La evolución de los entornos de red ha llevado a un cambio significativo desde el modelo tradicional basado en el Directorio Activo hasta una arquitectura híbrida que incluye servicios en la nube. Los usuarios pueden acceder a recursos corporativos desde cualquier lugar y dispositivo gracias a esta nueva arquitectura.
Reducción de dependencia en redes privadas virtuales
La dependencia de las redes privadas virtuales (VPN) y sus costes asociados ha reducido. El modelo actual incluye tres servicios críticos: el Directorio Activo local u on-premise, el Directorio Activo en Azure y los servicios de Microsoft 365.
Adaptación de la seguridad perimetral
Este cambio ha afectado otros ámbitos de la ciberseguridad. La seguridad perimetral se ha adaptado a esta nueva realidad, dejando atrás herramientas como SNORT y la monitorización basada en direcciones IP para adoptar una estrategia basada en geolocalización e identidades de usuarios.
Modificaciones en las técnicas de ataque
Los atacantes han modificado sus técnicas incluyendo el uso de ataques basados en la cadena de suministro para entornos Microsoft Azure. Para comprender estos ataques, se ha elaborado una taxonomía basada en MITRE | ATT&CK.
Fase inicial del ataque
La primera fase del ataque consiste en la recolección de información sobre el objetivo, incluyendo proveedores externos como Gold Partners. Se utilizan fuentes públicas y técnicas como Google Dorking para identificar servicios como Azure DNS.
Evasión de mecanismos de seguridad
Para evadir mecanismos de seguridad, se utiliza la infraestructura de Microsoft, incluyendo servicios DNS y espacio IP. Se camufla el ataque con recursos legítimos de la nube para evitar detección.
Vectores de ataque modernos
El vector de ataque se basa en phishing 2.0, utilizando un enlace legítimo de Microsoft (https://microsoft.com/devicelogin) para el registro de dispositivos. Se crea un código de registro con una llamada a la API del dispositivo de Microsoft.
Suplantación y persistencia
Se envía un correo electrónico suplantando a Microsoft, solicitando al usuario que registre su dispositivo. El token obtenido permite la persistencia en la sesión sin necesidad de 2FA.
Mitigaciones recomendadas
Aunque el SOC podría detectar el registro del dispositivo, se sugiere utilizar aplicaciones como Microsoft Office para reducir la probabilidad de detección.