Seguridad de vSphere Active Directory: Informe de investigación

Seguridad de vSphere Active Directory: Un informe de investigación completo

Cuando los administradores se autentican en VMware vSphere usando credenciales de Active Directory, esperan razonablemente que las contraseñas sean validadas y luego olvidadas. La realidad es mucho más compleja.

Esta investigación de seguridad independiente rastrea las credenciales de AD a través de cada capa de un entorno vSphere, desde ESXi 7 y 8 hasta vCenter Server 7 y 8. Los hallazgos revelan que las configuraciones predeterminadas exponen contraseñas mediante transmisiones LDAP en texto claro, keytabs legibles mundialmente y cachés persistentes de tickets Kerberos. En hosts ESXi independientes unidos a AD, cualquier administrador puede acceder a las credenciales almacenadas en caché de otros usuarios, y el rol ESXi Admin es funcionalmente equivalente a Domain Admin cuando las máquinas virtuales del Domain Controller se ejecutan en el host.

vCenter Server proporciona una autenticación más fuerte mediante el aislamiento de tokens SAML y un control de acceso basado en roles granular, pero solo cuando se configura deliberadamente para usar autenticación LDAPS o SPNEGO. La fuente de identidad AD-over-LDAP predeterminada recrea la peor exposición de credenciales en la capa de red.

Este informe documenta cada vulnerabilidad con capturas de paquetes, volcados de memoria y cadenas de ataque funcionales, y luego proporciona recomendaciones priorizadas para reforzar la integración de vSphere AD.

En esta guía, aprenderá cómo

• Identifique dónde las credenciales de AD están expuestas en las capas de red, disco y memoria en entornos vSphere.
• Comprenda por qué la unión independiente de dominio AD de ESXi crea debilidades de seguridad arquitectónicas irreparables.
• Configure las fuentes de identidad de vCenter para eliminar la transmisión de contraseñas en texto claro utilizando LDAPS o SPNEGO.
• Proteja el grupo de administradores ESXi con el mismo rigor que los Domain Admins, ya que la pertenencia al grupo AD controla directamente el acceso root al hipervisor.
• Prevenga ataques de degradación de Kerberos aplicando cifrado solo AES en las cuentas de equipo ESXi y vCenter.
• Restringa el acceso de administrador ESXi a hosts que ejecutan máquinas virtuales de Domain Controller para evitar la extracción offline de ntds.dit y ataques de reversión de instantáneas.
• Detecte intentos de robo de credenciales mediante la supervisión del Evento DC 2889 y la auditoría de acceso a archivos.

Por qué descargar esta guía

• Obtenga visibilidad sobre los flujos de credenciales que la documentación predeterminada de vSphere no revela.
• Comprenda las compensaciones de seguridad entre la gestión independiente de ESXi y los entornos gestionados por vCenter.
• Implemente recomendaciones de endurecimiento priorizadas basadas en cadenas de ataque probadas.
• Reduzca el riesgo de compromiso del dominio tratando los privilegios de ESXi Admin con la sensibilidad adecuada.
• Fortalezca los procedimientos de respuesta a incidentes con la revocación de certificados junto con los restablecimientos de contraseña.