SERIOUSSAM (VULNERABILIDAD DE WINDOWS 10 Y 11): PASOS PARA MITIGARLO

Hace unos días se descubrió una nueva vulnerabilidad en Windows 10 (parche 20H2) y Windows 11. La vulnerabilidad, SeriousSAM, permite a los atacantes con acceso a una cuenta de “Usuario” realizar un ataque Pass-the-Hash (y potencialmente Silver Ticket). Aprovechando esta vulnerabilidad, los atacantes pueden acceder a contraseñas cifradas (hashed) que se almacenan en el Administrador de Cuentas de Seguridad (SAM) y en el Registry.

Esta publicación cubrirá:

1. Vulnerabilidad SeriousSAM.
2. Cómo mitigar SeriousSAM.
3. Mitigar SeriousSAM sin causar daño al entorno de producción.

VULNERABILIDAD SERIOUSSAM:

La raíz de la vulnerabilidad se encuentra en la configuración predeterminada evolutiva que Microsoft decidió establecer en Windows 10 y 11. En esta configuración predeterminada, Microsoft asigna permisos de “lectura” a un grupo de usuarios Built-In que contiene todos los usuarios locales.

Por lo tanto, todos los usuarios locales Built-In tienen permiso para leer tanto los archivos SAM como el Registry y pueden acceder a los hashes almacenados en ellos. Un atacante que obtenga credenciales de “Usuario” puede usar herramientas como Mimikatz para ingresar al Registry o al SAM, robar los hashes y convertirlos en contraseñas. Al usarlo para intervenir a usuarios de dominio, los atacantes pueden acceder a la red con privilegios elevados.

Su mejor opción para mitigar la vulnerabilidad de SeriousSAM es implementar acciones de hardening que mitigarán esta vulnerabilidad.

MITIGANDO SERIOUSSAM:

Dvir Goren, CTO de CalCom, ofrece 3 acciones de refuerzo opcionales de mitigación:

1. Elimine a todos los usuarios del grupo de usuarios Built-In: este es un buen lugar para comenzar, pero no lo protegerá en caso de que le roben las credenciales de Administrador.
2. Restrinja los archivos SAM y los permisos del Registry: permita el acceso solo a los Administradores. Esto, nuevamente, resolverá solo una parte del problema, ya que, si un atacante roba las credenciales de Administrador, usted estará expuesto a esta vulnerabilidad.
3. No permita el almacenamiento de contraseñas y credenciales para la autenticación de red: esta regla también se recomienda en los puntos de referencia del CIS. Al implementar esta regla, no se almacenará ningún hash en el SAM o en el Registry, por lo que se mitigará por completo esta vulnerabilidad.

Cuando utilice GPO para la implementación, asegúrese de que la siguiente ruta de la interfaz de usuario esté habilitada: Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options\Network access: No permita el almacenamiento de contraseñas y credenciales para la autenticación de red

¡Nota! Aunque la última recomendación ofrece la mejor solución para la vulnerabilidad SeriousSAM, puede afectar su producción, si su impacto no se prueba adecuadamente antes de aplicarla. Las aplicaciones que utilizan tareas programadas y que necesitan almacenar localmente el hash de los usuarios fallarán si esta configuración está habilitada.

MITIGANDO SERIOUSSAM SIN RIESGO DE CAUSAR DAÑOS AL ENTORNO DE PRODUCCIÓN

Las siguientes son recomendaciones de Dvir para mitigar la vulnerabilidad sin causar interrupciones:

1. Cree un entorno de prueba que simule su producción. Intente ser lo más preciso posible para simular todas las posibles dependencias que tenga en su red.
2. Realice un análisis de impacto de esta regla en su entorno de prueba. De esta manera, si tiene aplicaciones que dependen de los hash que se almacenan localmente, lo sabrá de antemano y evitará el tiempo de inactividad de la producción.
3. Aplique la política siempre que sea posible. Asegúrese de que las máquinas nuevas también estén endurecidas y de que no se produzcan cambios de configuración con el tiempo.
4. Estas tres tareas son complejas y requieren experiencia interna y muchos recursos.

Por lo tanto, la recomendación final de Dvir es automatizar todo el proceso de endurecimiento para evitar la necesidad de realizar las etapas 1, 2 y 3.

Estas son las razones por las que debería considerar el uso de una Herramienta de Automatización de Hardening:

1. Genere automáticamente el informe de análisis de impacto más preciso posible: las herramientas de automatización de hardening “aprenden” las dependencias en su ambiente de producción y le informan sobre el impacto potencial de cada regla de su política.
2. Automáticamente aplique y haga cumplir su política en todo su entorno de producción desde un único punto de control. Con estas herramientas, no tendrá que realizar ningún trabajo manual, como el uso de GPO. Puede controlar y estar seguro de que todas sus máquinas están reforzadas.
3. Mantenga su postura de cumplimiento y monitoree sus máquinas en tiempo real: las herramientas de automatización de hardening monitorearán su postura de cumplimiento, alertarán y remediarán cualquier cambio no autorizado en las configuraciones, evitando así desvíos de configuración.