\u23f1 9 min de lectura<\/p>\n
Un Active Directory comprometido significa, en la mayor\u00eda de los casos: da\u00f1o total. Los atacantes se mueven lateralmente por la red, escalan privilegios y cifran toda la infraestructura en cuesti\u00f3n de horas. Aun as\u00ed, en muchas empresas el AD sigue funcionando con configuraciones de la \u00e9poca de Windows Server 2008. La raz\u00f3n: nadie se atreve a tocar servicios de directorio productivos. Pero precisamente esta indecisi\u00f3n hace que las organizaciones sean vulnerables.<\/strong><\/p>\n Seg\u00fan el Microsoft Digital Defense Report 2024, la autenticaci\u00f3n multifactor (MFA) bloquea el 99,9 por ciento de todos los ataques automatizados contra identidades. La mitad de todos los incidentes de ransomware comienzan con una identidad de AD comprometida. Cinco medidas concretas reducen inmediatamente la superficie de ataque y pueden implementarse sin proyectos de meses de duraci\u00f3n.<\/p>\n \ud83d\udd12 Kerberoasting y ataques con Golden Ticket afectan al 90 por ciento de los entornos AD con configuraciones predeterminadas<\/p>\n \ud83d\udee1 La administraci\u00f3n por niveles (Tiered Administration) separa cuentas administrativas seg\u00fan su criticidad y detiene el movimiento lateral<\/p>\n \u2699 La rotaci\u00f3n de la contrase\u00f1a de KRBTGT y la imposici\u00f3n de AES eliminan dos de las clases de ataque m\u00e1s peligrosas<\/p>\n \ud83d\udcca Las estaciones de acceso privilegiado (PAW) cuestan menos que un solo incidente de ransomware<\/p>\n \ud83c\udfaf Datos de Semperis: el 68 por ciento de las empresas no dispone de copias de seguridad espec\u00edficas para AD<\/p>\n<\/div>\n Active Directory gestiona identidades, derechos de acceso y directivas de grupo en m\u00e1s del 90 por ciento de todos los entornos empresariales a nivel mundial. Quien controle el AD, controla la red. Esto lo saben bien grupos atacantes como BlackCat, LockBit y Cl0p, que explotan deliberadamente vulnerabilidades en la autenticaci\u00f3n Kerberos, configuraciones LDAP y cuentas con privilegios.<\/p>\n El problema: muchas instalaciones de AD provienen de una \u00e9poca en la que la seguridad quedaba por detr\u00e1s de la funcionalidad. Las cuentas de servicio funcionan con derechos de administrador de dominio, la contrase\u00f1a de KRBTGT no se ha cambiado desde la instalaci\u00f3n inicial y el monitoreo se limita a comprobaciones ocasionales de los registros de eventos. Esta deuda t\u00e9cnica convierte a cada uno de estos entornos en una invitaci\u00f3n abierta para los operadores de ransomware.<\/p>\n El modelo de administraci\u00f3n por niveles (Tiered Administration) de Microsoft divide el entorno AD en tres zonas de seguridad: Nivel 0 (controladores de dominio e infraestructura AD), Nivel 1 (servidores y aplicaciones) y Nivel 2 (dispositivos finales y usuarios). Una cuenta de administrador del Nivel 2 nunca debe poder iniciar sesi\u00f3n en un sistema del Nivel 0. Suena sencillo, pero en la pr\u00e1ctica rara vez se aplica.<\/p>\n La implementaci\u00f3n comienza con un inventario: \u00bfqu\u00e9 cuentas tienen derechos de administrador de dominio y los necesitan realmente? En la mayor\u00eda de los entornos, el n\u00famero de cuentas con privilegios es de tres a cinco veces superior al m\u00ednimo necesario. Cada cuenta privilegiada innecesaria es un punto de entrada potencial.<\/p>\n Inmediatamente aplicable:<\/strong> Cree cuentas de administrador dedicadas por nivel. Bloquee los inicios de sesi\u00f3n entre niveles mediante directiva de grupo (User Rights Assignment). Desactive la cuenta de administrador integrada (Built-in Administrator) y sustit\u00fayala por cuentas nombradas con una trazabilidad de auditor\u00eda clara.<\/p>\n Kerberoasting es una de las t\u00e9cnicas de ataque m\u00e1s efectivas contra Active Directory. Los atacantes solicitan con una cuenta de usuario normal tickets de servicio para nombres principales de servicio (SPNs) y descifran los tickets cifrados con RC4 fuera de l\u00ednea mediante fuerza bruta. Como este ataque no genera ni un solo evento sospechoso en el registro de seguridad, en la mayor\u00eda de los entornos pasa desapercibido.<\/p>\n La contramedida es clara: imponga el cifrado AES-256 para todos los tickets Kerberos y desactive RC4. Los tickets cifrados con AES no pueden descifrarse en un tiempo razonable con el hardware actual. Al mismo tiempo, todas las cuentas de servicio deben tener contrase\u00f1as de al menos 25 caracteres. A\u00fan mejor: cuentas de servicio administradas por grupo (gMSA), que rotan autom\u00e1ticamente contrase\u00f1as de 120 caracteres.<\/p>\n \u201eActive Directory es la columna vertebral de la TI empresarial. Si cae, todo cae. Nueve de cada diez ataques de ransomware comprometen Active Directory como vector de ataque central.\u201c<\/p>\n Semperis Identity Security Research, 2024<\/cite>\n<\/p>\n<\/blockquote>\n Contrapunto:<\/strong> algunos equipos de TI evitan imponer AES por temor a problemas de compatibilidad con aplicaciones antiguas. Esta preocupaci\u00f3n es leg\u00edtima, pero resoluble. Pruebe primero el cambio en modo auditor\u00eda: active el registro de Kerberos (ID de evento 4769) e identifique los sistemas que a\u00fan solicitan RC4. Por lo general, son menos de los esperados.<\/p>\n La cuenta KRBTGT firma cada ticket Kerberos en todo el dominio. Quien conozca la contrase\u00f1a de KRBTGT puede crear Golden Tickets y autenticarse ilimitadamente como cualquier usuario. Este ataque sobrevive a los restablecimientos de contrase\u00f1a de cuentas individuales e incluso a reinstalaciones de servidores. Solo una doble rotaci\u00f3n de la contrase\u00f1a de KRBTGT cierra esta puerta trasera.<\/p>\n Microsoft recomienda una rotaci\u00f3n peri\u00f3dica, pero en la pr\u00e1ctica muchas empresas nunca cambian la contrase\u00f1a de KRBTGT. La doble rotaci\u00f3n es necesaria porque Active Directory almacena dos versiones de la contrase\u00f1a: la actual y la anterior. Solo cuando ambas versiones se han reemplazado por nuevas, los hashes robados pierden validez.<\/p>\n Inmediatamente aplicable:<\/strong> Cambie la contrase\u00f1a de KRBTGT dos veces con al menos 12 horas de diferencia (duraci\u00f3n m\u00e1xima del ticket). Planifique esta rotaci\u00f3n trimestralmente. En cada baja de un empleado con acceso al Nivel 0: rotaci\u00f3n inmediata y extraordinaria.<\/p>\n \u201eSi no sabe cu\u00e1ndo se cambi\u00f3 por \u00faltima vez su contrase\u00f1a de KRBTGT, asuma que un atacante la conoce.\u201c<\/p>\n Microsoft Compromise Recovery Security Practice (CRSP)<\/p>\n<\/div>\n Las estaciones de acceso privilegiado (PAW) son dispositivos dedicados que se utilizan exclusivamente para tareas administrativas en sistemas del Nivel 0 y Nivel 1. Sin cliente de correo, sin navegador, sin suite de Office. La idea es que, si un administrador realiza su trabajo diario y sus tareas privilegiadas en el mismo equipo, un solo clic en un enlace de phishing basta para que se roben sus credenciales de administrador de dominio.<\/p>\n El costo de una PAW oscila entre 1.500 y 3.000 euros por puesto, seg\u00fan la configuraci\u00f3n. Suena mucho, pero se relativiza r\u00e1pidamente: seg\u00fan un estudio de Sophos de 2024, el costo medio de recuperaci\u00f3n de un incidente de ransomware es de 2,73 millones de d\u00f3lares estadounidenses. Un pu\u00f1ado de estaciones endurecidas es, en comparaci\u00f3n, una diferencia insignificante.<\/p>\n Inmediatamente aplicable:<\/strong> Comience con una \u00fanica PAW para el administrador de dominio m\u00e1s importante. Config\u00farela como una m\u00e1quina con Windows 11 con Credential Guard, Device Guard y AppLocker. Permita solo conexiones RDP a los controladores de dominio. Sin conectividad a Internet, sin acceso USB.<\/p>\n Una copia de seguridad regular de servidor salva archivos y bases de datos, pero no un Active Directory funcional. La base de datos de AD (NTDS.dit), SYSVOL, el registro del sistema y la configuraci\u00f3n de arranque deben guardarse de forma coherente y conjunta. Una NTDS.dit sin el estado SYSVOL correspondiente es in\u00fatil para una restauraci\u00f3n.<\/p>\n Semperis, un especialista en seguridad de AD, informa en su Identity Security Study que el 68 por ciento de las empresas encuestadas no tiene un plan de recuperaci\u00f3n espec\u00edfico para AD. Estas organizaciones necesitar\u00edan d\u00edas o semanas para restaurar su infraestructura de identidad tras una ca\u00edda total del AD. Durante ese tiempo, toda la empresa estar\u00eda paralizada.<\/p>\n Inmediatamente aplicable:<\/strong> Implemente Windows Server Backup con estado del sistema en al menos dos controladores de dominio. Almacene las copias de seguridad fuera de l\u00ednea y fuera del dominio. Pruebe la restauraci\u00f3n trimestralmente en un entorno de prueba aislado. Documente el proceso de recuperaci\u00f3n de forma que incluso un proveedor externo pueda ejecutarlo.<\/p>\n El endurecimiento sin monitorizaci\u00f3n es como una cerradura sin alarma. Incluso con las cinco medidas implementadas, las empresas deben supervisar continuamente las actividades sospechosas en AD. Tres ID de evento merecen especial atenci\u00f3n: 4769 (solicitudes de ticket de servicio Kerberos, indicador de Kerberoasting), 4672 (asignaci\u00f3n de privilegios especiales, detecta el uso de Golden Ticket) y 4728\/4756 (cambios en grupos con privilegios).<\/p>\n Herramientas como BloodHound<\/a> visualizan rutas de ataque en AD y descubren cadenas de permisos inesperadas. Un an\u00e1lisis semanal con BloodHound muestra si han surgido nuevas rutas de riesgo. Complementado con un SIEM que tenga reglas de detecci\u00f3n espec\u00edficas para AD, se crea un sistema de alerta temprana que detecta ataques antes de que causen una paralizaci\u00f3n total.<\/p>\n \u2705 Semana 1:<\/strong> Inventario de cuentas con privilegios, retirar derechos innecesarios de administrador de dominio<\/p>\n \u2705 Semana 2:<\/strong> Activar imposici\u00f3n de AES, rotar doblemente la contrase\u00f1a de KRBTGT<\/p>\n \u2705 Semana 3:<\/strong> Configurar la primera PAW, aplicar administraci\u00f3n por niveles mediante GPO<\/p>\n \u2705 Semana 4:<\/strong> Configurar copia de seguridad de AD con estado del sistema, probar la recuperaci\u00f3n, activar reglas de monitorizaci\u00f3n<\/p>\n Endurecer Active Directory no es un proyecto \u00fanico con informe final y visto bueno. Es un estado operativo continuo que requiere rotaciones regulares de KRBTGT, monitorizaci\u00f3n constante y limpieza permanente de cuentas con privilegios. Las cinco medidas inmediatas de este art\u00edculo reducen dr\u00e1sticamente la superficie de ataque en 30 d\u00edas. La seguridad perfecta no existe, pero cada medida implementada aumenta exponencialmente el costo para los atacantes.<\/p>\n Quien empiece ahora con la protecci\u00f3n del Nivel 0 lleva una ventaja decisiva a la mayor\u00eda de las empresas. El mejor momento fue hace cinco a\u00f1os. El segundo mejor es hoy.<\/p>\n Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n Porque estabilidad no equivale a seguridad. El 78 por ciento de todos los ataques de ransomware utilizan Active Directory como punto de entrada. Muchos entornos AD han acumulado a lo largo de los a\u00f1os configuraciones que en 2015 eran aceptables, pero en 2026 representan una puerta abierta: cifrado RC4, contrase\u00f1as de KRBTGT sin rotar, falta de separaci\u00f3n por niveles.<\/p>\n<\/details>\n S\u00ed, si procedemos paso a paso. La administraci\u00f3n por niveles y las PAW pueden implementarse durante la operaci\u00f3n normal. La imposici\u00f3n de AES y la rotaci\u00f3n de KRBTGT requieren planificaci\u00f3n, pero pueden realizarse durante el horario laboral. Solo la prueba de copia de seguridad de AD es cr\u00edtica, ya que requiere un failover controlado. Planifique una ventana de mantenimiento para ello.<\/p>\n<\/details>\n Como base, s\u00ed, pero tiene puntos ciegos en variantes de Kerberoasting y Pass-the-Hash. Para empresas con m\u00e1s de 500 objetos AD, los expertos recomiendan una combinaci\u00f3n: Defender for Identity como base, m\u00e1s una herramienta especializada de monitorizaci\u00f3n de AD como Semperis Directory Services Protector o CrowdStrike Falcon Identity Protection.<\/p>\n<\/details>\n Los costos puros de herramientas son manejables: las herramientas internas de Microsoft cubren el 60 por ciento. Espere entre 2 y 4 semanas de trabajo de un especialista en AD (interno o externo, entre 8.000 y 15.000 euros). Adem\u00e1s, se necesitan entre 2 y 4 horas semanales de forma continua para monitorizaci\u00f3n y mantenimiento. La alternativa: un incidente medio de ransomware cuesta, seg\u00fan IBM, 4,9 millones de d\u00f3lares estadounidenses.<\/p>\n<\/details>\n No. Priorice seg\u00fan el riesgo: primero la rotaci\u00f3n de KRBTGT y la imposici\u00f3n de AES (1-2 d\u00edas de trabajo, mayor efecto inmediato). Segundo, la administraci\u00f3n por niveles (1-2 semanas). Tercero, PAW y recuperaci\u00f3n de copias de seguridad de AD (2-4 semanas). La lista de verificaci\u00f3n de 30 d\u00edas del art\u00edculo proporciona el plan concreto.<\/p>\n<\/details>\n Fuente imagen: Pexels \/ Brett Sayles<\/p>\n","protected":false},"excerpt":{"rendered":"\u23f1 9 min de lectura Un Active Directory comprometido significa, en la mayor\u00eda de los casos: da\u00f1o total. Los atacantes se mueven lateralmente por la red, escalan privilegios y cifran toda la infraestructura en cuesti\u00f3n de horas. Aun as\u00ed, en muchas empresas el AD sigue funcionando con configuraciones de la \u00e9poca de Windows Server 2008. […]","protected":false},"author":50,"featured_media":5350,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"active directory","_yoast_wpseo_title":"Endurecer Active Directory: 5 medidas inmediatas contra ataques de identidad","_yoast_wpseo_metadesc":"Endurecer Active Directory: 5 pasos clave para prevenir ataques de identidad y proteger tu red. Implementa medidas ahora y reduce riesgos. Aprende c\u00f3mo.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":["post_id-5351"],"footnotes":""},"categories":[257],"tags":[],"class_list":["post-7041","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-es"],"evm_reading_time_minutes":12,"wpml_language":"es","wpml_translation_of":5351,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/7041","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=7041"}],"version-history":[{"count":4,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/7041\/revisions"}],"predecessor-version":[{"id":19313,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/7041\/revisions\/19313"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/5350"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=7041"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=7041"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=7041"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}En resumen<\/h2>\n
Por qu\u00e9 Active Directory sigue siendo el objetivo principal de ataque<\/h2>\n
Medida 1: Implementar la administraci\u00f3n por niveles (Tiered Administration)<\/h2>\n
Medida 2: Detener Kerberoasting mediante la imposici\u00f3n de AES<\/h2>\n
\n
Medida 3: Rotar la contrase\u00f1a de KRBTGT<\/h2>\n
Medida 4: Configurar estaciones de acceso privilegiado (PAW)<\/h2>\n
Medida 5: Establecer copias de seguridad y recuperaci\u00f3n espec\u00edficas para AD<\/h2>\n
Monitorizaci\u00f3n: La sexta medida que lo une todo<\/h2>\n
Lista de verificaci\u00f3n: Endurecimiento de AD en 30 d\u00edas<\/h2>\n
Conclusi\u00f3n: El endurecimiento no es un proyecto, sino un estado operativo<\/h2>\n
Preguntas frecuentes<\/h2>\n
Nuestro AD lleva 10 a\u00f1os funcionando estable. \u00bfPor qu\u00e9 deber\u00edamos endurecerlo ahora?<\/strong><\/summary>\n
\u00bfPodemos endurecer AD sin tiempos de inactividad?<\/strong><\/summary>\n
\u00bfBasta Microsoft Defender for Identity como monitorizaci\u00f3n de AD?<\/strong><\/summary>\n
\u00bfCu\u00e1nto cuesta el endurecimiento de AD para una empresa con 1.000 usuarios?<\/strong><\/summary>\n
\u00bfDebemos implementar las 5 medidas simult\u00e1neamente?<\/strong><\/summary>\n
Art\u00edculos relacionados<\/h2>\n
\n