Más allá de la bóveda: el privilegio permanente cero neutraliza más que los ataques a contraseñas

Parte 2 de 3 de nuestra serie Repensar el acceso privilegiado. Empieza por la Parte 1: La contraseña nunca fue el único problema.

En la Parte 1 trazamos la línea entre el modelo de bóveda y check-out del PAM tradicional y el modelo de sesión y Activities del PAM moderno con Netwrix Privilege Secure (NPS). Uno protege la contraseña; el otro elimina el privilegio permanente que hay detrás. Ese planteamiento es un buen punto de partida, pero se queda corto. En Windows y Active Directory, la contraseña es solo la semilla. Todo lo que un atacante usa para moverse lateralmente se deriva de ella o se emite gracias a ella: un hash NTLM, un ticket Kerberos, un inicio de sesión en caché, un certificado, un blob de DPAPI. Una herramienta PAM que protege únicamente la contraseña protege un eslabón de una cadena mucho más larga.

Aquí es donde aparece la diferencia real entre el PAM tradicional y el PAM moderno. Guardar la contraseña en una bóveda la oculta, pero no afecta a nada de lo que depende de ella. NPS elimina el privilegio permanente rotando, deshabilitando o eliminando cuentas en cuanto termina una sesión. Eso interrumpe varias de esas rutas de ataque posteriores, porque la mayoría depende de que exista una cuenta privilegiada, en un estado utilizable, durante más tiempo del necesario. Sin embargo, NPS no previene por completo amenazas de AD como el Kerberoasting. Otros productos de Netwrix, como Netwrix Threat Prevention, pueden ayudar detectando actividad de autenticación sospechosa.

La superficie de credenciales que nadie guarda en una bóveda

Esto es lo que se puede atacar en un entorno Windows/AD además de la contraseña en texto plano:

• Hashes NTLM: utilizables directamente mediante Pass-the-Hash, sin necesidad de descifrarlos.
• Tickets Kerberos (TGT/TGS): se pueden robar y reutilizar mediante Pass-the-Ticket, y falsificar mediante Golden y Silver Tickets si se compromete la clave de krbtgt o la clave de una cuenta de servicio.
• Material susceptible de Kerberoasting/AS-REP roasting: cualquier usuario del dominio puede solicitar un ticket de servicio para una cuenta con SPN, o un AS-REP para una cuenta con la autenticación previa deshabilitada, y descifrarlo sin conexión.
• Credenciales de dominio en caché (MSCACHEv2): almacenadas en la colmena SECURITY local de cualquier equipo en el que un usuario haya iniciado sesión.
• Certificados y entradas de msDS-KeyCredentialLinkExpand: abusables mediante una configuración incorrecta de plantillas de AD CS o ataques de Shadow Credentials, autenticándose como un usuario sin tocar nunca su contraseña.
• Contraseñas administradas por LAPS/gMSA: protegidas únicamente por la ACL del atributo que las almacena.
• Secretos protegidos con DPAPI: descifrables si un atacante obtiene la clave maestra del usuario o roba la clave de copia de seguridad de DPAPI del dominio.

Ninguno de estos elementos requiere la contraseña en texto plano, y todos conceden algo muy parecido.

Por qué el privilegio permanente es el hilo conductor

Casi todos los elementos de esa lista son potentes solo porque la cuenta que hay detrás tiene privilegios reales ahora mismo y los mantiene indefinidamente. Una configuración de PAM tradicional, con una contraseña guardada en bóveda, rotada e inyectada sobre una pertenencia permanente a Domain Admins, sigue dejando un hash NTLM que vale la pena robar, un TGS que vale la pena atacar con roasting y un inicio de sesión en caché que vale la pena descifrar entre una extracción y otra.

Los modelos de cuenta de NPS (solicitante, gestionada y efímera, explicados en detalle en la Parte 1) atacan directamente esa causa raíz común. Las cuentas gestionadas se deshabilitan y se vuelven a rotar en cuanto termina una sesión, las cuentas efímeras se eliminan por completo y hasta las cuentas del solicitante tienen pertenencia a grupos elevados solo mientras dura la sesión.

Como el privilegio tiene un inicio y un fin en lugar de existir para siempre, la mayoría de los ataques anteriores pierden su objetivo en el instante en que se cierra la sesión. NPS no necesita detectar el ataque porque ya no queda nada que merezca la pena atacar.

Qué cambia NPS en cada ataque

Con NPS, una cuenta comprometida tiene privilegios limitados, lo que acota el daño que puede causar.

Dos funciones que amplían aún más el efecto

Dos de las Activities de NPS que no están relacionadas con cuentas, ambas presentadas en la Parte 1, merecen mencionarse de nuevo porque extienden esta misma lógica más allá de las credenciales:

• Activar/desactivar RDP. La mayoría de los servidores dejan RDP escuchando de forma permanente. NPS puede activarlo solo mientras dura una sesión y desactivarlo inmediatamente después. Eso elimina una superficie de ataque grande y siempre disponible que no tiene nada que ver con la credencial que tenga el atacante.
• Modo de protección. El análisis de recursos Windows y Linux en busca de cuentas locales no aprobadas detecta un modo de fallo distinto: un insider (o un atacante que ya ha conseguido entrar) que crea discretamente una cuenta permanente para usarla más adelante. Aplica la misma filosofía de «no dejar que se acumule privilegio sin gestionar» a las cuentas que NPS no creó en primer lugar.

Lo que esto no sustituye

Conviene ser precisos sobre el límite, porque exagerar no beneficia a nadie. NPS es eficaz contra los ataques que dependen de que una cuenta privilegiada persista en un estado utilizable, lo que abarca una parte sorprendentemente grande del catálogo de ataques a credenciales de Windows. No afecta a los ataques que operan con independencia del estado en tiempo real de una cuenta concreta: un Golden Ticket falsificado a partir de una clave de krbtgt robada, el abuso de plantillas de AD CS, una Shadow Credential escrita en un atributo o el robo de la clave de copia de seguridad de DPAPI de todo el dominio. Todo eso exige su propia higiene (disciplina de rotación de krbtgt, revisión de plantillas de certificados, supervisión de escrituras de atributos, protección de la clave de copia de seguridad), por muy disciplinado que sea el modelo de sesión y Activities.

La conclusión

El PAM tradicional guarda una contraseña en una bóveda y protege un solo artefacto. Eliminar el privilegio permanente reduce el valor de casi todo lo que depende de esa contraseña: hashes, tickets, inicios de sesión en caché y atributos de cuentas gestionadas. Esos artefactos solo merecen ser robados si el privilegio que hay detrás sigue ahí cuando el atacante intenta usarlos. NPS no detendrá todos los ataques a credenciales en Active Directory, pero cierra mucha más superficie de ataque que «proteger la contraseña».

Próximamente en esta serie

Todo lo anterior da por supuesto que las cuentas funcionan por completo con los modelos de cuenta de NPS. La Parte 3 explica Bring Your Own Vault (BYOV): cómo NPS añade esta misma protección basada en sesiones sobre una bóveda que ya tienes en funcionamiento (una bóveda de PAM tradicional, CyberArk, BeyondTrust, HashiCorp Vault o LAPS), para que puedas empezar a reducir esta exposición sin migrarlo todo de una vez.