seguridad.
Roy Akerman:
Realmente interesante. Y, sí, es interesante, A, como estar allí y, de hecho, como reconstruir algo más, tal vez mejor, que será un desplazamiento para algo que, ya sabes, comenzó a crecer.
Y, ya sabes, apuesto a que hubo, como, múltiples concesiones que tuviste que hacer, ¿verdad? Porque estaba, como, el tiempo de comercialización y, como, muchas otras cosas y, como, un cambio en, eh, en el mundo de las computadoras. Como, ¿puedes llevarnos de vuelta, no sé, como al 98, tal vez un poco más tarde, y, como, decirnos cuáles fueron las concesiones iniciales que, ya sabes, como, los constructores y los diseñadores, como, eh, deberían, ya sabes, decidir?
Aaron Turner:
Bueno, entonces, eh, como mencioné, el objetivo de Active Directory El objetivo era vender más Windows y vender más Office, ¿verdad? Velocidad de implementación, ¿verdad? ¿Cómo se implementa un montón de sistemas? Eh, y en esa velocidad de comercialización, se perdieron algunas cosas como la autenticación multifactor, ¿verdad? La MFA no era, por así decirlo, un principio de diseño central de Active Directory, ¿derecho?
Era algo así como: "Oh, tal vez algunos socios lo resuelvan". Y gente como RSA y Gemalto, ¿verdad? Mm-hmm... se presentaron para decir: "Sí, haremos ese trabajo de MFA", ¿verdad? Pero, por ejemplo, una de las tareas que me correspondieron fue la de realizar las pruebas de regresión para todos los tokens MFA de terceros.
Y en ese momento, la única forma de hacer funcionar un token MFA era reemplazar el GINA. Había que crear un GINA shim... Vaya, eso es complicado... que es a nivel de kernel, ya sabes, operaciones a nivel de kernel en un controlador de dominio de Windows, a veces en el punto final. Digamos que si no veía 300 pantallas azules al día, no estaba haciendo bien mi trabajo, ¿no?
Porque esas GINA estaban mal escritas. Nosotros en Microsoft proporcionamos una mala guía para hacerlo, y así, así, pero cuando alguien vino y dijo: "Oye, implementemos MFA", y fueron e hicieron una prueba de concepto y obtuvieron 10 pantallas azules y dijeron: "No, yo, yo, está bien. Estoy bien sin MFA, gracias.
Yo, yo no quiero usar MFA”. Eh, y entonces hay un ejemplo de falta de enfoque desde una perspectiva de seguridad porque hoy en día percibiríamos MFA como algo fundamental, como si fuera una característica fundamental que debe ser… Y entonces hay un ejemplo. Sí. Otro ejemplo es, eh, ya sabes, teníamos estos límites de seguridad que eran bosques, ¿verdad?
Tenías bosques y luego dominios, y podías crear relaciones de confianza entre bosques, y podías tener... Mm-hmm... relaciones de confianza unidireccionales o bidireccionales y todo eso. Y luego tenías grupos y grupos anidados, y luego tenías objetos de directiva de grupo y todo eso, y todo eso estaba diseñado a partir de una función...
Como una implementación desde la perspectiva de Windows, no desde la perspectiva de los límites de seguridad.
Rob Ainscough:
Sí.
Aaron Turner:
Entonces, ¿cómo se fuerza una relación de confianza entre bosques a tener el nivel de granularidad adecuado? Y, por cierto, debido a la licencia de Microsoft, una vez que entró en vigor, la mayoría de la gente no estaba motivada para tener una cuenta de dominio para el administrador de dominio y una cuenta de dominio para su servidor Exchange en la bandeja de entrada.
Lo mezclarías, ¿verdad? Así que ahora has mezclado tu plano de control, de modo que la misma cuenta que usas para leer tu correo electrónico es la misma que usas para la administración del dominio.
Roy Akerman:
Mm
Aaron Turner:
¿Verdad? Y esa no es una buena situación.
Roy Akerman:
Sí. Mm. Entonces, parece que había un alto nivel de abstracción en lo que respecta a la confianza, como entre dominios, entre bosques.
¿Cómo generamos confianza al crear una entidad única, como una s-como una, una entidad diferente que necesitaremos validar y autenticar para poder tener esa confianza? Apuesto a que hubo muchas discusiones al respecto.
Aaron Turner:
Bueno, en primer lugar, si bien otras personas habían intentado hacer esto antes, por ejemplo, AT&T con gran parte de su trabajo con Unix, el gobierno, ya sabes, ese tipo de cosas, la gente había intentado seguir este camino, pero nunca habían intentado hacerlo con el bajo costo de propiedad que Microsoft estaba tratando de lograr, ¿verdad?
Mm-hmm. Por ejemplo, una cosa es construir un sistema de autenticación empresarial complejo cuando tienes doctores trabajando en Bell Labs, ¿verdad? La gente de AT&T sabía lo que hacía. Pero cuando tomas, eh, cuando tomas a un administrador de sistemas de un hospital local y lo conviertes en administrador de dominio, el administrador de sistemas de un hospital local no es lo mismo que un doctor trabajando para Bell Labs.
Es decir, son dos personalidades diferentes. Son dos personas diferentes. Y entonces, al introducir estos sistemas tan capaces, eh, servidores Windows, servidores Exchange, servidores SQL, en estas situaciones empresariales de nivel medio a bajo, ya sabes, donde tal vez no tienen una buena arquitectura de seguridad, no tienen buenos equipos de operaciones de seguridad, es decir, no tienen esta capacidad, realmente se crearon algunas situaciones realmente malas en las que, "Bueno, ¿por qué no hacemos que todos sean administradores de dominio?
Facilita las cosas. Todos son administradores de dominio.
Roy Akerman:
Sí.
Aaron Turner:
Y vimos que, donde todo un dominio eran administradores de dominio porque era más fácil. Simplemente, les facilitaba el trabajo. No tenían que solucionar problemas de por qué esta aplicación no funcionaba o lo que fuera. Mm-hmm. Y, y si observas la mayoría de los obstáculos que vimos en esos primeros días cuando intentábamos hacer cosas como el principio de mínimo privilegio, como algunas de las primeras aplicaciones de Adobe, eh, no se ejecutaban a menos que fueras un administrador con privilegios elevados, ¿verdad?
Mm-hmm. Simplemente, no lo haría.
Rob Ainscough:
Correr. Es común, sí.
Aaron Turner:
Y así terminaste con estas situaciones de privilegios excesivos. Así que, muchas veces, el ecosistema de proveedores estaba en tu contra, ¿verdad? Entonces, digamos que quiero hacer privilegios mínimos. Oh, pero no puedo porque necesito usar esta aplicación.
Rob Ainscough:
Mm-hmm.
Aaron Turner:
Ah, vale.
Roy Akerman:
Bueno, eso es algo a tener en cuenta, donde a veces culpamos a los constructores de infraestructura o, ya sabes, a las cosas fundamentales como Active Directory, que necesitaban satisfacer muchas otras áreas de desarrollo, como otros proveedores.
Y, y creo que de nuevo, como, estas compensaciones son hoy en día, como, el pan de cada día para muchos atacantes, ¿verdad? Mm-hmm. Como, estamos hablando no solo de Active Directory no solo como una herramienta, sino también como un conjunto de conceptos que realmente establecieron nuestra concepción de la identidad hoy en día. Espero no precipitarme al respecto, pero tengo curiosidad.
Así que avancemos rápidamente hasta la actualidad por un momento. Quizás volvamos atrás. Eh, pero, pero como ven, la identidad es un tema muy candente hoy en día, ¿verdad? Se ha invertido muchísimo capital para resolver ese problema. Evoluciona con la IA, con la NHI y con muchas otras palabras de moda relacionadas con el tema.
Como, eh, ¿cómo ves, eh, los juegos de los atacantes, eh, como los juegos de los defensores en torno a eso? Como, ¿qué ves, como los principios básicos que todavía, o no, están siendo mal utilizados por los atacantes hoy en día, eh, y ya sabes, de nuevo, los juegos en torno a eso?
Aaron Turner:
Primero, analicemos la economía de la identidad, ¿de acuerdo? Tomemos el monto total gastado en cortafuegos desde 1999 hasta hoy.
Así que, antes de esto, mientras me preparaba para esto, hice una investigación preliminar. Digamos que se han gastado 250 mil millones de dólares en cortafuegos en los últimos 25 años, ¿de acuerdo? Eh, ¿cuánto se ha gastado en identidad?
Rob Ainscough:
Sí.
Aaron Turner:
Tal vez el 2% de eso. Como, no, ni de cerca, ¿verdad? Quiero decir, solo una fracción real de eso. Y parte de la razón por la que fue debido a la estrategia de Microsoft de traer, eh, Active Directory al mercado.
Oh, compra una licencia de servidor Windows, y oh, por cierto, obtienes esto de identidad gratis, gratis... Mm... incluido. Mm. Y entonces, como resultado, si se le acercan a un CIO, le dicen: "Bueno, ¿cuál es su estrategia de identidad?" "Bueno, es Active Directory." Bien, Active Directory no es una estrategia de identidad. Active Directory es tal vez un sistema de autenticación.
No es una plataforma de gobernanza de identidades. Ajá. No es una plataforma de gestión de privilegios. No es una plataforma de federación, ¿verdad?
Rob Ainscough:
Mm
Aaron Turner:
Entonces, como resultado de esa falta de inversión, nos encontramos en una situación de enorme deuda de identidad en relación con los firewalls, ¿verdad? Mm. Así que, mientras que los firewalls han tenido una partida presupuestaria durante 25 años, la identidad apenas está recibiendo una partida ahora.
Así pues, existe la economía de la identidad que ha puesto a la gente en una situación muy difícil. Si tomamos esto como la base de la economía, primero tenemos que preguntarnos: "¿Qué vamos a hacer para transformar nuestra identidad tradicional e innovar para salir de esta situación mediante la transformación digital?". ¿Voy a librarme de estos problemas de identidad tradicionales migrando a identidades nativas en la nube o algo similar, o tendré que adaptar mi identidad tradicional para reforzarla y hacerla sostenible?
Roy Akerman:
Mm
Aaron Turner:
Y entonces, esa es la decisión que hay que tomar, y desafortunadamente, la mayoría de las empresas no pueden salir de esto por sí solas, así que van a tener que invertir en algunas cosas centradas en el legado para decir: "Bien, ¿qué voy a hacer para arreglar 25 años de objetos de directiva de grupo estropeados y una infraestructura SCIM deficiente y todo lo que he hecho?".
Me hicieron, eh, una de mis preguntas favoritas, de una persona muy experimentada. Active Directory El administrador del dominio pregunta: "¿Cuántas veces has revisado cuántas GPO siguen activas? ¿Cuántas GPO hay en AD e- porque no las has limpiado?"
Roy Akerman:
Mm
Aaron Turner:
Y para una organización que ha tenido AD durante, eh, dos décadas, normalmente hay cientos de GPO que no se utilizan.
Rob Ainscough:
Sí
Aaron Turner:
ahí fuera, y... Sí... alguien lo desplegó. Nadie fue responsable de limpiarlo, y es...
Rob Ainscough:
deuda latente. Y es realmente interesante porque, creo que, como bien dices, veo que las empresas, al hablar con ellas ahora, se quedan como atascadas en medio del proceso de apuntalar o modernizarse, ¿verdad?
Sí. Ninguno de los dos es particularmente rápido o fácil con algunas de las herramientas disponibles, y se quedan atascados en el medio, donde dicen: "Bueno, tal vez dentro de cinco años sea primero en la nube y efímero y todas estas cosas maravillosas que quiero ser que harán del mundo un lugar mejor". Pero en realidad, ¿qué pasa con los próximos cinco años cuando sus sistemas críticos todavía estén funcionando en la nube? Active Directory?
¿Qué estamos haciendo ahí? Porque hay que ser intencional al respecto, ¿verdad?
Roy Akerman:
Entonces, entonces es una complejidad que, como, eh, comenzó a generar una deuda, una deuda arquitectónica que condujo a la vulnerabilidad.
Rob Ainscough:
Sí.
Roy Akerman:
Y, de nuevo, como todos estos aspectos descuidados, las GPO y los enfoques de "si no está roto, no lo arregles" y cosas por el estilo nos llevaron a una etapa en la que esta es una de las superficies más vulnerables a ataques en nuestros días.
Aunque estamos hablando de una tecnología que fue diseñada en el 28, y, eh, perdón, en 1998, y aún así, tuvo mucho tiempo para arreglarse.
Aaron Turner:
Así que tomemos un ejemplo. Saben, si miramos la cadena de ataque de una situación típica de ransomware como servicio... Mm-hmm... bien, entonces el ransomware como servicio es, si no están familiarizados con eso, es donde, eh, hay un grupo de rusos, han establecido una plataforma de ransomware como servicio y ustedes, como franquiciados, pueden comprarles sus herramientas, ¿verdad?
Entonces ellos... Sí, los RBA... ellos, esencialmente te venden, te venden los, eh, ladrones de información, te venden las, um, herramientas de movimiento lateral. Ellos... es como un paquete, ¿verdad? Obtienes estas herramientas. Todas esas herramientas dependen de una vulnerabilidad de LSASS. Entonces, si piensas en la pila que es... Active DirectoryPorque si pueden acceder a LSASS en un servidor Windows sin parchear, no importa si es un controlador de dominio.
Rob Ainscough:
Mm
Aaron Turner:
Porque LSASS, diseñado en 1998, está pensado para almacenar en caché todas las credenciales que se hayan usado en ese servidor mientras el sistema esté encendido, ¿verdad? Entonces, lo que sucedió es que, debido al enfoque en la disponibilidad, el proceso LSASS se mantuvo en ejecución. Nunca diseñamos LSASS para que se ejecutara indefinidamente. Lo diseñamos para que se iniciara, por ejemplo, una vez por semana, ¿cierto?
Como si dijera: "No, solo vamos a actualizar esto", lo que sea. Entonces, lo que sucede es que si el atacante está en un grupo de ransomware, eh, puede obtener acceso a un servidor Windows sin parchear, y si ese proceso LSASS ha estado funcionando durante meses o años, o el tiempo que sea que ese servidor haya estado en funcionamiento, todas las credenciales que se hayan usado alguna vez en esa máquina están ahí.
Vaya. Y pueden, y los consiguen todos, y eso les da su movimiento lateral para simplemente decir, "Hmm". Y luego los tipos de ransomware como servicio, descargan ese proceso LSASS y sus herramientas automáticamente lo toman para luego ver, "De acuerdo, ¿tengo algunas credenciales de administrador de dominio aquí? De acuerdo, sí tengo un administrador de dominio.
De acuerdo, voy a usar una GPO para implementar mis cifradores. Sí, sí… e implementar mi administración y, y para extraer mis datos, y hacer todo lo que necesito hacer. Y eso es lo que sucede en el ransomware como servicio. No necesitan ninguna habilidad. Tienen las herramientas que obtuvieron a través de su acuerdo de franquicia con el grupo de ransomware como servicio.
Roy Akerman:
Mm
Aaron Turner:
Y ese es un ejemplo de LSASS, diseñado en 1998, un proceso que nunca pensamos que se ejecutaría indefinidamente. Pero ahora, como se ejecuta indefinidamente, todas esas credenciales quedan ahí, latentes y susceptibles de ser robadas.
Rob Ainscough:
Mm
Roy Akerman:
Y sigue ahí. Y creo que también se ha trasladado a la nube porque seguimos intentando establecer la conectividad, ¿verdad?
Entonces estamos sincronizando nuestro AD, eh, eh, credenciales o... Bien... ya sabes, con la nube, y todos conocemos todos estos ataques, ¿verdad?
Rob Ainscough:
Derecha.
Roy Akerman:
Eh, y otros. Así que se sigue arrastrando, eh, en lugar de, digamos, resolverse de alguna manera. Sí. O que, como dijiste, les da un lugar a muchos proveedores para venir y construir capas de protección sobre eso.
Rob Ainscough:
Sí. Creo que es realmente interesante porque, eh, desde una perspectiva de seguridad, somos casi víctimas del éxito de Active Directory¿Verdad? Con la gente, ya sabes, obviamente todos sus ordenadores Windows van a estar conectados. SQL Server, vamos a conectarlo. Oh, ¿por qué no conectamos Linux a AD, no?
Se creó este riesgo sistémico, y luego llegó la nube y dijo: "Oye, sincronicemos esas credenciales, ¿verdad? Hagámoslo fácil, ¿verdad?". Así que es víctima de su propio éxito, lo que, como saben, nos hace mucho más vulnerables en términos de ese riesgo sistémico para las empresas, ¿verdad?
Aaron Turner:
Muchas organizaciones no entienden qué Active Directory en realidad está sirviendo.
Simplemente dicen: "Ah, funciona sin problemas", ¿verdad? No sé si es NTLM, NTLMv2, LDAP o Kerberos. No sé qué protocolo se está utilizando exactamente.
Rob Ainscough:
Mm
Aaron Turner:
Y creo que el primer paso para cualquier organización es activar el registro de éxitos, lo cual era costoso y requería muchos recursos. No todas las organizaciones lo han implementado.
La mayoría de las organizaciones tienen registros de errores, ¿verdad?, cuando falla una autenticación. Así que el primer paso es que, durante un tiempo, tendrás que activar el registro de éxitos y asegurarte de tener suficiente capacidad de almacenamiento para guardar todos los registros de éxito.
Rob Ainscough:
Sí.
Aaron Turner:
Y ahora ya tienes esos registros de éxito. Me encanta usar herramientas, eh, ya sabes, datos de bajo costo, eh, y herramientas de análisis.
Mi favorito que tiene una edición comunitaria se llama Gravwell, GRAV como en Victor, WELL. Gravwell tiene una edición comunitaria donde puedes ingerir los registros XML sin procesar de, eh, desde un controlador de dominio y comenzar a crear gráficos dirigidos por fuerza visual de, quiero ver a todos los usuarios que están usando LDAP hoy. Quiero ver a todos los usuarios que están usando LLM.
Quiero ver cada servidor que está haciendo ping a Kerberos o lo que sea. Y así puedo crear estos bolsillos visualmente, porque nosotros, como humanos, necesitamos la visualización. Como, así es como formamos estrategias. Así que ahora tengo una visualización para decir, "Oh, Dios mío, no me di cuenta de que tengo 1,500 usuarios que dependen de LDAP de texto claro.
Eso es malo”. Como, y, y así, pero no lo sabrás a menos que actives el registro de éxito. Así que ese es el primer paso. El segundo paso es ahora que sabes lo que hay ahí fuera, ¿qué puedes matar que esté usando esas cosas? Entonces uno de mis trucos favoritos de judo es, es, bueno, tienes estos cinco servidores aquí que están usando LDAP.
¿Qué hacen? Ah, es para un sistema de cumplimiento tributario que funciona con una base de datos Access. De acuerdo. Bueno, tomemos esos datos, pongámoslos en una plataforma Power Platform, hagámosla nativa de la nube y eliminemos ese servidor. Así ya no tengo que preocuparme por LDAP, ¿verdad? He eliminado la raíz del problema y, al mismo tiempo, he satisfecho las necesidades del negocio, ya que puedo ejecutar esa base de datos Access en la plataforma Power Platform.
Ya no necesito ese servidor. Entonces, ¿qué puedo hacer para modernizarlo y eliminar esa dependencia? Y el último componente es que, una vez que esté en ese camino, ¿qué puedo hacer para crear estrategias de identidad segmentadas para separar la gestión de privilegios en la nube de la gestión de privilegios en las instalaciones?
Voy a diferenciar a los trabajadores del conocimiento de los usuarios privilegiados. Voy a realizar esta segmentación de identidad que tiene sentido. De hecho, en 2020, la NSA publicó, en mi opinión, uno de los documentos de identidad desclasificados más importantes, donde revelaron cómo lograron expulsar a los rusos del Tesoro de Estados Unidos.
Así que este es un relato detallado de seis meses de la NSA luchando contra los rusos, y bien por ellos por ser lo suficientemente humildes como para hacerlo, porque no mucha gente levantaría la mano y diría: "Oye, nos tomó seis meses limpiar este desastre". Y así lo hicieron, y en ese documento lo explican y dicen: "Miren... El problema central era que el Departamento del Tesoro tenía cinco planos de identidad.
Tenían Active Directory local, tenían AD FS para sincronizar con Entra (en aquel entonces se llamaba Azure AD), tenían Okta y tenían Duo. En resumen, tenían cinco capas de identidad diferentes. Y lo interesante es que mucha gente dice: «Ya migré a la nube porque tengo Okta».
Nunca he visto un proyecto de Okta funcionar sin Active DirectorySí. Es que nunca he visto que algo básico de Okta funcione por sí solo.
Rob Ainscough:
A esto me refiero, es el centro neurálgico, ¿verdad? Está, está colgando de esa seguridad fundamental de Active Directory en el núcleo.
Aaron Turner:
Sí. Y entonces, en el estudio de caso de la NSA, donde hablan de lo que pasó con el Tesoro, los rusos se escondían porque la NSA se acercaría, y digamos que se acercan con Active Directory indicadores de compromiso, y ellos irían tras ellos, y luego los rusos se irían a vivir dentro de Okta por un tiempo, y vivirían de la tierra en Okta.
Y luego se acercaban en Okta, y luego iban a Duo por un tiempo. Y se acercaban en Duo, y luego iban a Entra. Y luego se acercaban en Entra, y luego iban a AD FS. Y así, esencialmente, se movían como cucarachas, ¿entiendes?, donde no les llegaba la luz, y así vivían.
Y por eso mi recomendación enfática a la gente es que eliminen, digamos, hagan su pila de identidades lo más simple posible. Mm-hmm. Eliminen el uso de… Y de hecho, en ese documento técnico de la NSA, en la página tres dicen: “Si estás usando Exchange Online, estás loco si usas algo con Entra Protect”. O sea, lo dejan muy claro.
Debes ser muy estricto con el uso de la identidad en la nube.
Roy Akerman:
Mm-hmm. Creo que esa historia tiene sentido. Sin embargo, la segmentación es realmente muy difícil. Hay que conocer los activos. Necesitamos conocer las aplicaciones propias, la esencia del acceso, ¿verdad? Entonces, creo que incluso el Tesoro tenía cinco proveedores de identidad o cinco directorios diferentes que necesitaban sincronizarse. Y cada uno de ellos probablemente era operado por una entidad diferente, ¿verdad?
Debido a esa complejidad para segmentar... Mm. Eh, ya sabes, algunos de los activos o, como, los recursos a los que estamos tratando de acceder. Eh, quiero decir, me pregunto, probablemente también te encontraste con eso, ya sabes, en la gran cadena minorista para la que trabajaste, ¿verdad?, como líder de IM. ¿Cuántas, como, eh, docenas, como, eh, cientos de miles de, eh, identidades humanas, sin mencionar las identidades no humanas, ¿verdad?
Si,
Rob Ainscough:
Absolutamente. Así que creo que 400,000 personas en la empresa. Sí. Eh, ya sabes, entre eso y 500,000... Así que... dependiendo de la época del año, es enorme...
Roy Akerman:
una segmentación, sí, segmentación es una mala palabra o, ¿realmente se puede hacer?
Rob Ainscough:
Creo que se puede hacer. Creo que hay dos cosas importantes. Una es un cambio de mentalidad sobre para qué sirve la identidad, y que no solo sirve para proteger cuentas o añadir MFA, ¿verdad?
Estás aquí para proteger lo que le importa a tu negocio. Y como bien dices, es fundamental comprender qué es lo importante, cómo son los flujos de autenticación y el acceso a ese elemento, y luego diseñar esas reglas, pero contar con la tecnología que realmente te permita hacerlo.
No es fácil hacerlo a esa escala. No es fácil cuando hay tanta fragmentación y complejidad. Pero creo que lo primero es pensar de esa manera y luego intentar construir una visión general para entender lo que está pasando, para luego partir de ahí y dar ese paso. Porque, ya sabes, proteger todo a la vez en todas partes es imposible, pero puedes dar pasos importantes para proteger lo que realmente importa para tu negocio.
Aaron Turner:
Así que tú necesitas
Roy Akerman:
para ver la
Rob Ainscough:
todo el bosque
Aaron Turner:
antes
Rob Ainscough:
En realidad, estás... exactamente... haciendo eso.
Roy Akerman:
Exactamente.
Rob Ainscough:
Y
Roy Akerman:
entonces tú
Aaron Turner:
Realiza los controles correctos.
Roy Akerman:
¿Qué lecciones pueden aprender nuestros seguidores de, A, la forma en que los cárteles utilizan la tecnología para llevar a cabo sus, digamos, fluidas operaciones, y del otro lado, cómo se puede manipular, comprometer o duplicar la identidad cuando se trata del lado de las fuerzas del orden?
Sí, parece que estamos creando un episodio muy interesante. Interesante.
Rob Ainscough:
Esto es todo por este episodio de Identity Decoded.
Aaron Turner:
Si esta conversación cambió algo de tu forma de pensar sobre la seguridad de la identidad, compártela con alguien que esté trabajando
Roy Akerman:
a través de los mismos desafíos.
Rob Ainscough:
Y no olvides seguir el programa para no perderte nada.
siguiente.
