No puede revertir un secreto que ya ha sido leído

Imagina una caja fuerte con documentos que contienen propiedad intelectual valiosa. Un espía contratado la abre, fotografía los papeles que hay dentro, la cierra de nuevo y se marcha. A la mañana siguiente, la caja fuerte tiene el mismo aspecto que la noche anterior: la misma puerta, la misma combinación, nada movido de su sitio. No hay nada que devolver, porque, en los términos que entiende una herramienta de recuperación, no se llevaron nada. La pérdida ya salió del edificio en forma de copia.

Esa es la forma incómoda que adopta una gran clase de ataques a Active Directory, y es la razón por la que el relato defensivo favorito del sector tiene un vacío en su centro.

Durante una década, el mercado de la seguridad de Active Directory ha competido en un único eje: la rapidez con la que puedes deshacer un cambio malicioso. Detectar la escritura maliciosa, generar una alerta y revertir a un estado conocido como bueno. El seguimiento de cambios a prueba de manipulaciones y la reversión automatizada son toda la propuesta. Como historia de recuperación, es una buena historia, y la recuperación realmente importa. Pero cede el punto que de verdad cuenta. El cambio ya ocurrió, y hay cambios que, una vez sucedidos, ya no se pueden deshacer.

Los ataques a Active Directory que terminan antes de que puedas revertirlos

Piensa en cómo funcionan realmente los ataques a AD más rápidos. Los grupos de ransomware encadenan vulnerabilidades como noPac, el par de suplantación de sAMAccountName detrás de CVE-2021-42278 y CVE-2021-42287, para pasar de una cuenta normal al control total del dominio en cuestión de minutos. Una vez que el atacante alcanza esa posición, las técnicas que siguen no son actos de vandalismo ruidosos que se puedan limpiar después. Son lecturas y suplantaciones que completan su trabajo antes de que una reversión tenga algo que recuperar.

DCSync es el ejemplo más claro y el paralelismo directo con la historia de la caja fuerte. Abusando del propio protocolo de replicación del directorio, el atacante solicita a un controlador de dominio los hashes de las contraseñas de las cuentas y los recibe como lo haría otro controlador. No queda ningún objeto alterado en el directorio para que una herramienta de recuperación lo detecte y lo revierta. El cambio, en la medida en que existe, es una copia de tus credenciales que ya ha salido. Puedes restablecer todas las contraseñas después, y deberías hacerlo, pero en ese punto estás limpiando después de un robo, no deteniéndolo.

DCShadow actúa en la dirección contraria. Registra un controlador de dominio fraudulento e ilegítimo e inyecta cambios elegidos por el atacante en el directorio a través del canal de replicación, evitando la ruta de escritura habitual que vigila tu monitorización. Aquí, el control eficaz rechaza la replicación fraudulenta en el instante en que se intenta, de modo que el cambio inyectado nunca llega a entrar en el directorio para poder revertirlo.

Ahora piensa en una edición maliciosa de un objeto de directiva de grupo (GPO), del tipo que distribuye una carga útil de ransomware a cada equipo que lee la directiva, o una adición discreta a un grupo privilegiado. Revierte el objeto y el estado del directorio queda restaurado. Sin embargo, la directiva ya se distribuyó y la carga útil que transportaba ya se ejecutó. Restaurar el objeto no hace nada respecto al radio de impacto que ya generó.

Aquí es donde el relato de la recuperación se queda sin margen. Para toda esta categoría, la detección y la reversión llegan, por su propia estructura, demasiado tarde, y la prevención no es una versión más rápida de la misma idea: es una disciplina distinta. La detección confirma que algo peligroso ya alcanzó el directorio. La prevención detiene la operación antes de que el directorio llegue a aceptarla.

Detección frente a prevención: un ataque a un GPO, razonado de las dos formas

Supongamos que un atacante edita un GPO vinculado a tus servidores para distribuir una carga útil en la siguiente actualización de la directiva. Razónalo primero según el modelo de recuperación. La configuración maliciosa se detecta y se revierte, y el GPO vuelve a su estado anterior; sobre el papel, el incidente está cerrado. En la práctica, todos los equipos que recibieron la directiva en la ventana de tiempo entre la edición y la reversión ya han ejecutado la carga útil, y ninguna cantidad de restauración del objeto deshace esa ejecución.

Ahora razónalo de la otra forma. La escritura en ese GPO se evalúa de forma integrada (inline) y se rechaza antes de que Active Directory la confirme. La directiva nunca cambia, así que nunca se distribuye, y no queda ninguna ejecución de carga útil que investigar. El mismo ataque, dos modelos defensivos, y solo uno de ellos te deja sin nada que limpiar.

Por qué la palabra es prevención, y no detección rápida

Ese segundo resultado solo está disponible para un control que se sitúe en la propia ruta de escritura. Este es el mecanismo detrás de Netwrix Threat Manager: evalúa las operaciones de forma integrada (los cambios en objetos críticos y GPO, las modificaciones de grupos privilegiados y las solicitudes de replicación) y las bloquea en el origen, antes de que el directorio confirme la escritura. También captura esos eventos en su punto de origen incluso cuando el registro nativo se ha deshabilitado o borrado, de modo que un atacante no puede cegar el control borrando antes los registros. Eso es lo que se gana la palabra prevención, en lugar de una detección rápida disfrazada con un lenguaje más contundente.

Nada de esto significa que la prevención sustituya a la detección. Algunos ataques solo se pueden detectar y responder después de que ocurran, y fingir lo contrario no supera la primera pregunta directa que hará cualquier CISO competente. Prometer de más invita a la respuesta que se merece. La postura defendible es más estrecha y más sólida que un eslogan: prevención en primer lugar para los cambios que se pueden bloquear de forma determinista, y detección y respuesta para todo lo demás.

Debajo de todo esto hay una visión coherente. Insistir en bloquear un cambio peligroso en el momento en que se intenta es la contraparte, en el lado de la resiliencia, de insistir en saber quién tiene acceso en el momento en que lo utiliza. Ambas posturas insisten en actuar en el instante de la acción, no en la limpieza que viene después.

Lo cual nos devuelve a la caja fuerte que parecía intacta. La reversión es una promesa de que puedes deshacer el daño rápidamente. La prevención es una garantía de que no hubo daño que deshacer. Para los ataques a Active Directory que copian un secreto, suplantan a un controlador o detonan antes de que puedas revertirlos, solo una de esas dos promesas es una que el mecanismo realmente puede cumplir, y la hace el control que nunca dejó que el cambio se confirmara.