Inicio ¬Ľ Zero Trust ¬Ľ Integraci√≥n Duo Security y Windows RDP

Integración Duo Security y Windows RDP

Integración Duo Security Windows Logon RDP

Una de las integraciones más comunes de Cisco Duo Security es con el Windows Logon bien sea local o vía RDP (Remote Desktop Protocol).

Duo Windows Logon for RDP ofrece una capa adicional de seguridad Zero Trust MFA al sistema Operativo Windows cuando el usuario intenta iniciar sesi√≥n en dispositivos Windows, bien sean PC’s o Servidores.

Es una de las m√°s usadas al inicio de proyectos de Zero Trust porque ofrece un marco inicial de seguridad sobre todas las aplicaciones que corre PC o servidor.

Adicionalmente, la solución Duo Security para el Windows Logon local o RDP permite usar la funcionalidad UAC (User Account Control) de Windows para dar una nueva autenticación y MFA a las acciones dentro del equipo, que requieran elevación de privilegios.

En este artículo explico el funcionamiento de esta integración y los pasos generales de como configurarla.

El Inicio de Sesión en Windows

Cada vez que queremos ingresar a un laptop, PC o servidor que corre el sistema operativo Windows, bien sea en su versi√≥n de escritorio o server, √©ste solicita credenciales de acceso (usuario y contrase√Īa)

Este usuario y contrase√Īa puede ser de un usuario definido localmente o de uno definido en el dominio en el cual se encuentra registrado el equipo.

Una vez validadas las credenciales, bien sea localmente en el equipo o a través del controlador del dominio, se permite el acceso al usuario.

Es importante recalcar que en este caso, Duo no interviene en la validaci√≥n del usuario y la contrase√Īa.. esto lo realiza el equipo de acuerdo al flujo de autenticaci√≥n de Windows.


Métodos de Conexión a un Equipo Windows

Existen varias formas de conectarse a un equipo Windows, las principales son:

Inicio de Sesión Local

Este inicio de sesión ocurre cuando estás físicamente frente al equipo, es decir tu teclado es físicamente o virtualmente el teclado del equipo.

Es conocido también como inicio de sesión a la consola del equipo.

En esta categoría podemos agrupar las siguientes condiciones de inicio de sesión:

  • Estar f√≠sicamente trabajando en el equipo con su teclado, monitor y rat√≥n.
  • Abrir una consola de una m√°quina virtual (VM) en su hipervisor.
  • Usando dispositivos o tarjetas especiales que dan consola del equipo.
  • Accesos v√≠a VNC

Escritorio Remoto o RDP

Esta conexión es 100% remota, es decir, no te encuentras físicamente al frente del equipo.

Para la comunicación se utiliza el protocolo RDP (Remote Desktop Protocol).

En esta condición abres la consola del equipo remoto en tu mismo equipo local corriendo el programa de conexión a escritorio remoto.

Es muy usado para administrar servidores Windows que se encuentran, por ejemplo en un Centro de Datos o en cualquier otra ubicación no accesible localmente.


Importancia de Integrar Duo Security al Windows Logon o RDP

A modo general, MFA da una capa adicional de seguridad solicitando un segundo factor de autenticación al usuario en Duo, garantizado en cierto modo que el usuario es quien dice ser.

Para Windows Server

Las actividades que se pueden realizar dentro de un Servidor Windows son de suma importancia para una organizaci√≥n. Estas acciones pueden ir desde un simple cambio de contrase√Īa a un usuario (que podr√≠a dar lugar a una peligrosa usurpaci√≥n de identidad hasta apagar el servidor, pasando por modificar inadecuadamente la configuraci√≥n dej√°ndolo fuera de operaci√≥n.

Por esta raz√≥n, existen cuentas de usuario privilegiadas que son las √ļnicas que pueden ejecutar estas acciones administrativas sobre el servidor.

Asegurar el acceso con MFA da un mayor nivel de garant√≠a de que solo las personas autorizadas podr√°n administrar al servidor as√≠ les hayan robado o adivinado su contrase√Īa.

Para Windows de Escritorio

En primer lugar dar MFA Duo a un PC o Laptop te protege en las siguientes condiciones:

  • Cuando roban el equipo, protegiendo los datos que se encuentra en el disco interno del mismo.
  • Da un marco inicial de protecci√≥n a todas las aplicaciones que el equipo posee al ser accedidas por su usuario verificado en el Windows logon.

Funcionamiento de la Integración Duo Security Windows Logon RDP

A continuación explico cómo funciona la integración Duo Authentication for Windows Logon RDP

diagrama de la integracion Duo Security Windows Logon RDP
Duo para RDP. Diagrama cortesía de Duo Security

Descripción de Pasos

  • 1.- El usuario intenta iniciar sesi√≥n local o remotamente ingresando sus credenciales de acceso.
  • 2.-El equipo valida las credenciales contra el Directorio Activo o localmente seg√ļn sea el caso. Si no son correctas, se niega el acceso
  • 3.- En caso de que las credenciales sean correctas, el agente de Duo Authentication for Windows logon que es en realidad un proveedor de credenciales configurado en el equipo se conecta v√≠a SSL con el servicio de Duo (en espec√≠fico con su API Host, usando su Integration Key y su Secret Key) y le pide que se sea enviada una solicitud de segundo factor al usuario.
  • 4.- El usuario recibe la notificaci√≥n y responde al segundo factor
  • 5.- Duo reconoce la respuesta del segundo factor, determina la validez de la misma y responde al equipo indicando si fue satisfactoria o no
  • 6.- El equipo responde bien sea aprobando o rechazando el ingreso seg√ļn lo recibido del servicio de Duo.

Experiencia del Usuario

A continuación imágenes que describen la experiencia del usuario al intentar ingresar a un equipo que tiene activa la integración de Duo Security Windows Logon RDP

ventana de conexión RDP
Ventana de Conexión RDP
Ingreso de credenciales para conexión Windows Logon RDP
Ingreso de Credenciales
Duo Prompt del Duo Security Windows Logon RDP
Duo Prompt del Windows Logon RDP
Duo mobile notificacion push Duo Security Windows Logon RDP
Notificacion Push en Duo Mobile

Mejores Prácticas en la Configuración de Duo Windows Logon RDP

En esta sección quiero detallarles con base a mi experiencia, mis mejores prácticas en términos de secuencia de configuración della integración de Duo Security Windows Logon RDP.

También te mostraré los aspectos más relevantes y críticos a considerar par que una implementación de Duo Security para Windows Logon y RDP exitosa.

Respaldos

Si existiera alguna configuración errónea durante la implementación, es posible que se pierda acceso al servidor, por ello recomiendo la ejecución de un respaldo previo o un instantánea o snapshot de la máquina virtual.

También es conveniente tener a la mano la clave BitLocker del equipo (de ser el caso que tenga disco cifrado con esta tecnología).

Hora del Servidor o PC

Como todo MFA, el tema hora es importante porque es una variable vital para la sincronización de los OTP, si la hora no están correctas en el equipo (vía NTP / Dominio Windows), no podrás ingresar al equipo una vez instalado el agente de Duo para Windows Logon y RDP.

Sesión Alterna

Siempre es bueno que a la hora de la instalación del agente, tengas otra sesión abierta en el servidor como respaldo en caso de que pierdas conexión en la sesión primaria de trabajo.

Así podrás ejecutar acciones correctivas que te permitan recuperar el acceso.

Acceso a Internet de Equipo.

El quipo que va a ser objeto de la instalación debe tener acceso de salida al puerto 443 y dominio duosecurity.com

Este acceso puede ser provisto por la infraestructura de seguridad (web proxy o firewall) en la cual se encuentra el equipo o a través de una funcionalidad del Duo Authentication Proxy que hace las veces de https proxy.

Es importante recalcar que este acceso es solo de salida (outbound) es decir bajo ninguna circunstancia el equipo debe poder ser accedido desde el exterior.

Usuarios Previamente Enrolados en Duo Security

Por la naturaleza del Windows Logon (no es una aplicación web y que puede darse la ocasión de ingreso estando fuera de línea), esta integración no cuenta con la facilidad de auto enrolamiento de usuarios.

Por esta razón, previo a la implementación, los usuarios deben existir en Duo y estar correctamente enrolados con al menos un dispositivo de segundo factor.

Coincidencia en Nombres Usuarios

Los usuarios que ingresan al equipo deben llamarse igual que los usuarios en Duo o alguno de sus alias para que Duo pueda identificarlos y enviarles el segundo factor.

Para saber el nombre del usuario puedes usar el siguiente comando en el cmd de windows: whoami

Política Transitoria

Al inicio de la implementación, como existe la posibilidad de que alguno de los usuarios que ingresa al equipo no exista o no esté enrolado en en Duo, es conveniente la activación de una política en Duo Security de carácter transitorio que permita el acceso a estos usuarios.

Esta política debe ser aplicada solo a nivel de esta aplicación y se encuentra en:

política temporal de nuevo usuario no existente en Duo
Política Temporal de Nuevo Usuario no existente en Duo

Luego de finalizada la revisión post-implementación (PIR) del cambio, esta política puede ser colocada en su valor recomendado que es el de Deny Access, de modo que todo usuario deba estar ya en Duo.

Dejar el Acceso Offline para el Final

Cuando se configura el acceso fuera de línea (offline) cuando el usuario se autentica satisfactoriamente en Duo Windows Logon RDP, se le solicita enrolar su dispositivos e acceso fuera de línea (yubikey o aplicación duo mobile).

Este paso puede ser confuso cuando el usuario reci√©n comienza a usar Duo, por lo que siempre sugiero activar esta opci√≥n luego que ya los usuarios usan duo de manera sistem√°tica y previa campa√Īa de divulgaci√≥n.

Instalación de Programa Duo Authentication for Windows Logon

Cuando ya tienes todo preparado, es hora de instalar el programa Duo Authentication for Windows Loogon.

A continuación los aspectos más importantes de este procedimiento:

Definición del API hostname

Este es el primer paso del instalador. acá se escribe el api-hostname que provee el Panel de Administración de Duo.

Error Com√ļn

Si no se puede avanzar de este paso por error de conexión, quiere decir que el equipo no tiene acceso de salida a duosecurity.com por el puerto 443

Suele pasar que el http proxy que se ve en la GUI de windows no es realmente el que tiene configurado el equipo. Para saber exactamente la dirección del http proxy que tiene configurado el equipo puedes ejecutar el comando en el cmd de windows:

netsh winhttp show proxy

Claves de Duo Security

La pantalla siguiente solicita a√Īadir las credenciales de acceso a Duo Security (Integration Key y Secret Key), en este punto solo hay que considerar que sean correctas a las definidas en el Panel de Administraci√≥n de Duo.

Opciones de Integración

Lo más importante de este punto es definir el modo de operación de Duo Security que tu implementación o políticas de seguridad exige.

Fail Close para el Modo Offline de Windows Logon RDP

Si planeas activar el modo Offline del Windows Logon RDP debes desactivar la opción Bypass Duo Authentication When Offline (Fail Open) para prevenir que inicien sesión usuarios no enrolados.

Esto equivale a activar el modo de operación failmode Duo Fail Closed

Cambios Post-Instalación

Si ya se instaló el agente de Duo Authentication for Windows Logon RDP pero por alguna razón se requiere hacer cambios en su configuración, éstos pueden hacerse a través de modificaciones en el Registro de Windows.

Acá les dejo el artículo oficial de Duo donde se documentan las claves y valores que se pueden modificar: reconfiguración del agente Duo Windows Logon


Beneficio Adicional UAC

En esta integración tienes la posibilidad de asegurar con MFA de Duo Security todas las acciones dentro del Windows que requieran elevación de privilegios y que soliciten usuario y password para ejecutarse.

Para lograr esto necesitas:

Activar el Soporte a UAC de Duo

Esto se realiza durante la instalación del agente Duo Authentication for Windows Logon RDP.

Configurar claves del registro relacionadas a UAC

Para que UAC de Windows solicite credenciales, se necesitan modificar las claves del registro de Windows tal como se indica en el siguiente artículo oficial de Duo


Funcionamiento Fuera de Línea

Uno de los aspectos más importantes es el funcionamiento del agente Duo Authentication for Windows Logon RDP es la posibilidad de permitir autenticaciones de 2FA en condicoones fuera de línea.

Esta condición offline o fuera de línea se presenta cuando el equipo bajo modo de operación Duo fail close:

  • No tiene conexi√≥n a internet
  • No alcanza a los servicios de Duo.

¬ŅPor qu√© es necesario contemplar el funcionamiento Offline?

Duo es un servicio SaaS, y para que pida segundo factor, el dispositivo o aplicación en cuestión debe alcanzar los servicios de Duo para pedir el envío de la solicitud de segundo factor al usuario.

Para el caso del Windows Logon, es muy probable que el equipo en cierto momentos no tenga acceso a internet o a los servicios de Duo, por lo que en condiciones normales, no podría completarse la autenticación (si el modo de operación de Duo es fail close).

De hecho, asumiendo que no hay conexi√≥n a internet ni a red m√≥vil, los mecanismos de 2FA que necesitan alg√ļn tipo de conexi√≥n como Notificaciones Push, llamadas telef√≥nicas y SMS no funcionar√≠an.

En estos casos, el equipo quedaría inhabilitado lo que sería una condición no deseable.

La Solución

En este caso la solución es activar un flujo de autenticación especial que detecte la condición offline del equipo.

Bajo esta condición se permite el uso de dispositivos de 2FA que también sean offline es decir:

Es así que para poder hacer uso de esta característica, es necesario que se enrole adicionalmente alguno de estos métodos MFA.

Solicitud de enrolamiento de dispositivo 2FA offline
Solicitud de enrolamiento de dispositivo 2FA offline

Solo después de enrolado uno de estos métodos, es que se podrá hacer uso de ellos cuando el equipo pase a estar en la condición offline o fuera de línea.

Restricciones Aplicables al Modo Offline

Por razones de seguridad, el modo offline o fuera de línea no puede ser usado de forma ilimitada, por ello Duo ofrece dos restricciones que puedes aplicar:

Restricción por Tiempo

Consiste en encender un contador de tiempo desde que el equipo inició sesión en modo offline por primera vez.

A partir de ese momento tu decides cuanto tiempo m√°s vas a permitir el acceso offline ininterrumpido.

Restricción por Uso

Es similar a la anterior solo que el contador no es de tiempo sino de veces en las cuales se han realizado inicios de sesión offline

Puedes entonces establecer un limite de veces en las cuales tu permites el acceso offline o fuera de línea.


El Reinicio de los Contadores

Un dato muy importante es que cualquiera de los contadores que uses (el de tiempo o el de sesiones iniciadas en modo offline) se reinician instantáneamente cuando el agente detecta el restablecimiento de la conexión.

Duo Prompt para el Windows Logon Offline
Duo Prompt para el Windows Logon Offline con Límite de uso

Preguntas Frecuentes

  1. ¬ŅSe puede desplegar o configurar el agente de Duo Authentication for Windows Logon RDP de forma autom√°tica o masiva?

    Si, puedes hacerlo a través de GPO del Directorio Activo. El procedimiento está descrito en el siguiente artículo: Duo Authentication for Windows Logon (RDP) РActive Directory Group Policy, s. f.

  2. ¬ŅPor qu√© es necesario instalar un agente para dar MFA Duo al Windows Logon RDP?

    El inicio de sesión de windows ocurre en un momento cuando no es posible iniciar servicios web como lo es el Duo Prompt estandar, así que es necesario recurrir a generar un Proveedor de Credenciales de Windows que pueda funcionar en este momento.


Conclusiones

Duo Security ofrece la mejor integración con el Windows Logon y RDP, sus características como el acceso Offline Inteligente, compatibilidad 100% con las versiones de Windows de Escritorio y las de Servidores lo hacen la opción más fácil de implementar.

De igual manera, al hablar del inicio de sesión en un equipo, es importante tomar todas las previsiones tal cual como las describo en este artículo.

Referencias

Procedimientos Oficiales de Duo

Duo Authentication for Windows Logon & RDP. (s. f.). Duo Security. Recuperado 20 de octubre de 2022, de https://duo.com/docs/rdp/

Duo Authentication Windows Logon RDP: FAQ. (s. f.). Duo Security. Recuperado 20 de octubre de 2022, de https://duo.com/docs/rdp-faq/

I

Principal Solutions Engineer en ICT International MSP
Especialista en Ciberseguridad ZeroTrust | Content Marketer | Experto SEO |

Deja un comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *