La protección de la Autoridad de Seguridad Local (LSA) es esencial para garantizar la seguridad de las credenciales en sistemas Windows. En este artículo, exploraremos cómo configurar una protección adicional para el proceso LSA en Windows 8.1, lo que evita la inyección de código que podría comprometer las credenciales.
El Rol de la Autoridad de Seguridad Local (LSA)
La LSA, que incluye el Proceso de Servicio del Servidor de Autoridad de Seguridad Local (LSASS), se encarga de validar a los usuarios para inicios de sesión locales y remotos, así como de hacer cumplir las políticas de seguridad locales. En el sistema operativo Windows 8.1, se proporciona una capa adicional de protección para el LSA, lo que evita la lectura de memoria y la inyección de código por procesos no protegidos. Esto fortalece la seguridad de las credenciales que la LSA almacena y gestiona.
Requisitos para Procesos Protegidos
Para que un complemento (plug-in) o controlador (driver) de LSA se cargue exitosamente como un proceso protegido, debe cumplir con los siguientes criterios:
Verificación de Firma
El modo protegido exige que cualquier complemento cargado en el LSA esté firmado digitalmente con una firma de Microsoft. Esto significa que cualquier complemento sin firma o sin firma de Microsoft no se cargará en el LSA. Ejemplos de estos complementos son controladores de tarjetas inteligentes, complementos criptográficos y filtros de contraseñas.
Cumplimiento del Ciclo de Desarrollo de Seguridad de Microsoft
Todos los complementos deben cumplir con las directrices del Ciclo de Desarrollo de Seguridad de Microsoft (SDL). Incluso si están firmados correctamente, el incumplimiento de estas directrices puede resultar en la incapacidad de cargar un complemento.
Prácticas Recomendadas
Asegúrate de seguir estas mejores prácticas antes de implementar ampliamente la protección de LSA:
-
Identifica todos los complementos y controladores de LSA en uso en tu organización, incluyendo aquellos que no son de Microsoft, como controladores de tarjetas inteligentes y complementos criptográficos.
-
Asegúrate de que todos los complementos estén firmados digitalmente con un certificado de Microsoft para evitar problemas de carga.
-
Realiza pruebas exhaustivas para garantizar que los complementos firmados correctamente se carguen y funcionen según lo esperado.
Cómo Identificar Problemas de Carga de Complementos
Para identificar problemas de carga de complementos, puedes utilizar registros de eventos ubicados en la sección Operativa bajo Aplicaciones y Servicios > Registros de Windows > CodeIntegrity. Utiliza la herramienta de línea de comandos wevtutil para gestionar estos eventos.
Identificación de Complementos y Controladores que Fallan
En el modo de auditoría, el sistema generará registros de eventos para identificar los complementos y controladores que fallarán al cargarse en el modo de protección de LSA. Asegúrate de seguir los pasos descritos en el artículo para habilitar la auditoría.
Configuración de la Protección Adicional de LSA
La configuración de la protección adicional de LSA en dispositivos con Windows 8.1 es posible siguiendo los procedimientos detallados en este artículo. Ten en cuenta que en dispositivos con Windows RT 8.1, la protección de LSA está siempre habilitada y no puede desactivarse.
Habilitación de la Protección de LSA
Para habilitar la protección de LSA en un solo equipo, sigue estos pasos:
-
Abre el Editor del Registro (RegEdit.exe) y navega hasta la clave de registro ubicada en HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa.
-
Establece el valor de la clave del registro en "RunAsPPL"=dword:00000001.
-
Reinicia el equipo.
Habilitación de la Protección de LSA Mediante Directiva de Grupo
Si deseas habilitar la protección de LSA a través de Directiva de Grupo, sigue estos pasos:
-
Abre la Consola de Administración de Directivas de Grupo (GPMC).
-
Crea un nuevo Objeto de Directiva de Grupo (GPO) vinculado a nivel de dominio o a la unidad organizativa que contiene tus cuentas de equipo.
-
Edita el GPO y sigue las instrucciones detalladas en el artículo.
Deshabilitación de la Protección de LSA
Si necesitas deshabilitar la protección de LSA, sigue estos pasos:
-
Abre el Editor del Registro y navega hasta la clave de registro ubicada en HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa.
-
Elimina el valor "RunAsPPL"=dword:00000001 de la clave del registro.
Verificación de la Protección de LSA
Para verificar si la protección de LSA está habilitada, busca el evento WinInit en el registro del sistema bajo Registros de Windows. El evento debería indicar que "LSASS.exe se inició como un proceso protegido con nivel: 4."
Recursos Adicionales
Para obtener más información sobre la protección y gestión de credenciales, consulta el servicio de firma de archivos para LSA.
Este artículo proporciona información esencial sobre cómo configurar y administrar la protección adicional de LSA en Windows 8.1 y Windows Server 2012 R2. Implementar estas prácticas contribuirá a fortalecer la seguridad de tus sistemas y proteger las credenciales de manera efectiva.