Niveles de administración, separar cuentas y equipos

Cuando alguien inicia sesión en un equipo, partes de sus credenciales quedan disponibles en la memoria de ese equipo mientras la sesión esté abierta. Si el equipo se compromete, esas credenciales quedan al alcance de quien lo controla. Por eso el riesgo se mide por el equipo donde la cuenta se usa, no solo por la cuenta.

El modelo de niveles tradicional de Active Directory lo resuelve con una regla de contención. Nivel 0: los controladores de dominio y las cuentas y grupos que los controlan. Nivel 1: los servidores y sus administradores. Nivel 2: las estaciones de trabajo y quienes les dan soporte. Una cuenta de un nivel no abre sesión en equipos de un nivel de número mayor, porque un portátil de uso diario está más expuesto que un controlador.

Lee el modelo que declaró la empresa.

ls niveles
cat niveles/modelo-de-niveles.txt

Un modelo de niveles se empieza por las cuentas. Cada persona de TI que administre en más de un nivel necesita una cuenta distinta por nivel, con nombre reconocible. En Puente Real las cuentas de administración llevan el prefijo adm- y las de soporte soporte-, pero el prefijo no dice el nivel: lo dice la columna nivel_asignado de la tabla de cuentas. Mira cuáles son las del nivel más alto.

cat niveles/cuentas-administrativas.csv

Ahora el registro. Cada fila es un inicio de sesión correcto en la semana: la cuenta, el equipo, el nivel del equipo y la forma de entrada.

cat niveles/inicios-de-sesion.csv

Una revisión no se queda en un caso: mide cuántos hay. La regla de Puente Real es la de la tarea 1: la cuenta de un nivel no abre sesión en equipos de un nivel de número mayor. Recorre todo el registro, compara el nivel de la cuenta (tabla de cuentas) con el nivel del equipo (columna del registro) y cuenta las filas que rompen la regla.

Que un modelo esté escrito no lo hace real. Se hace cumplir con directivas de derechos de usuario: en cada unidad de equipos se deniegan el inicio de sesión local y por Escritorio remoto a los grupos de los niveles que no les corresponden. En los servidores se deniega a los grupos de nivel 0 y 2; en las estaciones, a los de nivel 0 y 1.

Lee la tabla de derechos y busca la unidad de equipos que no tiene ninguna.

cat niveles/derechos-de-inicio-de-sesion.txt

La documentación de Microsoft sobre el acceso privilegiado explica que su modelo de acceso empresarial se construye sobre el modelo de niveles de AD: lo amplía para cubrir también la nube, el acceso de usuarios y de aplicaciones, y el acceso programático. En ese modelo, el nivel 0 se convierte en el plano de control (todo lo que controla el acceso), y los niveles 1 y 2 se dividen en planos más precisos.

Esto importa para la defensa por una razón: la idea central no cambió. Lo que está más arriba no se controla desde lo que está más abajo. Se aplica igual en un dominio local o en una suscripción de nube.