Análisis de Seguridad en Active Directory (AD CS) y la Herramienta SECPTION - Conferencia 8.8 México

Análisis de Seguridad en Active Directory (AD CS) y la Herramienta SECPTION

Ponente: Erick Maldonado (Gerente Regional en Devel Group, Guatemala)

Evento: Conferencia 8.8 México

Tema: Evaluación de riesgos por malas configuraciones en Active Directory Certificate Services (AD CS) mediante la herramienta Open Source SECPTION.

Origen y problemática de las plantillas en AD CS

El ponente explicó que desde el lanzamiento de Windows 2000 hasta las versiones actuales, Active Directory incorpora Certificate Services (AD CS) para la autenticación basada en certificados. A lo largo de dos décadas, Microsoft añadió múltiples plantillas predeterminadas para facilitar la administración operativa, pero omitiendo un enfoque nativo de ciberseguridad.

Esta falta de endurecimiento (hardening) y la tendencia de los administradores a realizar instalaciones por defecto ("siguiente, siguiente") generan vectores de vulnerabilidad documentados desde el estándar ESC1 hasta el ESC16.

Vectores de ataque clave (ESC)

  • ESC1: Ocurre cuando una plantilla permite al solicitante especificar un Subject Alternative Name (SAN) arbitrario, permitiendo a un usuario con pocos privilegios suplantar la identidad de un Administrador de Dominio.
  • ESC4: Sucede cuando un usuario posee permisos de edición sobre la configuración de una plantilla de certificado, lo que le permite degradar sus controles de seguridad y convertirla en vulnerable a ESC1.
  • ESC8: Explotación de la interfaz web de inscripción de certificados cuando no cuenta con controles estrictos de autenticación.

SECPTION: Evaluación contextual de riesgos

Ante la necesidad de presentar informes ejecutivos a directores de seguridad (CISO) en lugar de código o listados planos de vulnerabilidades, se desarrolló SECPTION. Esta herramienta Open Source basada en Python e impacket ofrece:

  • Auditoría integral: Escaneo e identificación de vectores del ESC1 al ESC16 en entornos Active Directory.
  • Interfaz intuitiva en consola: Menú guiado que facilita su ejecución mediante credenciales simples, hashes NTLM o autenticación integrada.
  • Evaluación de madurez (L1 a L5): Clasificación clara donde L1 representa bajo riesgo y L5 un compromiso crítico e inminente del Domain Controller.
  • Cadena de ataque y contexto: Diferencia entre una plantilla vulnerable que está publicada y activa frente a una no publicada (cuyo riesgo pasa a ser puramente informativo).
  • Reportes ejecutivos en HTML y PDF: Generación automática de gráficos y resúmenes para la toma de decisiones directivas.
Recomendaciones para la remediación:
  • Verificar la necesidad real de cada plantilla publicada en AD CS y despublicar aquellas en desuso.
  • Monitorear la modificación de ACLs y permisos de edición sobre las plantillas de certificados.
  • Deshabilitar o restringir los servicios web de inscripción de certificados no requeridos.
  • Implementar reglas en los sistemas de detección (SIEM) para auditar solicitudes de certificados con nombres de sujeto alternativos (SAN).

Entradas más populares de este blog

Como redireccionar el trafico a una nueva IP con IPtables

Muchas veces nos pasa que cuando migramos un servidor o una aplicación a un nuevo servidor cambia la dirección IP y ya sea porque nuestros servidores DNS aún apuntan a la vieja dirección o nuestros clientes no han actualizado la IP en sus PC todavía apuntan al viejo servidor. En este tutorial vamos a ver en 3 pasos sencillos como redireccionar el tráfico de nuestra red a una nueva IP utilizando IPtables con las reglas de NAT. Les recuerdo que para ejecutar estos comandos necesitan tener privilegios de administrador (root). En caso que utilices Ubuntu debes colocar sudo al principio de cada comando. Voy a suponer que no tienes echa ninguna regla en la tabla nat que afecte el PREROUTING o el POSTROUTING. Vamos a comenzar 1. Habilitar el IP Forwarding   El IP Forwarding sirve para darle capacidad de Router a nuestro servidor es decir que pueda recibir y reenviar los paquetes por una o varias interfaces, ya sea que realice una transformación de dichos paquetes o no. Para esto solo tene...
Leer más

Kgpg en ubuntu

Primero Instalamos kgpg sudo apt-get install kgpg El manual: I have KGpg working like a champ on 14.04 64 bit now. Took some research to understand what happened, but anyway let me just highlight the simple process in case anyone else here wants to run PGP from the KGpg gui using 14.04. The solution involves adding a command line switch ------ > -k to a command line, but before you do that you have to chown it to the user so you can edit the line, and then chown it back to root (I returned it to root anyway just to be sure). Steps/notes: 1. Install KGpg from the Ubuntu Software Center (repositories) 2. You will see the icon in the launcher but it won't work until you do the following fix 3. KGpg will place the kde4 folder at root but we need to get the Kgpg icon (inside the kde4 folder) command line changed. My solution was to take ownership at the user level, do the change, and then change ownership back to root [There are many ways to skin a cat, but this was m...
Leer más

Uso de UFW en ubuntu

Instalar UFW en Ubuntu   sudo apt install ufw​​​2​​​ . Paso 1: Utilizar IPv6 con UFW (opcional) Este tutorial se redactó teniendo en cuenta IPv4, pero funcionará para IPv6 siempre que lo habilite. Si su servidor de Ubuntu tiene IPv6 habilitado, compruebe que UFW esté configurado para que admitir IPv6 de modo que administre las reglas de firewall para IPv6 además de IPv4. Para hacerlo, abra la configuración de UFW con  nano  o su editor favorito. sudo nano /etc/default/ufw   Copy A continuación, asegúrese de que el valor de  IPV6  sea  yes . Debería tener el siguiente aspecto: /etc/default/ufw excerpt IPV6 = yes   Copy Guarde y cierre el archivo. Cuando UFW esté habilitado, se configurará para escribir reglas de firewall de IPv4 y IPv6. Sin embargo, antes de habilitar UFW, nos convendrá comprobar que su firewall esté configurado para que usted pueda establecer conexión a través de SSH. Empezaremos con la configuración de las políticas predetermin...
Leer más