Notícias

ALERTA 09/2021

Alerta sobre infraestruturas de gerenciamento centralizado de acesso

Publicado em 13/12/2021 17h37 Atualizado em 13/12/2021 18h25

[TLP:WHITE]

1. Para os casos de abusos de sistemas virtualizados, particularmente relacionados a infraestruturas de gerenciamento centralizado de acesso, o CTIR Gov emitiu os Alertas 06/2021 e 08/2021, que tratam de vulnerabilidades em sistemas de autenticação e ações maliciosas em ambientes de Cloud.

2. Para identificação de artefatos e ações maliciosas sugere-se:
- Analisar os logs de acessos administrativo (procurar por instalação de binários; criação de usuários administrativos; criação de tarefas);
- Analisar flows de rede em busca de identificação de IPs suspeitos; e
- Analisar dados sobre volumetria para buscar indícios de exfiltração de dados.

3. Quando identificado o incidente, devem ser observadas boas práticas para contenção de danos em controladores de domínio, como as listadas a seguir.

3.1. Quando da evolução do incidente, particularmente em casos de persistência, recomenda-se:
- Que as ações sejam planejadas e executadas por especialistas em controladores de domínio, como, por exemplo, o Active Directory da Microsoft. Cabe ressaltar que este processo pode demandar tempo considerável para ser concluído, mas é fase de uma recuperação segura; e
- Realizar as configurações a partir de uma máquina recém instalada e atualizada, para que se evite a utilização de uma máquina já infectada; esta ação pode impedir, ainda, a infecção por movimentação lateral e/ou exploração de vulnerabilidades.

3.2. No caso de haver a necessidade de recuperar o controle do domínio, sugere-se desconectar o sistema da Internet e monitorar existência de acessos secundários, como por exemplo modens 3G/4G.

3.3. Para recuperação dos ativos autenticados no controlador de domínio sugere-se:
- Identificar os ativos críticos e sanitizar os acessos de administrador;
- Aplicar reset em TODOS os demais usuários do domínio, incluindo todos os administradores, além da conta de sistema utilizada para concessão de tiquetes para autenticação, como por exemplo a conta "KRBTGT". O reset desta conta pode ser feito por duas vezes seguidas (Observação: esta ação pode ter impacto na autenticação de todo o domínio);
- Aplicar reset de contas administrativas de outros ativos de segurança (por exemplo: WAF, IDS e outros elementos de sistemas de Firewall);
- Reintroduzir as estações de trabalho somente após a reinstalação e atualização do Sistema Operacional; e
- Aplicar o princípio do privilégio mínimo para estações de trabalho e usuários.

3.4. Para o fortalecimento do controle de usuários, sugere-se:
- A granularidade do controle de acesso pode ser obtida com a utilização de Diretivas de Grupo (GPO) personalizadas para usuários e estações de trabalho. Não é aconselhável utilizar a GPO padrão do domínio;
- A adoção do princípio da granularidade pode ser adotada, ainda, para separação das credenciais de gerenciamento com o objetivo de evitar escalonamento de segurança em caso de ataque externo; e
- A criação de vários administradores deve ser coordenada de modo que seja atribuída permissão e credencial única a cada conta, de modo que nenhum destes possua privilégios superiores aos Administradores de Domínio.

4. Informações complementares podem ser consultadas em:

Equipe CTIR Gov.

[TLP:WHITE]