Evaluación de seguridad: editar plantillas de certificado mal configuradas ACL (ESC4) (versión preliminar)
En este artículo se describe el informe de evaluación de la posición de seguridad de la ACL de la plantilla de certificado mal configurado de Microsoft Defender for Identity.
¿Qué es una ACL de plantilla de certificado mal configurada?
Las plantillas de certificado son objetos de Active Directory con una ACL que controla el acceso al objeto. Además de determinar los permisos de inscripción, la ACL también determina los permisos para editar el propio objeto.
Si por algún motivo, hay una entrada en la ACL que concede un grupo integrado y sin privilegios con permisos que permiten cambios en la configuración de plantillas, un adversario puede introducir una configuración incorrecta de plantilla, escalar privilegios y poner en peligro todo el dominio.
Algunos ejemplos de grupos integrados y sin privilegios son Usuarios autenticados, Usuarios de dominio o Todos. Algunos ejemplos de permisos que permiten cambios de configuración de plantilla son Control total o Escritura de DACL.
Cómo usar esta evaluación de seguridad para mejorar mi posición de seguridad de la organización?
Revise la acción recomendada en https://security.microsoft.com/securescore?viewid=actions para obtener una ACL de plantilla de certificado mal configurada. Por ejemplo:
Investigue por qué la ACL de plantilla podría estar mal configurada.
Corrija el problema quitando cualquier entrada que conceda permisos de grupo sin privilegios que permitan alterar la plantilla.
Quite la plantilla de certificado de la publicación de cualquier entidad de certificación si no es necesaria.
Asegúrese de probar la configuración en un entorno controlado antes de activarlos en producción.
Nota:
Aunque las evaluaciones se actualizan casi en tiempo real, las puntuaciones y los estados se actualizan cada 24 horas. Aunque la lista de entidades afectadas se actualiza en unos minutos a partir de la implementación de las recomendaciones, el estado puede tardar tiempo hasta que se marque como Completado.
Los informes muestran las entidades afectadas de los últimos 30 días. Después de ese tiempo, las entidades ya no afectadas se quitarán de la lista de entidades expuestas.