Microsoft lanzó Active Directory en 1999 y todavía lo utilizan el 90% de las principales corporaciones del mundo. Si bien es muy popular, el problema es que recibe muchos ataques de seguridad. Para reducir drásticamente la superficie de ataque de AD, es bueno ejecutar una evaluación de seguridad de AD y corregir los indicadores de seguridad marcados. En este artículo, aprenderá cómo crear un informe de evaluación de seguridad de Active Directory.
¿Qué es el Caballero Púrpura?
Las vulnerabilidades de Active Directory, Microsoft Entra ID y Okta pueden brindar a los atacantes acceso prácticamente sin restricciones a la red y los recursos de su organización.Siemprecreó Purple Knight, una herramienta de evaluación de seguridad gratuita que le ayuda a descubrir indicadores de exposición (IoE) e indicadores de compromiso (IoC) para los siguientes entornos:
- Okta
- ID de entrada de Microsoft
- Directorio activo
Esta herramienta GRATUITA comprueba e informa lo siguienteindicadores de seguridad.
Purple Knight no es un software de código abierto. Es un contenedor creado alrededor de scripts de PowerShell que se ejecutan en Active Directory. Todos los scripts de PowerShell utilizados por el software Purple Knight se pueden encontrar en la carpeta y abrir una vez que descargue el software, para que pueda examinar lo que hace.
No hay instalador y es un ejecutable portátil, lo cual es fantástico.
Para crear un informe de evaluación de seguridad de Active Directory, siga estos pasos:
Paso 1. Descarga Caballero Púrpura
- Inicie sesión en un cliente unido a un dominio con un usuario normal sin privilegios (usuario de dominio)
- Descargar Caballero Púrpuraen el cliente unido al dominio
Nota:Se recomienda descargar el software en un cliente unido a un dominio en lugar del controlador de dominio. Ejecutarlo en un cliente unido a un dominio con un usuario normal muestra exactamente cómo ven los atacantes el entorno una vez que ingresan.
- Extrae la carpeta en elArchivo zipy guardarlo enC:instalar
Paso 2. Desbloquear archivos con PowerShell
Es esencial desbloquear los archivos extraídos de Purple Knight antes de iniciar la aplicación:
- Inicie Windows PowerShell
- Ejecute el siguiente comando para desbloquear todos los archivos en elComunidad PK 4.2directorio
Get-ChildItem -Path "C:InstallPurpleKnight-CommunityPK Community 4.2" -Recurse | Unblock-FileSi no lo hace, recibirá el siguiente error cuando inicie la aplicación Purple Knight.
Paso 3. Ejecute la aplicación Purple Knight
- Haga doble clic enPurpleKnight.exepara ejecutar la aplicación Purple Knight
- Aceptarel acuerdo de licencia
- Hacer clicPróximo
- Haga clic en eltres puntosen la cima
- SeleccionarBuscar actualizaciones
- Hacer clicActualizar
- Las actualizaciones de los indicadores de seguridad se están descargando.
- Verifique que tanto elversión PKyIndicadores de seguridadestán al día
Nota:Asegúrese de que la versión PK (Purple Knight) y los indicadores de seguridad estén siempre actualizados antes de continuar.
- El caballero moradoguionesLas carpetas se actualizarán con los últimos indicadores de seguridad.
Ahora también es un buen momento para revisar los guiones si te parecen interesantes. Para que pueda ver qué hace exactamente cuando ejecuta el informe.
- Seleccione la casilla de verificaciónDirectorio activo
- Hacer clicSeleccionar
- Hacer clicPróximo
- Haga clic en elSeguridad de la infraestructura ADampliar icono
- Encuentra la casilla de verificación sin marcarVulnerabilidad de inicio de sesión cero
Nota:De forma predeterminada, sólo una casilla de verificación está deseleccionada, y esa es laVulnerabilidad de inicio de sesión ceroindicador de seguridad. Esto se debe a que la ejecución lleva varias horas dentro de un entorno de producción típico. Ejecute el informe con esa opción deseleccionada y, una vez que haya podido revisar el informe, regrese y habilite la vulnerabilidad Zerologon para un nuevo análisis.
- Hacer clicEjecutar pruebas
- Muestra el estado de progreso, el tiempo transcurrido y cuántos indicadores de seguridad se procesan.
- El escaneo finaliza y el resumen muestra elPuntuación total de Active Directory, incluyendo cuántosIOE (Indicadores de Exposición)se encuentran
- Hacer clicGuardar comoy guardar unInforme completo en PDF
- Hacer clicVer informe
- Guardará automáticamente un informe HTML y una lista de verificación de Excel con todos los resultados del indicador en Purple Knight.produccióncarpeta (en nuestro ejemplo, hemos ejecutado el informe dos veces)
- Abra la carpeta para verificar los archivos del informe de evaluación de seguridad de Active Directory
Paso 4. Examinar el informe de evaluación de seguridad de Active Directory
Aparece la salida HTML y muestra el informe de evaluación de seguridad de Active Directory. Tómese su tiempo y vea qué puede mejorar en su organización.
Así es como se ve en nuestro entorno de Active Directory.
Un ejemplo de una de las catorce IOE encontradas en Active Directory y que aparecen en el informe es:El servicio de cola de impresión está habilitado en un DC.
Inmediatamente tomamos medidas para remediar el indicador de seguridad. Una vez hecho esto, volvemos a ejecutar Purple Knight para crear un nuevo análisis e informe de seguridad.
Lea más en el artículo Cómo deshabilitar la cola de impresión en el controlador de dominio.
¡Eso es todo!
Conclusión
Aprendió a realizar una evaluación de seguridad de Active Directory. El software Purple Knight escanea rápidamente el entorno e identifica los indicadores de seguridad. Es esencial saber que debes ejecutar esta herramienta cada semana, mes o trimestre, según tu entorno. Además, la herramienta se actualiza con nuevos indicadores de seguridad cada vez y usted siempre querrá tener verificados los últimos cambios de seguridad en su organización.
Es interesante que Purple Knight identifique una serie de puntos de riesgo que los productos de seguridad adquiridos pasan por alto por completo. Recomendaría absolutamente esta herramienta gratuita de evaluación de Active Directory.
¿Disfrutaste este artículo? También te puede interesar la comprobación del estado de Active Directory con el script de PowerShell. No olvides seguirnos y compartir este artículo.
