Evitar "MFA Fatigue attack" en Azure AD

 

Hola, 

Estamos asistiendo a un aumento de ataques MFA Fatigue, el cual como ya sabréis, se basa en ingeniería social, mandando al usuario una gran cantidad de validaciones MFA hasta que este, aceptar por error una de ellas. 

Evidentemente para poder realizar este ataque, hay que conseguir la contraseña del usuario y para evitar esto, lo mejor es activar Passwordless en todos los accesos que solicitan validación al usuario. Sobre esto hablaré en otro post.

Respecto a la parte más directa de este ataque, he recopilado una serie de opciones que existen en Azure AD y que evitarán el ataque a usuarios en nuestro tenant. Las opciones que indico a continuación, existen en practicamente todos los directors cloud, como puede ser Ping Identity, Okta, Gsuite, etc. y por tanto son igualmente aplicables.

Bastionado de tenant resistente a MFA Fatigue

Protección ante inicios de sesión en riesgo

La primera opción y para mí fundamental es configurar la proteeción ante riesgos en el login. Para esto es necesario Azure AD P1, pero creo que a día de hoy, vale la pena contar con esta licencia.

Protección del inicio de sesión de usuario basada en el riesgo en Azure Active Directory - Microsoft Entra | Microsoft Learn

Bloqueo de cuenta tras X intentos 

Por otra parte, lo esencial en cualquier tenant, sería configurar el bloqueo de cuenta tras un número de denegaciones por parte del usuario y situar este umbral bastante bajo. no más de 3-5 solicitudes denegadas del usuario. Cabe destacar que viene sin configurar, lo cual me parece un fallo por parte de Microsoft.

Esto lo tenéis en Azure Active Directory -> Seguridad -> Autenticación multifactor -> Bloqueo de cuenta.

Alertas de fraude

Otra opción efectiva es la de ofrecer en el aviso a los usuarios la posibilidad de denunciar un fraude y posterior bloqueo de la cuenta durante unos minutos.

MFA coincidencia de números

Una de las opciones más efectiva, es la coincidencia de números e información de localización que está actualmente en Preview para MFA, pero que en el caso de la primera, llevamos disfrutando desde hace mucho tiempo lo usuarios con paswordless.

Estas opciones de push avanzado de MFA están soportadas tanto en escenario cloud, como en escenario híbrido con complemento NPS y validación ADFS.

Para activar estas opciones, tenemos que ir a Azure Active Directory -> Seguridad -> Métodos de autenticación -> Microsoft authenticator -> Configurar -> Requerir coincidencia de números y Mostrar la ubicación geográfica en notificaciones Push.

Esto propiciará que en el MFA aparezca la siguiente información. Obligando al usuario a introducir un número aparecido en pantalla a quien propicie la llamada al MFA.

Evidentemente, como digo siempre, todo esto hay que combinarlo con control de acceso mediante equipos corporativos y delimitación de la posibilidad de realizar login en nuestras aplicaciones asociadas a Azure AD, desde localizaciones y/o países válidos para nuestra empresa.

También es importante no tener asignados roles y hacer uso de PIM.

Saludos.

Doble Factor (Azure AD) en Servicio Remote Desktop Gateway

Hola,

En el siguiente post, quiero detallaros como añadir doble factor de validación a la hora de conectar a vuestra granda Remote Desktop Services desde el exterior, haciendo uso del rol Remote Desktop Gateway.

Con este post quiero enriquecer comentando algunos aspectos que al seguir la información oficial, pueden pasar desapercibidos e incluso pueden provocar que os atasquéis. Esta información oficial la tenéis aquí: https://docs.microsoft.com/en-us/azure/active-directory/authentication/howto-mfa-nps-extension-rdg

A continuación os detallo los elementos necesarios.

Infraestructura Onpremise:

1. Directorio activo sincronizado con Azure Ad mediante Ad-Connect u otros software de sincronziación.
2. Servidor RDG con rol Remote Desktop Gateway
• Rol Remote Desktop Gateway (RDG) en un servidor publicado a internet a través del puerto 443.
• Servicio Network Policy Server (NPS) Local del servidor Remote Destkop Gateway- (Importante conocer que este servicio existe y se activa automáticamente al añadir el rol RDG)
3. Servidor NPS donde habilitar el rol Network Policy Server, que conectaremos con Azure AD
• Descargar e instalar el software NPS Extension: https://www.microsoft.com/en-us/download/details.aspx?id=54688

Azure AD:

1. Activar MFA en usuarios sincronizados.
2. Obtener el Azure AD ID -  Azure Active Directory - Propiedades.

A continuación podéis ver los pasos de configuración.

Configuración: 

Servidor NPS:

• Abrir Powershell como administrado
• Ir a la ruta c:\program files\microsoft\azureMfa\config
• lanzar el script: AzureMfaNpsExtnconfigSetup.ps1

Errores conocidos: 

•  Si tienes Ws 2016 puedes econtrar problemas en la descarga del paquete: https://undercpd.blogspot.com/2020/04/install-package-failed-to-download.html
•  Si tienes Windows Server en un lenguaje que no sea inglés, puedes encontrar un error. El script trata de dar privilegios de acceso a la clave privada del certificado generado a  la cuenta "Network Service" cuando en español la cuenta es "Servicio de red", por lo que una vez el script te devuelve el error, puedes hacer este paso a mano. Por ejemplo podéis seguir este procedimiento https://docs.secureauth.com/display/KBA/Grant+Permission+to+Use+Signing+Certificate+Private+Key Tened en cuenta que el grupo no es Authenticated users como muestra esa guía.

Servidor RDG:

•  Ir a Inicio - Herramientas administrativas - Remote Desktop Services - Administrador de puerta de enlace de Escritorio Remoto
•  Click en Propiedades sobre botón derecho sobre el nombre del servidor 
•  Solapa Almacén de Cap de RD

•  Añadir nombre de servidor NPS - Agregar Frase secreta compleja y de vuestra invención.
• En el servidor RDG (no configundir con servidor NPS) abrir consola NPS. Inicio - Herramientas administrativas - Servidor de directivas de red. 
• Ir a Clientes y Servidores RADIUS - Grupos de servidores remotos RADIUS
• A la derecha ha de aparecer TS GATEWAY SERVER GROUP . Si no apareciese por favor actualizar ya de requiere unos minutos.
• Doble click sobre dicho grupo
• Comprobar que aparece el servidor NPS - Hacer click sobre él y click en Editar
• click en la solapa Equilibrio de carga
• Aumentar los segundos de solicitud e identificación a 60.
• 
• Aceptar todas las ventanas abiertas
• Cerrar consola NPS

Servidor NPS:

• Abrir Consola NPS - Inicio - herramientas administrativas - Servidor de directivas de redes
• Botón derecho sobre NPS (Local) y hacer click en Registrar servidor en Active Directory
• Dobre Click en Clientes y Servidores Radius
• Botón derecho sobre Clientes RADIUS - click en Nuevo
•  Dirección IP : Nombre de servidor RDG
• Introducir mismo secreto compartido que se introdujo en el servidor RDG
• Doble click en Directivas y directivas de red
• Botón derecho sobre la directiva "Connections to other access Servers
• Click en duplicar directiva
• Botón derecho - Propiedades sobre la directiva duplicada aparecida
• Modificar nombre
• Click en Directiva Habilitada
• Click en Conceder acceso
• Click en solapa Restricciones
• Métodos de autenticación
• marca la casilla Permitir a los clientes conectarse sin negociar un método...
• Click en la solapa Condiciones
• Agregar  condición incorporando a un grupo de usuarios de directorio activo, como grupo permitido para la conexión.
• Aceptar las ventanas aparecidas.

Tras esto, ya podréis probar la configuración de la conexión a través de RDG a un equipo en la red.

Saludos.