Instalar indicadores de ataque

1. En Tenable Identity Exposure, haga clic en Sistema en la barra de menú de la izquierda y seleccione la pestaña Configuración.

   Aparece el panel Configuración.

2. Haga clic en Indicadores de ataque.

   Aparece el panel de configuración de los IoA.

   

3. En (1) Configuración de dominios, haga clic en Ver el procedimiento.

   Se abre una ventana “Procedimiento”.

   

4. En ¿Actualizaciones automáticas en el futuro?:

   • La opción predeterminada Habilitado permite que Tenable Identity Exposure actualice automáticamente la configuración de los IoA siempre que la modifique en Tenable Identity Exposure en el futuro. Esto también garantiza un análisis de seguridad continuo.

   • Si desactiva esta opción, aparecerá un mensaje para pedirle que la active para recibir actualizaciones automáticas en el futuro. Haga clic en Ver el procedimiento y cambie a Habilitado.

5. Haga clic en Descargar para descargar el script que se ejecutará para cada dominio (Register-TenableIOA.ps1).

6. Haga clic en Descargar para descargar el archivo de configuración para los dominios (TadIoaConfig-AllDomains.json).

7. Haga clic en para copiar el comando de PowerShell para configurar los dominios.

8. Haga clic fuera de la ventana “Procedimiento” para cerrarla.

9. Abra un terminal de PowerShell con derechos administrativos y ejecute los comandos para configurar los controladores de dominio para los IoA.

   Nota: La cuenta de servicio que se usa para instalar los IoA y consultar los dominios debe tener permisos de escritura en la carpeta de GPO de Tenable Identity Exposure (anteriormente, Tenable.ad). El script de instalación agrega este permiso de manera automática. Si quita este permiso, Tenable Identity Exposure muestra un mensaje de error y las actualizaciones automáticas ya no funcionan. Para obtener más información, consulte Script de instalación de indicadores de ataque.

1. En (2) Configuración de la recopilación de eventos, haga clic en Abrir configuración.

   Aparece una ventana de configuración.

   

2. En Demora en la búsqueda, mueva el control deslizante para seleccionar la duración de la recopilación de eventos antes de activar un análisis de seguridad.

3. En Tecnología de intercambio, haga clic en la flecha desplegable para seleccionar una de las siguientes opciones:

   • Recurso compartido de SMB dedicado: Tenable Identity Exposure crea el recurso compartido de SMB en el emulador del controlador de dominio principal (PDCe) y todos los controladores de dominio escriben directamente en este recurso compartido de SMB. Consulte los requisitos previos para utilizar este modo en Implementación de indicadores de ataque.

   • Recurso compartido de SYSVOL integrado: los archivos de registros de eventos que se almacenen en el recurso compartido de SYSVOL estarán a disposición de todos los controladores de dominio como parte del mecanismo DFSR.

     Nota: Después de instalar el módulo de IoA, puede cambiar entre los modos de SMB y SYSVOL en cualquier momento, siempre que observe los requisitos previos del modo SMB, como se indica en Implementación de indicadores de ataque.

     Nota: Dos verificaciones de estado de dominios lo ayudarán a evaluar el estado de los módulos de IoA. Para obtener más información, consulte Verificaciones de estado.

4. Haga clic en Guardar configuración.

1. En el panel de configuración de IoA, en Configuración de indicadores de ataque, seleccione los IoA que quiera en la configuración.

   

   Sugerencia: El indicador de ataque (IoA) Explotación de Zerologon data de 2020. Si todos los controladores de dominio (DC) recibieron actualizaciones en los últimos tres años, están protegidos contra esta vulnerabilidad. Para conocer los parches necesarios para proteger los DC frente a esta vulnerabilidad, consulte la información en Netlogon Elevation of Privilege Vulnerability (texto en inglés) de Microsoft. Una vez que haya confirmado la seguridad de los DC, puede desactivar de forma segura este IoA para evitar alertas innecesarias.
   

2. Haga clic en Guardar.

   • Si habilitó ¿Actualizaciones automáticas en el futuro?, Tenable Identity Exposure guarda y actualiza automáticamente la nueva configuración. Espere unos minutos para que esta actualización surta efecto.

   • Si no habilitó ¿Actualizaciones automáticas en el futuro?, aparecerá una ventana “Procedimiento” como guía Para configurar dominios para los IoA:

1. En Administración de directivas de grupo, compruebe que el nuevo GPO de Tenable Identity Exposure exista y se vincule con la unidad organizativa Controladores de dominio:

   

2. Vaya a la ruta C:\Windows\SYSVOL\sysvol\alsid.corp\Policies\{GUID}\Machine\IOA y compruebe que el archivo .gz exista para todos los controladores de dominio antes de probar los IoA:

   

1. En el administrador de archivos, vaya a \\<NOMBRE-DNS>\sysvol\<NOMBRE-DNS>\Policies\{<ID-GPO>}\Machine\.

2. Haga clic con el botón derecho en el archivo TenableADEventsListenerConfiguration.json y seleccione Propiedades.

3. Seleccione la pestaña Seguridad y haga clic en Opciones avanzadas.

4. Haga clic en la pestaña Acceso efectivo.

5. Haga clic en Seleccionar un usuario.

6. Escriba <NOMBRE-DE-CUENTA-DE-SERVICIO-DE-TENABLE> y haga clic en Aceptar.

7. Haga clic en Ver acceso efectivo.

8. Compruebe que el permiso “Escribir” esté activo para la cuenta de servicio de Tenable.

   

Como alternativa, puede usar PowerShell:

• Ejecute los siguientes comandos:

Copiar

Install-Module -Name NTFSSecurity -RequiredVersion 4.2.3

Copiar

Get-NTFSEffectiveAccess -Path \\<DNS-NAME>\sysvol\<DNS-NAME>\Policies\{<GPO-ID>}\IOA\ -Account <TENABLE-SERVICE-ACCOUNT-NAME>

Para evitar ataques falsos positivos o que no se detecten ataques legítimos, tiene que calibrar los IoA según el entorno para adaptarlos al tamaño de la instancia de Active Directory, incluir las herramientas conocidas en una whitelist, etc.

1. Consulte Tenable Identity Exposure Indicators of Attack Reference Guide (Guía de referencia de indicadores de ataque de Tenable Identity Exposure) para obtener información sobre las opciones y los valores recomendados para seleccionar.

2. En el perfil de seguridad, aplique las opciones y los valores a cada IoA según se describe en Personalizar un indicador.

Durante la implementación, pueden aparecer los siguientes mensajes de error: