NTLM y LDAP — lo que delatan

Kerberos funciona con el nombre del servicio: el cliente pide un ticket para él. Si alguien llega a un servidor escribiendo su dirección IP en vez de su nombre, el cliente no puede pedir ese ticket y cae a NTLM. Por eso, en una red que ya usa Kerberos, el NTLM que se ve suele ser de tres tipos: configuraciones antiguas, equipos que se llaman por IP, y cosas que no deberían estar ahí.

Eso hace del registro NTLM un buen lugar para mirar: tiene poco ruido. La columna destino_usado de ntlm_log dice cómo se llamó al servidor.

Un fallo de autenticación suelto es un teclazo. Una serie de fallos del mismo origen, sobre la misma cuenta y a intervalos regulares de pocos segundos, tiene otra forma: alguien (o algo) probando. La cuenta administrador existe en todos los dominios y por eso es el nombre que más se prueba. Cuenta los fallos de esa cuenta en el registro NTLM, sin mezclar con el fallo suelto de otra persona.

En LDAP, un «bind» es el momento en que el cliente se identifica. El bind simple manda nombre de cuenta y contraseña tal cual; si el canal no va cifrado, cualquiera que mire el cable las lee. El bind con SASL negocia la autenticación sin mandar la clave a la vista. La columna tipo_bind y la columna canal_cifrado de ldap_log lo dicen sin abrir el paquete.

Aquí no hay que adivinar ninguna contraseña: el hallazgo es que una aplicación está configurada de forma insegura, y se corrige configurándola.

El bind simple sin cifrar es una mala configuración, no un ataque. Se corrige de dos maneras complementarias: cifrar el canal (LDAP sobre TLS) y, donde se pueda, usar la autenticación SASL con firma. Y como la clave ya viajó legible, esa cuenta se considera expuesta: se cambia después de arreglar la configuración, no antes, o la nueva se vuelve a ver.

Una estación de trabajo consulta el directorio para sus cosas: su usuario, un grupo, un buzón. Cada búsqueda devuelve pocos objetos, y en un día normal ninguna llega a 40. Una búsqueda que devuelve miles de objetos en una sola petición no es la de una persona buscando un colega: es la de un programa que está listando el directorio completo. Quien conoce esa lista sabe qué cuentas, qué grupos y qué servidores hay.