Bienvenida al curso

Bienvenido a Defensa de Active Directory: Kerberos, tiering y detección. Si ya montó un dominio y conoce bosques, OU, GPO y los eventos básicos, este curso le enseña a pensar como el defensor que protege ese dominio de los ataques que de verdad lo comprometen. No aprenderá a atacar: aprenderá a entender los ataques lo suficiente para detectarlos temprano y cerrarles el paso.

Qué va a lograr

• Explicar el funcionamiento interno de Kerberos (TGT, TGS, SPN y el PAC) y los tres tipos de delegación, y por qué le importan al defensor.
• Reconocer a nivel concepto los ataques clásicos a AD (kerberoasting, AS-REP roasting, pass-the-hash, pass-the-ticket, DCSync y abuso de ACLs) por las huellas que dejan.
• Identificar un ataque a partir de sus Event IDs y priorizar la respuesta.
• Diseñar un modelo de niveles (tier 0, 1 y 2) y proteger las cuentas privilegiadas con LAPS, gMSA, Protected Users y Authentication Policies.
• Montar una detección continua: eventos clave hacia el SIEM y auditorías autorizadas con PingCastle y BloodHound.

Para quién es y qué necesita

Es para analistas de SOC, administradores de sistemas y personas de seguridad que ya administran o defienden un dominio Windows. Conviene haber hecho Active Directory desde los fundamentos y Gestión de identidades y accesos (IAM): damos por sabidos bosque, dominio, OU, GPO, Kerberos básico y los eventos 4624, 4625, 4768, 4769 y 4740.

Para practicar necesita un dominio de laboratorio propio: un controlador de dominio con Windows Server de evaluación, el dominio ficticio cafetal.example, una red aislada y una estación de trabajo unida al dominio. Todo lo que haremos son consultas de solo lectura y configuraciones defensivas.

Cómo está organizado

Módulo	Qué aprende	Laboratorio
1. Kerberos a fondo	TGT, TGS, SPN, PAC y los tres tipos de delegación	Leer un flujo de autenticación y señalar el riesgo
2. Ataques a AD vistos por el defensor	Kerberoasting, AS-REP roasting, pass-the-hash y ticket, DCSync y abuso de ACLs, con sus huellas	Identificar el ataque por sus Event IDs
3. Modelo de niveles y hardening	Tier 0, 1 y 2, cuentas privilegiadas, LAPS, gMSA, Protected Users, Authentication Policies y GPO	Diseñar el tiering y tres controles
4. Detección y auditoría continua	Eventos clave, canalización al SIEM, PingCastle y BloodHound, higiene continua	Auditar un dominio de ejemplo y priorizar hallazgos
Evaluación	6 preguntas sobre todo el curso	Aprueba con 70 %

Cómo aprovecharlo

• Lecciones: cada ataque se explica a nivel concepto y luego por sus huellas. No busque pasos de explotación; busque qué evento lo delata y qué control lo frena.
• Preguntas rápidas: casi cada lección cierra con un QuickCheck de repaso.
• Laboratorios: trabaja siempre sobre su propio dominio cafetal.example con consultas de solo lectura; cada uno termina con una misión que usted mismo puede comprobar.
• Evaluación final: seis preguntas; aprueba con 70 %. Al aprobarla recibe el certificado y la insignia.

Practique escribiendo las consultas, no copiándolas: entender cada filtro es lo que después le permite reconocer la anomalía en un caso real.

Tiempo estimado

El curso completo toma unas cuatro horas, con tres laboratorios de unos veinte minutos cada uno. Le sugerimos una lección por día y reservar una sesión seguida para cada laboratorio.