Restringir Privilegios de Administrador a Cuentas de Administrador Dedicadas
Descripción
Restringir los privilegios de administrador a cuentas de administrador dedicadas en activos empresariales. Realizar actividades informáticas generales, como navegación por internet, correo electrónico y uso de suite de productividad, desde la cuenta principal no privilegiada del usuario.
Lista de Verificación de Implementación
Herramientas Recomendadas
Plataforma de gestión de acceso privilegiado para asegurar, gestionar y auditar credenciales y sesiones privilegiadas
CyberArk · Suscripción por usuario
Gestión de acceso privilegiado con gestión de privilegios de endpoint, acceso remoto seguro y bóveda de contraseñas
BeyondTrust · Suscripción por usuario
Gestión de acceso privilegiado con bóveda de contraseñas, grabación de sesiones y elevación de privilegios justo a tiempo
Delinea · Suscripción por usuario
Amenazas y Vulnerabilidades (CIS RAM)
Escenarios de Amenazas
Cuenta de Administrador Comprometida por Phishing con Toma de Control Total del Dominio
ConfidencialidadUn administrador que usa su cuenta privilegiada para el correo electrónico diario y la navegación web es víctima de phishing, y las credenciales comprometidas otorgan al atacante acceso inmediato de administrador de dominio.
Descarga Drive-By Ejecutándose con Privilegios de Administrador
IntegridadUn usuario que navega por la web con una cuenta que tiene privilegios administrativos encuentra un exploit de descarga drive-by que ejecuta malware con derechos completos de administrador en el sistema.
Robo de Credenciales mediante Sesión de Navegador de Cuenta Administrativa
ConfidencialidadLos atacantes roban credenciales almacenadas en caché del navegador de una sesión ejecutándose bajo una cuenta administrativa, obteniendo tokens o contraseñas guardadas que otorgan acceso elevado en toda la empresa.
Vulnerabilidades (Cuando la Salvaguarda está Ausente)
Privilegios Administrativos Usados para Actividades Diarias
Los administradores que usan sus cuentas privilegiadas para correo electrónico, navegación y trabajo general exponen sus credenciales elevadas a ataques de phishing, malware y robo de credenciales.
Sin Separación entre Cuentas de Administrador y de Usuario Estándar
Sin cuentas de administrador dedicadas separadas de las cuentas de uso diario, el compromiso de la sesión de cualquier usuario administrador otorga inmediatamente al atacante acceso administrativo completo.
Requisitos de Evidencia
| Tipo | Elemento de Evidencia | Frecuencia de Recolección |
|---|---|---|
| Técnico | Capturas de pantalla o exportaciones de configuración que muestren los controles de protección habilitados | Capturado trimestralmente |
| Documento | Documentación de procedimientos para medidas de protección | Revisado anualmente |
| Documento | Documento de política vigente (actual, aprobado, comunicado) | Revisado anualmente |