Prevenir que quienes atacan tengan más privilegios
Contar con una estrategia de mínimo privilegio que consiste en la asignación de permisos necesarios y suficientes a un usuario para desempeñar sus actividades dentro de una organización, por un tiempo limitado y con el mínimo de derechos necesarios para realizar sus tareas.
Monitorear sistemas de identidad como Active Directory o LDAP y prevenir ataques de escalación de privilegios, se recomienda configurar auditorías de eventos para registrar actividad relacionada con autenticación y cambios de privilegios. Además, establecer alertas y notificaciones personalizadas, implementar políticas de control de acceso rigurosas, utilizar soluciones de análisis de comportamiento para identificar actividades inusuales, utilizar herramientas de monitoreo en tiempo real.
Implementar un monitoreo activo de los roles y funcionalidades asignados a usuarios es crucial para evitar la posesión indebida de privilegios que puedan surgir debido a cambios en sus responsabilidades o grupos de pertenencia.
Para detectar posibles movimientos laterales de equipos comprometidos en la red, es esencial implementar un monitoreo exhaustivo de la actividad del sistema, incluyendo el análisis de patrones de comportamiento anómalos y el seguimiento de eventos en los endpoints. Además, el uso de soluciones de análisis de seguridad contribuirá a alertar sobre cualquier desplazamiento inusual en la red.
Utilizar herramientas de gestión de acceso privilegiado PAM (Privilege Access Management) que permite definir diferentes niveles de acceso para administradores y así tener un mayor control de las acciones que cada usuario realiza en el sistema.
Otros puntos a tener en cuenta:
Monitoreo de ataques de fuerza bruta sobre las cuentas de usuarios.
Monitoreo de alertas sobre la deshabilitación de herramientas o controles de seguridad.
Supervisión de cambios en las credenciales de administradores de sistemas.
Monitoreo de la eliminación de trazas de auditoria sobre eventos de sistema o de seguridad.
Acción inmediata para mitigar o contener un equipo comprometido en la red.