Una empresa de tecnología sanitaria estableció una integración de directorios de Azure AD con su principal socio de implementación de EHR: una sincronización bidireccional que permitía que el personal del socio apareciera en el directorio del cliente con fines de colaboración y acceso, y que el personal del cliente apareciera en el directorio del socio para coordinar el soporte. La integración resultaba cómoda: disponibilidad de calendario compartida, libreta de direcciones unificada, colaboración fluida en Teams y un aprovisionamiento de accesos más sencillo para el proyecto en curso. A los dieciocho meses de la integración, el socio sufrió un compromiso de Azure AD: un atacante obtuvo acceso a la cuenta de administrador global del socio mediante un ataque de phishing dirigido. Antes de que se detectara el compromiso y se revocara la cuenta, el atacante había creado dos cuentas nuevas en el inquilino de Azure AD del socio. Esas cuentas, a través de la relación de sincronización de directorios, se propagaron al inquilino de Azure AD del cliente dentro del intervalo de sincronización de quince minutos. El directorio del cliente contenía ahora dos cuentas controladas por el atacante que se habían creado en el directorio del socio. A continuación, el atacante utilizó esas cuentas para autenticarse en el entorno del cliente a través de la confianza entre directorios.
¿Qué son realmente los riesgos de integración de directorios con proveedores?
La integración de directorios conecta dos sistemas de identidad mediante una relación de sincronización: los objetos, atributos y eventos del ciclo de vida de un directorio se propagan al otro y, en las integraciones bidireccionales, los cambios fluyen en ambos sentidos. Azure AD Connect para entornos híbridos, la colaboración B2B de Azure AD y las herramientas de sincronización de directorios de terceros implementan estas integraciones con fines operativos legítimos: permitir que los usuarios de una organización accedan a recursos de otra, compartir datos de identidad para la colaboración y reducir la fricción en la gestión de accesos en relaciones a largo plazo con socios.
El riesgo de extensión de la confianza es el reto central de gobernanza. Una integración de directorios amplía el perímetro de confianza de un sistema de identidad para incluir la postura de seguridad de otro. Cuando el Azure AD del cliente acepta objetos de identidad del Azure AD del socio, la integridad de esos objetos depende de la seguridad del directorio del socio: la seguridad de sus cuentas de administrador, su gobernanza del acceso privilegiado y sus prácticas de gobernanza de identidades. Un compromiso del directorio del socio que crea cuentas, modifica atributos o cambia la pertenencia a grupos propaga esos cambios al directorio del cliente dentro del intervalo de sincronización. Los controles del directorio del cliente no se aplican a los cambios propagados: esos controles rigen lo que ocurre en el directorio del cliente, no lo que el directorio del socio envía a él.
La superficie de ataque de la manipulación de atributos es una vía de explotación específica que las integraciones de directorios crean más allá de la propagación de cuentas. Los sistemas de control de acceso, las políticas de acceso condicional y la lógica de autorización de las aplicaciones utilizan los atributos de usuario de Active Directory y de Azure AD: el departamento, el cargo, la pertenencia a grupos y los atributos de extensión personalizados pueden influir en aquello a lo que puede acceder un usuario. Una integración de directorios que propaga atributos de usuario desde el directorio de un socio permite que un compromiso de ese directorio modifique atributos que afectan a los controles de acceso del entorno del cliente. Un atacante que puede modificar atributos de directorio en el inquilino del socio puede llegar a modificar indirectamente los controles de acceso del cliente mediante la propagación de atributos.
- Propagación de cuentas desde un directorio de socio comprometido: cuentas creadas por el atacante en el directorio del socio que se propagan al directorio del cliente mediante la sincronización
- Manipulación de atributos que afecta a los controles de acceso: cambios de atributos en el directorio del socio que se propagan a atributos utilizados en las decisiones de acceso del cliente
- Propagación de la pertenencia a grupos: cambios de grupos en el directorio del socio que afectan al acceso a los recursos del cliente
- Ventana de ataque del intervalo de sincronización: cambios que se propagan a los pocos minutos de un compromiso del directorio del socio
- Sin controles de propagación por etapas: la sincronización del directorio acepta todos los cambios del socio sin validación por parte del cliente
Por qué es importante
La integración de directorios es relevante para TPRM porque es una de las relaciones de identidad de mayor confianza que una organización puede establecer con un proveedor: los cambios en el directorio del socio se propagan directamente a la infraestructura de identidades del cliente. Es un riesgo fundamentalmente distinto del de otros patrones de acceso de proveedores: en lugar de que el proveedor acceda al entorno del cliente mediante sesiones autenticadas, la integración de directorios permite que el sistema de identidades del proveedor escriba directamente en el directorio del cliente.
El escenario de ataque no es teórico. La investigación de la brecha de Microsoft de 2021 relacionada con SolarWinds determinó que la actividad del atacante incluía la creación de cuentas en los entornos objetivo mediante relaciones de confianza desde inquilinos de socios comprometidos. El compromiso de Microsoft de 2023 por parte de Storm-0558 explotó mecanismos de confianza entre inquilinos. Las relaciones de confianza de la integración de directorios son una vía de ataque documentada, y los proveedores que tienen una integración de directorios bidireccional con los inquilinos de sus clientes han establecido una vía que se explotaría en caso de compromiso del directorio del lado del proveedor.
Dónde se equivocan la mayoría de los equipos
El fallo más constante es evaluar la integración de directorios como una configuración operativa sin evaluarla como una relación de confianza de seguridad. La integración permite la colaboración y está bien configurada desde el punto de vista operativo. Si la postura de seguridad del directorio del socio es adecuada para que se confíe en él como fuente de identidades es una cuestión de gobernanza de la seguridad que la evaluación operativa no aborda.
- Evaluar la integración de directorios como una configuración operativa en lugar de como una relación de confianza de seguridad
- La postura de seguridad del directorio del socio no se evalúa antes de establecer la integración
- Sin filtrado de la sincronización entrante: todos los objetos del directorio del socio se propagan sin validación por parte del cliente
- Sin supervisión de los eventos de sincronización entrantes: las nuevas cuentas y los cambios de atributos procedentes del socio no se supervisan específicamente
- Alcance de la sincronización bidireccional no minimizado: se sincronizan más atributos y tipos de objetos de los que requiere la necesidad operativa
Cómo se ve una buena práctica
Los programas maduros de gobernanza de la integración de directorios evalúan la postura de seguridad del directorio del socio antes de establecer relaciones de sincronización, limitan el alcance de la sincronización al mínimo necesario para las necesidades operativas, implementan la validación por parte del cliente de los eventos de sincronización entrantes y supervisan los cambios entrantes anómalos que puedan indicar un compromiso del directorio del socio.
- Evaluación de la seguridad del directorio del socio: seguridad de las cuentas de administrador, gobernanza del acceso privilegiado y postura de seguridad de identidades evaluadas antes de la integración
- Sincronización de alcance mínimo: solo los tipos de objetos y atributos necesarios para la colaboración, no los objetos completos del directorio
- Supervisión de la sincronización entrante: las nuevas cuentas y los cambios de atributos procedentes del directorio del socio se supervisan específicamente, con alertas ante patrones anómalos
- Validación de la sincronización entrante: controles del lado del cliente sobre qué cambios del directorio del socio se aceptan
- Preferencia por la sincronización unidireccional: sincronización en un solo sentido cuando sea posible para limitar el acceso de escritura del directorio del socio al directorio del cliente
Herramientas
Gobernanza B2B de Azure AD: Microsoft Entra External Identities, configuración de acceso entre inquilinos
La configuración de acceso entre inquilinos de Microsoft permite un control granular de lo que se sincroniza entre inquilinos: limitar la sincronización entrante a tipos de objetos y atributos específicos, controlar qué usuarios del socio pueden acceder a qué recursos del cliente y configurar la confianza en las declaraciones de MFA y de cumplimiento de dispositivos procedentes de los inquilinos del socio. Para los profesionales de TPRM, preguntar si la configuración de acceso entre inquilinos está establecida para limitar el alcance de la sincronización entrante desde los directorios del socio plantea una pregunta concreta sobre la minimización del alcance de la integración.
Supervisión de la sincronización de directorios: Microsoft Entra Audit Logs, Azure Monitor
Los registros de auditoría de los eventos de sincronización de directorios capturan la creación de cuentas, las modificaciones de atributos y los cambios de pertenencia a grupos que se originan en directorios conectados. Supervisar específicamente los eventos de sincronización entrantes, distinguiendo las cuentas creadas localmente de las propagadas por el socio, permite detectar cambios anómalos en el directorio del socio. Para los profesionales de TPRM, preguntar si los eventos de sincronización de directorio entrantes se supervisan específicamente con alertas ante la creación de nuevas cuentas plantea una pregunta concreta sobre la detección de compromisos.
Desafíos de gobernanza
El reto de gobernanza de la integración de directorios es la tensión entre comodidad y seguridad. La integración de directorios bidireccional permite una colaboración fluida que reduce la fricción en los proyectos a largo plazo con socios. Cada tipo de objeto y atributo adicional que se sincroniza aumenta la comodidad operativa y aumenta la superficie de ataque que puede explotar un compromiso del directorio del socio. El principio de sincronización de alcance mínimo, sincronizar solo lo operativamente necesario, aplica a la integración de directorios la misma lógica que el mínimo privilegio aplica al aprovisionamiento de accesos.
- Evaluar la postura de seguridad del directorio del socio antes de establecer cualquier integración de directorios
- Limitar el alcance de la sincronización a la necesidad operativa mínima: solo tipos de objetos y atributos específicos
- Supervisar los eventos de sincronización entrantes en busca de creaciones de cuentas y cambios de atributos anómalos
- Preferir la sincronización unidireccional cuando la bidireccional no sea operativamente necesaria
- Incluir la integración de directorios en la evaluación de identidades de los proveedores
Si usted forma parte de un equipo pequeño
Para cada integración de directorios bidireccional que su organización tenga con un proveedor, formule dos preguntas. Primera: si se comprometiera la cuenta de administrador global del socio, ¿podría un atacante crear cuentas en su directorio a través de la relación de sincronización? ¿Y con qué rapidez aparecerían esas cuentas? Segunda: ¿se supervisan los eventos de sincronización entrantes, en concreto la creación de nuevas cuentas desde el directorio del socio, con alertas que detectarían una propagación anómala? Esas dos preguntas sacan a la luz el escenario de ataque y la capacidad de detectarlo.
- Preguntar si un compromiso del directorio del socio podría propagar cuentas del atacante a su directorio
- Preguntar si los eventos de sincronización entrantes se supervisan con alertas de anomalías
- Revisar la configuración de acceso entre inquilinos para minimizar el alcance de la sincronización
- Evaluar la seguridad de las cuentas de administrador del directorio del socio antes de mantener la integración de directorios
Qué exigir
Pregunte directamente:
“En nuestra integración de directorios, si su entorno de Azure AD se viera comprometido y un atacante creara cuentas nuevas en su inquilino, ¿con qué rapidez se propagarían esas cuentas a nuestro directorio? ¿Y cuentan con una supervisión que detectaría ese escenario antes de que se produzca la sincronización?”
“¿Cuál es el alcance de su integración de directorios con nuestro inquilino? En concreto, ¿qué tipos de objetos y atributos se incluyen en la sincronización, y está el alcance limitado a lo que es operativamente necesario para la colaboración?”
Evidencia que debe esperar
- Documentación del alcance de la sincronización del directorio: tipos de objetos y atributos incluidos
- Confirmación de la supervisión de la sincronización entrante con alertas de anomalías
- Postura de seguridad de las cuentas de administrador del socio con acceso a la sincronización del directorio
- Documentación de la configuración de acceso entre inquilinos
A un proveedor que confirma que la integración de directorios está bien configurada se le debe preguntar concretamente qué ocurre con esa integración si se compromete su cuenta de administrador global. La configuración es correcta. La seguridad de la identidad que controla la configuración es la cuestión de gobernanza.
Cómo demostrarlo
- Registros de la evaluación de la seguridad del directorio del socio
- Documentación del alcance de la sincronización del directorio
- Registros de supervisión de la sincronización entrante
- Configuración del acceso entre inquilinos
Conclusión clave
La integración de directorios es una relación de confianza entre dos sistemas de identidad. Solo es tan segura como el sistema menos seguro de la sincronización. Los controles del directorio del cliente rigen lo que ocurre en el directorio del cliente: no rigen lo que el directorio del socio envía a él mediante la sincronización. Un compromiso del directorio del socio que crea cuentas propaga esas cuentas al directorio del cliente dentro del intervalo de sincronización. La integración estaba bien configurada. La confianza que otorgaba fue la vía de ataque. Evalúe la postura de seguridad del directorio del socio antes de establecer la integración. Supervise los eventos de sincronización entrantes. Limite el alcance de la sincronización al mínimo necesario. La relación de confianza tiene tantas consecuencias como cualquier otra concesión de acceso: trátela con una gobernanza equivalente.