¿Qué es PasswordIQ?
PasswordIQ de KnowBe4, que está disponible para suscripciones Diamante, le permite supervisar las vulnerabilidades de las contraseñas de sus usuarios. El cliente PasswordIQ busca vulnerabilidades en la configuración relacionada con la contraseña de Active Directory (AD) y compara las contraseñas de sus usuarios con contraseñas vulneradas y débiles de varias listas y bases de datos. Luego, el cliente se comunica con KMSAT para mostrar los resultados del análisis en su tablero.
Para habilitar PasswordIQ, vaya a Account Integrations (Integraciones de cuenta) > PasswordIQ en su Configuración de la cuenta. Luego, seleccione la casilla de verificación Enable PasswordIQ (Habilitar PasswordIQ).
Consulte las secciones que aparecen a continuación para obtener información sobre cómo instalar el cliente, ejecutar análisis y ver los resultados.
Ir a:
Usar grupos inteligentes para usuarios detectados
Requisitos
Para instalar el cliente PasswordIQ, deberá cumplir con los requisitos que se enumeran a continuación:
- Tiene acceso a una computadora que cumple con los siguientes requisitos:
- El sistema operativo de la computadora es Windows 10 o posterior (32 bits o 64 bits), o Windows Server 2016 o posterior.
- La computadora usa .NET Framework versión 4.7.2 o posterior. Si la computadora usa una versión de .NET Framework que es al menos 4.5.1 pero anterior a 4.7.2, el asistente de configuración instalará la versión 4.7.2 por usted. Sin embargo, si la computadora usa una versión de .NET Framework anterior a la 4.5.1, el asistente de configuración no se abrirá.
- La computadora tiene al menos dos procesadores.
- La computadora tiene al menos 2 GB de RAM.
- La unidad del sistema de la computadora tiene al menos 1 GB de espacio disponible en la unidad de disco duro (hard disk drive, HDD).
- El Control de cuentas de usuario (User Account Control, UAC) está habilitado en la configuración de Control de cuentas de usuario de la computadora.
- Tiene acceso a un AD local que se ejecuta en Windows Server 2008 R2 o una versión posterior.
Nota: Si tiene varios dominios de AD, deberá instalar una instancia diferente del cliente para cada dominio. - Tiene acceso a un administrador de dominio de AD o una cuenta de AD que se puede elevar como administrador. Esta cuenta debe tener los permisos Replicar cambios de directorio y Replicar todos los cambios de directorio. Para obtener más información, consulte el artículo Permiso Replicar cambios de directorio de Microsoft.
- Debe ser administrador de KMSAT o tener una función de seguridad con acceso de lectura/escritura a PasswordIQ.
Vulnerabilidades
El cliente PasswordIQ analiza cada usuario en busca de 11 vulnerabilidades e informa las vulnerabilidades que encuentra a KMSAT.
Para obtener más información sobre estas vulnerabilidades, consulte la siguiente tabla:
| Vulnerabilidad | Descripción |
| Contraseña débil | La contraseña coincide con una contraseña de una de nuestras listas de contraseñas débiles, por lo que es común o fácil de adivinar. Es más probable que un ciberdelincuente adivine la contraseña y acceda a la cuenta del usuario. |
| Contraseña compartida | La contraseña coincide con al menos la contraseña de otro usuario en su AD. Es probable que la contraseña sea común o simple, por lo que es más probable que un ciberdelincuente acceda a la cuenta del usuario. |
| Contraseña no cifrada | La contraseña se almacena con cifrado reversible en su AD. La contraseña se puede descifrar, por lo que es más probable que un ciberdelincuente acceda a la cuenta del usuario. |
| Contraseña vacía | La contraseña no contiene ningún carácter, por lo que el usuario inicia sesión en la cuenta y deja el campo de contraseña en blanco. Cualquiera puede acceder a la cuenta del usuario, incluidos los ciberdelincuentes. |
| Cifrado solo DES | La cuenta utiliza el estándar de cifrado de datos (Data Encryption Standard, DES) para cifrar la contraseña del usuario. DES es un método de cifrado obsoleto porque cifra la contraseña con solo una clave de 56 bits, mientras que los métodos de cifrado más recientes utilizan claves más largas que son más seguras. Es más probable que un ciberdelincuente adivine la contraseña y acceda a la cuenta del usuario. |
| Contraseña vulnerada | La contraseña quedó expuesta en una violación de seguridad de datos que está conectada a su cuenta de AD. El usuario está utilizando activamente una contraseña a la que pueden acceder los ciberdelincuentes. |
| Contraseña no obligatoria | La cuenta no requiere que el usuario ingrese una contraseña cuando inicia sesión. Cualquiera puede iniciar sesión en la cuenta, incluidos los ciberdelincuentes. |
| La contraseña nunca caduca | La cuenta no requiere que el usuario cambie su contraseña después de un período determinado. El usuario puede usar la misma contraseña para siempre, lo que les da a los ciberdelincuentes más tiempo para adivinarla. |
| Contraseña hash de LM | La cuenta utiliza un hash de LAN Manager (LM). Un hash de LM convierte la contraseña a letras mayúsculas, limita la contraseña a 14 caracteres y divide los 14 caracteres en dos grupos de siete caracteres. Este proceso debilita la contraseña, por lo que es más probable que los ciberdelincuentes la descifren. |
| Claves AES faltantes | La cuenta no utiliza claves del estándar de cifrado avanzado (Advanced Encryption Standard, AES) para cifrar la contraseña del usuario. Las claves AES cifran las contraseñas con una clave de 128 o 256 bits, por lo que las contraseñas que usan claves AES son menos vulnerables a los ataques. |
| Autenticación previa faltante | La cuenta no requiere autenticación previa, por lo que es posible que no esté protegida contra ataques de adivinación de contraseñas. La autenticación previa cifra una marca de tiempo de la solicitud de inicio de sesión mediante una clave que se basa en la contraseña del usuario. Este proceso protege contra ataques de adivinación de contraseñas porque registra cada intento de iniciar sesión en la cuenta. |
Para saber cómo puede resolver estas vulnerabilidades, consulte la sección Resolver sus vulnerabilidades a continuación.
Copiar su token de API
Para conectar el cliente de PasswordIQ a su consola KMSAT, necesitará su token de API de producto.
Para crear y copiar su token API, siga estos pasos:
- Inicie sesión en su cuenta KMSAT.
- Haga clic en la dirección de correo electrónico en la esquina superior derecha de la página y seleccione Account Settings (Configuración de la cuenta).
- Vaya a Account Integrations (Integraciones de la cuenta) > API.
- En API de producto, haga clic en API Token (Token de API).
- Cree un token de API de producto para PasswordIQ. Para obtener más información, consulte nuestro artículo Cómo crear un token de API de producto.
- Junto al token de API que creó, haga clic en el ícono de papel. Necesitará este token para completar la configuración de la sección Instalar el cliente a continuación.
Instalar el cliente
Antes de instalar el cliente PasswordIQ, verifique que su computadora cumpla con los requisitos en la sección Requisitos anterior. Luego, copie su token de API siguiendo las instrucciones de la sección anterior Copiar su token de API.
Para instalar el cliente, siga estos pasos:
- Inicie sesión en su cuenta KMSAT.
- Vaya a la pestaña PasswordIQ.
- En el paso 2 de las instrucciones Bienvenido a PasswordIQ, haga clic en el vínculo PasswordIQ client (Cliente de PasswordIQ).
- Haga clic en el botón Yes (Sí) en la ventana emergente.
- Haga clic en el botón Next (Siguiente).
- Después de leer el Acuerdo de licencia de software, haga clic en el botón Accept (Aceptar) para aceptar los términos y condiciones.
- Si su computadora usa un servidor proxy para acceder a Internet, seleccione la casilla de verificación Use a Proxy Server (Usar un servidor proxy) y complete los campos. Para obtener más información, consulte la captura de pantalla y la lista a continuación. Si su computadora no usa un servidor proxy para acceder a Internet, omita este paso.
- Dirección IP o nombre: Introduzca la dirección IP o el nombre del servidor proxy. Puede encontrar esta información en la configuración del servidor proxy de su computadora, que se encuentra en Network & Internet (Red e Internet) > Proxy.
- Número de puerto: Introduzca el número de puerto del servidor proxy. Puede encontrar esta información en la configuración del servidor proxy de su computadora, que se encuentra en Network & Internet (Red e Internet) > Proxy.
- Haga clic en el botón Next (Siguiente).
- En el campo Application Programming Interface (API) Token (Token de la interfaz de programación de aplicaciones [API]), pegue el token de API que copió en la sección anterior Copiar su token de API.
- Haga clic en el botón Next (Siguiente).
- En los campos Username (Nombre de usuario) y Password (Contraseña), ingrese las credenciales de inicio de sesión de una cuenta de servicio de AD que cumpla con los permisos requeridos. El cliente utilizará esta cuenta de servicio para ejecutar todos los análisis programados.
Nota: Si a esta cuenta no se le asigna el permiso Iniciar sesión como servicio, el cliente asignará este permiso a la cuenta automáticamente.
- Haga clic en el botón Next (Siguiente) para completar la instalación.
Ejecutar análisis
Después de instalar el cliente PasswordIQ, puede comenzar a analizar su AD en busca de vulnerabilidades. Deberá ejecutar su primer análisis desde su cliente. Después de su primer análisis, puede ejecutar análisis y crear un programa de análisis desde su tablero. Para obtener más información, consulte la sección Ejecutar análisis de nuestro artículo Cómo utilizar su tablero de PasswordIQ.
Para ejecutar su primer análisis, siga estos pasos:
- Abra el cliente PasswordIQ.
- En la sección Quick Scan (Análisis rápido), haga clic en el botón Scan Now (Analizar ahora).
Botón
- Después de que el análisis se complete con éxito, haga clic en el botón View Dashboard (Ver tablero) para ver los resultados de su análisis en KMSAT.
Botón
Ver sus resultados
Debido a que solo puede ver resultados limitados del cliente PasswordIQ, le recomendamos que use su cuenta KMSAT para ver y analizar sus resultados. Para navegar a su tablero, vaya a la pestaña PasswordIQ de su consola KMSAT.
Para ver los resultados de su análisis, puede usar el tablero predeterminado o crear tableros personalizados. Para obtener más información, consulte nuestro artículo Cómo utilizar su tablero de PasswordIQ.
Usar grupos inteligentes para usuarios detectados
Puede usar grupos inteligentes para inscribir a los usuarios a los que se les detectaron vulnerabilidades en campañas de phishing (suplantación de identidad) o de capacitación. Por ejemplo, puede utilizar los criterios de Evento de PasswordIQ para inscribir a los usuarios con contraseñas débiles en el módulo de capacitación Crear contraseñas seguras: Capacitación en concientización sobre seguridad.
Para obtener más información sobre los grupos inteligentes, consulte el artículo Cómo usar grupos inteligentes.
Resolver sus vulnerabilidades
Después de ver sus resultados, puede trabajar con sus usuarios para resolver las vulnerabilidades de sus contraseñas. Para obtener más información, consulte nuestro artículo Cómo resolver las vulnerabilidades de sus contraseñas.
Comentarios
0 comentarios
El artículo está cerrado para comentarios.