Defender su SI con PowerShell

1. RDP: Remote Desktop Protocol

> (Get-WmiObject -class "Win32_TSGeneralSetting" -Namespace   
root\cimv2\terminalservices -Filter "TerminalName='RDP-tcp'"). 
UserAuthenticationRequired 

(Get-WmiObject -class "Win32_TSGeneralSetting" -Namespace  
root\cimv2\terminalservices -Filter "TerminalName='RDP-tcp'"). 
SetUserAuthenticationRequired(0) 

1. ¿Qué es un cortafuegos?

Desde el comienzo del libro, se ha mencionado el concepto de cortafuegos (firewall) en varias ocasiones, sin abordar su definición y administración. Un firewall puede ser de tipo «sistema», como en los Windows del Lab, o «perimetral» (a veces llamado «barrera» o «interzona»), como en la máquina pfSense.

Un firewall tiene la función de imponer una directiva de red, controlando las comunicaciones autorizadas (o no) a partir de criterios como estos:

Hoy en día existen muchos firewalls. Se puede mencionar, por ejemplo, iptables/netfilter para Linux; los firewalls integrados en el antivirus, como en Symantec Endpoint Protection, o productos de editores como Fortinet o Palo Alto. En este libro, es interesante centrarse brevemente en el funcionamiento de un firewall de Windows y su configuración con PowerShell.

Los firewalls de los clientes de Windows tienen la particularidad de integrar tres perfiles de funcionamiento diferentes:

Estas ubicaciones son seleccionadas por el usuario en la primera conexión a una nueva red y se asocian a un conjunto de reglas dedicadas al perfil. La elección se realiza entre el modo privado y el modo público; el modo «con dominio» se aplica automáticamente tan pronto como la máquina se une al dominio. Dado que la elección se deja al usuario, está sujeta a errores que este usuario podría cometer ante un mecanismo que no ha comprendido necesariamente.

> Get-NetConnectionProfile  
  
  
Name          : pspirineos.es  
InterfaceAlias: Ethernet  
InterfaceIndex: 12  
NetworkCategory: DomainAuthenticated  
IPv4Connectivity: Internet  
IPv6Connectivity: NoTraffic 

No es necesario aquí...

1. Las cuentas de servicio gestionadas

Algunas cuentas son bastante más interesantes para un atacante que otras: las cuentas privilegiadas y las cuentas de servicio. Las primeras permiten tomar rápidamente el control de la infraestructura. Las segundas son cuentas no nominativas, a menudo abandonadas sin ninguna atención particular, y a veces con contraseñas que datan de directivas de seguridad idénticas a la antigüedad de la cuenta. Supervisar y renovar los secretos de estas cuentas es un proceso tedioso y lento; lleva mucho tiempo, es pesado y a menudo se descuida. Y, sin embargo, estas cuentas suelen tener privilegios importantes en el dominio o el SI.

El ataque de Kerberoasting, presentado en el capítulo Los atacantes y PowerShell, se dirige específicamente a este tipo de cuenta. Para ello, la vulnerabilidad explotada se reduce a una contraseña demasiado débil y, por lo tanto, reversible para una cuenta. Microsoft propone una solución para resolver este tipo de problema: las cuentas de servicio de grupo administradas (gMSA).

Las cuentas de servicio administradas son sorprendentemente poco conocidas por los administradores de Windows y los desarrolladores de soluciones de software. Sin embargo, las gMSA deberían reemplazar lo más pronto posible las cuentas de usuarios tradicionales que se utilizan para estas necesidades de cuentas técnicas.

Estas gMSA son las sucesoras de las cuentas de servicio administradas (MSA), que tenían como objetivo automatizar la gestión de contraseñas de cuentas de servicio (a través...

1. WinRM y el live-forensics

Para empezar, ¿qué es el live-forensics? Es un método de investigación digital que complementa el análisis forense tradicional, que es un análisis realizado en la imagen de disco de una máquina apagada. «El análisis forense de sistemas vivos», en español, se utiliza, como su nombre indica, en máquinas activas y accesibles en línea.

Esta técnica es necesaria para todos los ejemplos de ataques «solo en memoria», que se han abordado en los primeros capítulos (ver capítulo Malware casero - Etapa 1: el dropper Memory Only). En comparación con un análisis en frío, permitirá, en particular, la recolección de una imagen de la memoria RAM que sería imposible en una máquina apagada.

En los grandes SI, hoy en día esta función la llevan a cabo los EDR (Endpoint Detection and Response) que, con la ayuda de un agente en las estaciones y servidores, proporcionarán estas funcionalidades. Cuando el entorno o el contexto no permiten la instalación de tal producto, las funciones de control remoto de PowerShell, como WinRM, especialmente si se combina con JEA, pueden proporcionar funcionalidades similares e interesantes a los administradores.

En las siguientes secciones, no vamos a volver a la operación de acceso remoto de PowerShell, sino más bien a ver lo que es posible monitorear en un sistema con PowerShell desde una perspectiva de control o de aclaración de dudas.

2. WMI: suscripciones a eventos del sistema

Muy utilizados por los malwares como mecanismo de persistencia o propagación, los eventos WMI también pueden usarse en una perspectiva de monitorización del sistema de información. WMI, de hecho, proporciona una funcionalidad de gestión de eventos.

Por ejemplo, durante la creación de un nuevo proceso, se crea una nueva instancia del objeto WIN32_Process en la base WMI, lo que desencadena un evento de tipo __Instancecreationevent. Del mismo modo, se elevará un evento en el apagado del sistema o en la modificación de una clave de registro. 

Todos estos tipos de eventos son accesibles a través de filtros escritos en lenguaje WQL (WMI Query Language). Muy cercano en su filosofía al SQL (usado con bases de datos), permite...