Netwrix Innovation Week: innovaciones en seguridad de identidades

Unos pocos cambios de configuración, como una política de acceso condicional relajada o un atributo de usuario editado, pueden convertir una cuenta de administrador de Entra ID comprometida en un acceso a largo plazo. Estos cambios dejan la MFA activada y nada parece estropeado, por lo que son fáciles de pasar por alto. Detectarlos, junto con los ajustes de riesgo y las cuentas de servicio que los rodean, es en lo que se centraron nuestros equipos de producto en las últimas actualizaciones de Netwrix Threat Manager y Netwrix PingCastle.

En una conversación reciente con Joe Dibley, responsable de producto sénior de PingCastle, analizamos a fondo cómo los atacantes abusan de Entra ID, cómo los equipos pueden obtener visibilidad de las cuentas de servicio y cómo están respondiendo ambos productos.

Explora todas las conversaciones de Innovation Week para escuchar a los líderes de Netwrix y a expertos del sector hablar sobre la seguridad de los datos y las identidades.

Nuevas detecciones de Entra ID en Netwrix Threat Manager

Las detecciones que estamos añadiendo a Threat Manager incluyen cambios en las reglas que gobiernan Entra ID, como tiempos de vida de tokens más largos, auditoría reducida y roles personalizados que pueden crear puertas traseras. Esos cambios son un puñado de eventos dentro de un volumen enorme de registros, así que es viable vigilarlos. En total, añadiremos más de 30 a lo largo de los próximos trimestres, en cuatro áreas: manipulación de controles, escalada de privilegios y persistencia, ataques a credenciales y cambios en aplicaciones e identidades de carga de trabajo.

La inyección en grupos dinámicos, una de las técnicas menos habituales del conjunto, muestra lo fácil que es pasar por alto cambios como este. Los grupos dinámicos añaden miembros automáticamente según un atributo de la cuenta, de modo que un atacante con permisos de edición sobre una cuenta puede, por ejemplo, establecer su departamento en finanzas, unirse al grupo de finanzas y heredar todo lo que conlleva. El grupo en sí nunca cambia, así que nunca se ejecuta ningún paso de aprobación. Threat Manager ya detecta el cambio de atributo, y planeamos mejorarlo para que reconozca cuándo ese cambio coincide con una regla de grupo dinámico de un grupo o rol sensible.

Un panel de cuentas de servicio en Threat Manager

En los entornos con los que trabajamos, las cuentas de servicio suelen tener privilegios excesivos y quedan fuera de la MFA porque no son usuarios humanos. A menudo funcionan con contraseñas que nunca caducan y, como se autentican de forma programática, sus inicios de sesión reciben menos atención que los de una persona.

El nuevo panel de cuentas de servicio de Threat Manager ofrece a los equipos una vista única de todas las cuentas de servicio de su entorno, con accesos rápidos a la actividad reciente, las amenazas y los tipos de cifrado débiles. Las identificamos de serie, y los equipos pueden añadir las que se nos pasen por alto mediante convención de nombres o unidad organizativa.

Hoy el panel cubre las cuentas locales, pero las cuentas de servicio existen igualmente en Entra ID. La última versión ya identifica allí las identidades de agentes, y planeamos ampliar el panel a Entra ID para que las entidades de servicio, las identidades de agentes y otras identidades no humanas aparezcan en una sola vista.

PingCastle 4.0 añade una evaluación de riesgos de Entra ID

La nueva evaluación cubre 102 riesgos, con el objetivo de igualar nuestra evaluación de Active Directory. La cobertura incluye configuraciones híbridas, como las cuentas de sincronización de directorio con privilegios ampliados, además de los ajustes de consentimiento de usuarios, los métodos de MFA, los enlaces para compartir de SharePoint y la configuración de Azure Key Vault.

Cada riesgo tiene su propio archivo de definición, de modo que nuestro equipo de investigación de amenazas puede crear prototipos en JSON y los clientes pueden ver cómo cambia un riesgo entre versiones, editarlo o publicar los suyos.

La investigación de amenazas detrás de ambos productos

Ambos productos se nutren de la misma fuente. Nuestro equipo de investigación de amenazas estudia ataques reales y las técnicas empleadas contra Entra ID, y Joe y yo colaboramos con el equipo con regularidad para priorizar lo que se incluye en futuras versiones.

Nuestro boletín de investigación de seguridad, Threat Lab Quarterly, es una forma de seguir ese trabajo. Cada número recoge lo que está siguiendo el equipo y lo que puede significar para los defensores. La primera edición ya está disponible.

Innovation Week en Netwrix

Netwrix Innovation Week se celebra del 19 al 23 de octubre y reúne a expertos técnicos y defensores para profundizar en la seguridad de la identidad y los datos. La semana incluye entrevistas en vídeo, demos, retransmisiones en directo, un panel de expertos y un desafío capture the flag basado en IA.