Estimados amigos de Inseguros !!!
Hoy quiero empezar una pequeña serie sobre seguridad en Entra ID, porque creo que aquí hay uno de los mayores errores de enfoque que veo en muchísimas empresas. Todavía hay mucha gente que, cuando piensa en cuentas críticas, sigue pensando casi solo en el Active Directory de toda la vida. Domain Admins, controladores de dominio, servidores, grupos privilegiados, cuentas de servicio potentes, etc. Y claro, todo eso sigue siendo importante…
Pero mientras tanto, el tenant de Entra ID va creciendo, aparecen más roles administrativos, más integraciones, más aplicaciones, más políticas de acceso, más sincronización con on-premise, más automatismos, y al final tienes un plano de control potentísimo en cloud que muchas veces no se está tratando con el respeto que merece. Aquí es donde entra el concepto de Tier 0. Tier 0 no es una etiqueta bonita. Tier 0 es una forma de decir: esto no puede caer. O mejor dicho, si esto cae, el impacto puede ser brutal. Y cuando hablamos de Entra ID, Tier 0 no son solo las cuentas más famosas o más evidentes. No hablamos únicamente del Global Administrator. Hablamos de cualquier rol o cuenta que permita tocar identidad, privilegios, autenticación, políticas de acceso, aplicaciones o mecanismos de sincronización entre el entorno local y la nube. *En la academia tenemos un mini curso de cómo montar un modelo de Tiers en AD*
Si una cuenta puede cambiar cómo se autentican los usuarios, puede asignar privilegios, puede debilitar las barreras de acceso, puede tocar aplicaciones empresariales o puede modificar elementos críticos de la identidad híbrida, esa cuenta está jugando en la liga de Tier 0, aunque el nombre del rol suene menos impresionante.
Un atacante no siempre necesita comprometer la cuenta más obvia. A veces le basta con una cuenta menos vigilada, con menos fama, pero con capacidad suficiente para hacer alguna actividad, digamos, intermedia, que le permita escalar.
Cuando revisamos un tenant en una de nuestras auditorías, porque en SegurdidadSi VIVIMOS de nuestros servicios, una de las preguntas más importantes no es cuántos administradores globales tiene la empresa. La pregunta buena es otra: qué cuentas pueden alterar la confianza del entorno.
Porque al final, la identidad es el corazón del sistema. Si controlas la identidad, controlas el acceso. Si controlas el acceso, controlas los recursos. Y si además puedes modificar las reglas del juego, ya no estás entrando por una rendija: estás reescribiendo el entorno a tu favor.
He visto entornos donde el cliente tenía muy pocos Global Administrator y estaba contentísimo con eso. Pero luego rascabas un poco y aparecían cuentas con capacidad para tocar MFA, cuentas con privilegios sobre aplicaciones, cuentas con permisos para cambiar políticas de acceso condicional o cuentas híbridas con mucho más poder del que parecía.
No quiero quedarme en la teoría bonita ni en la frase de “hay que proteger las cuentas críticas”. Quiero bajar esto a tierra y revisar qué roles de Entra ID deberíamos tratar como Tier 0, qué puede hacer cada uno, qué riesgos tiene y qué medidas de seguridad deberíamos aplicar. Aquí no somos influencers, aquí trabajamos la ciberseguridad real de las empresas.
En el próximo post vamos a empezar ya con los roles concretos. No solo el Global Administrator, sino también otros roles que muchas veces pasan más desapercibidos y que, sin embargo, pueden darte un disgusto enorme si caen en malas manos.
Si trabajáis con Microsoft, cloud, identidades híbridas, aplicaciones empresariales o seguridad en entornos modernos, este tema no es accesorio. Es nuclear. Y cuanto antes se entienda, mejor.
Si queréis aprender ciberseguridad Microsoft, hardening, identidad, defensa, auditoría y cómo revisar de verdad un entorno empresarial, podéis echar un vistazo a los cursos de la academia:
https://www.seguridadsi.com/todos-cursos
Gracias por leerme !!!
