LecturaDónde estamos: la defensa de Active Directory
Active Directory sigue siendo el objetivo favorito de casi cualquier intrusión en una red Windows: quien controla el directorio controla a todos los usuarios, equipos y servicios. En el curso de fundamentos aprendió a montar y administrar un dominio, y a leer sus eventos básicos. Aquí cambiamos de silla: dejamos de administrar para defender, asumiendo que un atacante ya puso un pie dentro y busca llegar a Domain Admins.
Qué asumimos que ya sabe
Este curso parte de lo que enseñaron sus prerrequisitos. Damos por sabido que usted puede:
- Explicar qué son un bosque, un dominio, un controlador de dominio y una OU.
- Crear usuarios y grupos con PowerShell y entender el mínimo privilegio.
- Reconocer los eventos 4624 (inicio de sesión), 4625 (fallo), 4768 (TGT), 4769 (ticket de servicio) y 4740 (bloqueo).
- Distinguir una fuerza bruta de un password spraying.
Si alguno de estos temas le resulta nuevo, haga primero Active Directory desde los fundamentos y Gestión de identidades y accesos (IAM).
Qué cambia en este nivel
En fundamentos miró el dominio como administrador: cómo funciona y cómo configurarlo. Aquí lo mira como atacante y como defensor a la vez, porque no se puede defender lo que no se entiende atacado. La diferencia práctica es esta:
| En fundamentos | En este curso |
|---|---|
| Kerberos explicado con analogías | Kerberos a fondo: TGT, TGS, SPN, PAC y delegación |
| "Existe el kerberoasting" | Cómo funciona, qué eventos lo delatan y cómo se frena |
| Cuentas privilegiadas y niveles, como idea | Diseño completo de tier 0, 1 y 2 con controles concretos |
| Leer eventos sueltos | Canalizar eventos al SIEM y auditar caminos de ataque |
El enfoque es siempre defensivo. Los ataques se presentan a nivel concepto, nunca como una receta ejecutable contra un dominio ajeno. Lo que usted se lleva de cada uno es su huella y su mitigación.
El mapa del tema
Piense en la defensa de AD como cuatro capas que se apoyan una en otra:
- Entender el protocolo: Kerberos y la delegación. Casi todos los ataques modernos a AD abusan de cómo funciona Kerberos, no de un error de programación. Si entiende el protocolo, entiende el ataque.
- Conocer al adversario: las técnicas clásicas (kerberoasting, roasting, pass-the-hash y ticket, DCSync, abuso de ACLs) y, sobre todo, las huellas que dejan en los registros.
- Reducir la superficie: el modelo de niveles y los controles de identidad (LAPS, gMSA, Protected Users, Authentication Policies, GPO). Muchos ataques simplemente dejan de ser posibles cuando el dominio está bien segmentado.
- Vigilar sin descanso: detección continua con eventos hacia el SIEM y auditorías periódicas con PingCastle y BloodHound.
Por qué importa en el trabajo
Un analista de SOC que entiende Kerberos distingue en segundos un 4769 legítimo de uno sospechoso, en lugar de ahogarse en falsos positivos. Un administrador que diseña bien el tiering evita que el robo de una laptop termine en el control del dominio. Y cualquiera que audita con PingCastle convierte un informe lleno de hallazgos en un plan de mejora priorizado. Estas son habilidades que se piden a diario en equipos azules y en respuesta a incidentes.
Conceptos clave que usaremos
| Concepto | Qué significa |
|---|---|
| TGT | Ticket que concede tickets, el que recibe al autenticarse |
| TGS | Ticket de servicio, para acceder a un recurso concreto |
| SPN | Nombre principal de servicio: identifica un servicio para Kerberos |
| PAC | Datos de privilegios (SID de grupos) firmados dentro del ticket |
| Tier 0 | Activos que controlan la identidad del dominio |
| SIEM | Plataforma que centraliza y correlaciona registros de seguridad |