Levántate, configura cumplimiento de ISO 27001 en Azure, vete a desayunar

 

Pues sí, con Azure puedes levantarte, encontrar que ya tienes creada una suscripción, aplicar la ISO 27001:2013, la UKOFFICIAL and UK NHS y la Australian Government ISM Protected y salir para la oficina.

A la hora de cumplir ciertos requisitos o políticas propias de la compañía, poca gente sabe que se pueden crear esas lineas generales de cumplimiento o advertencia a través de las Políticas.

A mí personalmente me gustan las políticas que obligan a que se utilicen ciertas etiquetas o advertir, e incluso configurar automáticamente, el  backup de VMs que cumplan ciertos criterios que les identifican como VMs en producción.

Cumplir la ISO 27001

A lo que iba. Hay una forma no solo de crear ciertas políticas, sino de crear toda una batería de ellas que sumadas todas, nos hacen cumplir buenas prácticas, tales como los Microsoft Managed Controls (hay más de 1.600 plantillas de securización de entornos)

azure-policy/built-in-policies/policyDefinitions/Regulatory Compliance at master · Azure/azure-policy (github.com)

azure-policy/built-in-policies/policyDefinitions at master · Azure/azure-policy (github.com)

La cuestión es que un buen número de políticas prediseñadas que se engloban para cumplir una norma, en Azure se llama Policy Initiatives y a través de esta opción, es muy muy fácil que apliques cumplimiento de toda una ISO 27001: 2013 con un par de clicks.

Resultado tras aplicación de lo que ahora vais a ver.

Ejemplos de advertencias:

Configuración paso a paso:

Para aplicar esto, solo tienes que seguir los siguientes pasos:

1. Ve a tu suscripción y elige políticas (Policies) en el grupo de opciones de configuración.

2. Dentro de las opciones de políticas, encontrarás la opción de cumplimiento y podrás elegir Asignar iniciativa.

3. Una vez allí, solo tendrás que configura el alcance (Scope) y  en Basis, elegir la iniciativa que quieres cumplir.

3.1 Tendrás la opción de no activar esto por el momento y dejarlo solo emitiendo advertencias que lo que sería, si lo activases :) o sea en modo auditoría. Esto se consigue teniéndolo desactivado.

4. Podrás parametrizarlo un poco a tu entorno. Por ejemplo configurando si tienes Azure Arc o no.

5. Podrás revisar también los avisos y advertencias que trae la norma de cumplimiento.

Saludos.

Inmutabilidad de copias en Azure Backup

 

Hola, 

Abro aquí el primero de dos posts, donde hablaré de Inmutabilidad en Azure. En este primer artículo, me centraré en la inmutabilidad en el servicio de Backup, la cual está actualmente en preview.

La opción en cuestión, la tenéis en las propiedades del Recovery Service Vault que utilices.

Sobra decir, que Azure backup puede ser también nuestro sistema de copia de seguridad de servidores e información On Premise, ya que Microsoft integró 

Una vez allí puedes habilitar la inmutabilidad en dos fases que describo a continuación.

•  Inmutabilidad habilitada pero no bloqueada "Not Locked"

Con esta configuración tendremos inmutabilidad en nuestro sistema de almacenamiento del backup y nadie podrá variar los archivos e información resultante del backup mientras dure el tiempo de retención de la política que hemos aplicado. 

Esto significa que si tenemos una retención de 7 días y una copia el último día del último mes, esta información desaparecerá progresívamente tras este tiempo y está garantizado la integridad del dato salvado, sabiendo que es exactamente el que se salvó, sin que el ransomware u otra clase de peligros, pueda cifrarlo dado que en sí, esto es una varación del datos.

•  Inmutabilidad habilitada y bloqueada "Locked"

habilitar el Locked está lleno de advertencias y es que una vez activemos esta opción, nada ni nadie podrá borrar la información salvada mientras no venza. Esto significa que si tenemos un backup con retención 2 años, tendremos dos archivos pertenecientes al 31 de Diciembre de los dos últimos años y estos solo se borrarán llegado los dos años posteriores. Nosotros mismos como administradores, no podremos borrar esta información aun eliminando la máquina virtual, su backup e incluso la baja de la suscripción de Azure. 

Tendremos por tanto asegurado y que acarrear el pago de la información salvada durante el tiempo de retención.

 

Aquí tenéis copias de mis máquinas virtuales, una vez he parado el backup de las mismas. Podréis apreciar que no aparece la opción de eliminar la información. De hecho, al eliminar el backup de la máquina, me ofrece dos opciones; una es eliminar la información tras el periodo de retención y otra es guardar la información para siempre.

Actualización de NPS MFA Extension

 

Hola, 

He visto que Microsoft ha actualizado la extensión MFA (Azure AD) en su Radius. El rol  NPS ahora soporta MFA con seguridad frente a MFA Fatigue.

Ejemplo de uso en granja RDS: HybridCPD: Doble Factor (Azure AD) en Servicio Remote Desktop Gateway

Como la extensión NPS no puede mostrar el código que debe coincidir, se les pedirá a los usuarios que ingresen una contraseña de un solo uso (OTP) utilizando la aplicación Microsoft Authenticator o el token de software/hardware. Si el usuario no tiene un método OTP registrado, continuará obteniendo la experiencia de aprobar/denegar. Puedes anularlo usando la siguiente clave de registro (use la cadena exacta, incluido el caso):

Clave de registro: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AzureMfa

Tipo de clave: Cadena

Nombre clave: OVERRIDE_NUMBER_MATCHING_WITH_OTP

Valor clave: VERDADERO

La documentación oficial aun no está actualizada, pero espero que lo esté en breve.

Configure the Azure AD MFA NPS extension - Azure Active Directory - Microsoft Entra | Microsoft Learn

La documentación sobre esta última versión es la siguiente:

Version 1.2.2131.2 of the Azure MFA NPS Extension adds the following additional functionality:

* Changed the default value of OVERRIDE_NUMBER_MATCHING_WITH_OTP from False to a Microsoft

  managed value. There is no change to the current authentication experience for users.

  Microsoft will begin enabling number matching for all users of the Microsoft Authenticator

  app starting 27th of February 2023. After this date, if your organization has not set the

  OVERRIDE_NUMBER_MATCHING_WITH_OTP value to False, your Microsoft Authenticator users will

  be required to enter an OTP code instead of the Approve/Deny push notification experience.

  More information can be found at aka.ms/numbermatchdoc.

Upgrade Considerations:

* Uninstall any older version before installing this version or expect to restart the server.

* Run the new NPS Extension installer and run the PowerShell script if needed.

  Restart NPS if PowerShell script is not run.

-------------------------------------------------------------------------------

Bloqueo de usuarios en Azure AD y plataformado de GPO en escenario Hybrid

En relación a la configuración de bloqueos tras XX intentos fallidos en la introducción de la contraseña, hay algunos aspectos interesantes que cabe destacar y analizar.

Por defecto, tenemos el umbral de bloqueo de usuario tras 10 intentos fallidos en sector privado y 3 intentos en los tenants de sector público. Este usuario se desbloqueará de forma automática, tras 60 segundos.

Como he dicho, la cuenta se bloquea tras 10 contraseñas no correctas y se bloquea de nuevo tras cada intento extra, o sea se bloqueará de nuevo en el intento 11 y de nuevo en el 12.

El tiempo de desbloqueo de la cuenta, aumenta. Siendo de 1 minuto tras 10 intentos y más de 1 minuto tiempo tras el intento 11. Por seguridad, Microsoft no ofrece información sobre el tiempo de aumento del bloqueo de usuario.

El bloqueo inteligente además realiza una comprobación de los tres últimos intentos y no considera intento fallido si se repite la contraseña. Por ejemplo, si un usuario escribe 10 veces mal la misma contraseña la cuenta no se bloquea.

El administrador no puede desbloquear el usuario. Hay que esperar el tiempo de rigor. De hecho, el único proceso que desbloquea al usuario, que puede lanzar un humano es el desbloqueo tras un proceso SSPR de reseteo de contraseña.

Hay dos contadores diferentes, si el usuario erra la contraseña desde un lugar que para ese usuario es habitual, y otro contador para cuando el usuario está intentando acceder desde un lugar no habitual para él/ella. Apareciendo en este segundo caso más sensible el MFA entre intento fallidos.

Hybrid Scenario con ADConnect

A tener en cuenta en Windows Active Directory GPOS

Es importante que las GPOS, bloqueen la cuenta de Windows Active Directory, tras un número de fallos mayor que lo que hay configurado en Azure AD, para evitar que antes de que llegue el contador de Azure AD a su umbral, la cuenta se haya bloqueado por Windows Active Directory y con ello la cuenta de Azure AD también.

El tiempo de desbloqueo en Windows Active Directory ha de ser alto en la GPO para conseguir que Azure AD sea el que desbloquea la cuenta antes. Según la configuración, la primera vez será de 60 segundos, pero tened en cuenta que luego si se vuelve a fallar la contraseña, los tiempos de bloqueo de la cuenta serán mayores de 60 segundos, ya que van aumentando.

Se aconseja que en Windows Active Directory local el umbral de bloqueo de cuenta  sea al menos dos o tres veces mayor que el umbral de bloqueo de Azure AD

La duración del bloqueo de Azure AD (en segundos) debe ser mayor que la duración de restablecer el contador de bloqueos en Windows Active Directory (que se establece en minutos)

Palabras prohibidas en contraseñas en entornos híbridos Azure AD y WSAD

 

Hola, 

A pesar de que está a la vista y es fácil de implementar, pocas o ninguna vez he encontrado la hibridación de la configuración avanzada de política de contraseñas entre Azure AD y Windows Server Active Directory.

En la ruta; Azure AD - Seguridad - Seguridad - Métodos de autenticación - Protección con contraseña, encontramos las opciones donde podemos bloquear al usuario tras 10 intentos, por defecto, fallidos durante en un principio 60 segundos. 

En este lugar, podemos también configurar una lista personalizada de palabras prohibidas en la contraseña, lo cual es realmente útil. Lo que nos permite además, si contamos con un entorno Windows Server Active Directory, descargar el software   que tras ser instalado en el DC o bien en un servidor que "vea" al DC y por otro lado, tenga acceso limitado a internet (Implementación de la protección con contraseña de Azure AD local - Microsoft Entra | Microsoft Learn) nos hace llegar la lista de palabras prohibidas personalizada a los cambios de contraseñas que se produzcan en el ámbito On premises.

AzureADPasswordProtectionProxySetup.exe

Realmente, el procedimiento de validación de contraseñas con palabras prohibidas, no funciona como todos creemos pensar, a continuación lo explicaré y realmente es algo más importante aún, conocer que previamente a la comprobación de nuestra lista predeterminada, Azure AD, comprueba la existencia de palabras prohibidas en una lista global que mantiene el fabricante.

De hecho, La comprobación de una contraseña para su aceptación en un entorno híbrido o solo cloud pasa por las siguientes comprobaciones: 

 

• Toda contraseña introducida se comprueba, antes de su aceptación, en una lista de contraseñas globales prohibidas, añadiré algo extraño y es que de contener una palabra de la lista. a la contraseña se le otorga un punto.
• Tras esto, se comprueba si la contraseña contiene una palabra prohibida de nuestra lista personalizada y de existir, se otorgará un punto.
• La contraseña pasa por un proceso de normalización, se convierten mayúsculas por minúsculas, se asociada cada letra a similares como a = @  o = 0 y se componen todas las variaciones posibles.
• Se crean variaciones para evitar contraseñas aproximadas
• Si la contraseña anterior era por ejemplo Alicante01 se comprueba si se trata Alicante10 o ej. abcdeg o abcdefg de existir esto se otorgaría un punto.
• Se comprueba si esa misma contraseña ha sido utilizada por el usuario anteriormente y de ser así se prohíbe.
• Se comprueba si la contraseña coincide con su nombre,  apellido o similitudes de información personal:  Miguel  o Miguel123 o aaaHern@ndez por ejemplo y de ser así, se otorga un punto.

Proceso de puntuación de contraseñas:

 

• Proceso de puntuación para aceptaciones o denegaciones.
• Por ejemplo una contraseña larga que contenga palabras prohibidas podría aceptarse
• Una contraseña que contenga su nombre tiene un punto
• Una contraseña que contenga una contraseña previamente utilizada un punto
• Cada palabra prohibida encontrada en una cadena  tiene un punto
• Cada carácter no prohibido encontrado tiene un punto
• La contraseña ha de tener 5 puntos o más.

Ejemplo:

 Prohibimos Alicante en la lista de palabras prohibidas y tratamos de utilizar  Al1c@nt3AN

                Al1c@nt3= 1 punto

                A = 1 punto

                N = 1 punto

                Total 3 puntos, la contraseña no se admite.

 

En cambio Al1c@nt3Aaaa

             Al1c@nt3 = 1 punto

Aaaa = 4 puntos (4 caracteres)

Total  5 puntos Al1c@nt3Aaaa se admite a pesar de estar Alicante prohibida.

Como apunte avanzado, revisa la documentación si dispone de varios bosques de WSAD on premises.

https://learn.microsoft.com/es-es/azure/active-directory/authentication/howto-password-ban-bad-on-premises-deploy#read-only-domain-controller-considerations