Bienvenida al curso · Active Directory desde los fundamentos

Lunes, 6:02 a. m., en el controlador de dominio de una empresa ficticia. Nadie ha llegado y el registro de seguridad muestra esto:

TimeCreated          Id    TargetUserName  IpAddress
-----------          --    --------------  ---------
21/10/2026 06:02:11  4625  mfallas         192.0.2.77
21/10/2026 06:02:11  4625  jrojas          192.0.2.77
21/10/2026 06:02:12  4625  recepcion       192.0.2.77
21/10/2026 06:02:12  4625  contabilidad    192.0.2.77

Un intento fallido por cuenta, desde el mismo equipo, un segundo entre uno y otro: password spraying. Una sola contraseña probable, del estilo Octubre2026, probada una vez contra cada cuenta para no disparar el bloqueo. Si después aparece un 4624 desde esa IP, el atacante ya tiene un usuario válido.

Bienvenido a Active Directory desde los fundamentos. Active Directory decide quién inicia sesión y con qué permisos en casi cualquier red corporativa con Windows: es lo primero que busca un atacante y lo primero que un defensor debe saber leer.

Qué va a lograr

Explicar qué son un bosque, un dominio, un controlador y una OU, y cómo se apoyan en DNS y LDAP.
Montar su propio dominio de laboratorio y administrarlo con PowerShell.
Describir Kerberos y NTLM y proteger las cuentas privilegiadas con el modelo de niveles.
Configurar GPO defensivas de contraseñas, bloqueo y auditoría, y desplegar LAPS.
Reconocer en los eventos 4624, 4625, 4768, 4769 y 4740 el password spraying y el kerberoasting, y planificar una auditoría con PingCastle y BloodHound.

Para quién es y qué necesita

Es para quien empieza en ciberseguridad, soporte o administración de sistemas y nunca ha administrado un servidor. Conviene haber hecho Windows básico: CMD en 15 niveles; la píldora Su primera máquina virtual en 40 minutos le guía si nunca creó una VM.

Necesita 8 GB de RAM, un virtualizador (VirtualBox, VMware Workstation Player o Hyper-V) y la imagen de evaluación de Windows Server, que pesa varios gigabytes: descárguela antes de sentarse a trabajar.

Cómo está organizado

Módulo	Qué aprende	Laboratorio
1. Qué es un dominio	Qué es AD, su historia, bosque, dominio, controlador, OU, objetos, DNS y LDAP	Montar el controlador DC01 del dominio corp.ejemplo.local
2. Autenticación, grupos y privilegios	Kerberos, NTLM, grupos, mínimo privilegio y modelo de niveles	Crear OU, usuarios y grupos con PowerShell
3. Políticas de grupo y LAPS	GPO y su herencia, contraseñas, bloqueo, auditoría y LAPS	Aplicar políticas defensivas con PowerShell
4. Monitoreo y ataques vistos desde el defensor	Eventos clave, password spraying, kerberoasting, PingCastle, BloodHound y la conclusión	Investigar los eventos de su dominio
Evaluación	6 preguntas sobre todo el curso	Aprueba con 70 %

Cómo aprovecharlo

Los cuatro laboratorios trabajan sobre el mismo dominio, corp.ejemplo.local: los usuarios del módulo 2 reciben las políticas del 3 y generan los eventos del 4. Tome una instantánea de DC01 al terminar cada laboratorio, no solo al empezar; si algo se rompe en el 3, vuelve al dominio sano del 2.

El primer laboratorio es el más largo: instalar Windows Server, promoverlo y esperar los reinicios toma su tiempo, y un error de DNS en ese paso reaparece como un problema raro dos módulos después.

Kerberos suele ser la lección que más cuesta. Si no le cierra, siga y vuelva a ella cuando vea los eventos 4768 y 4769 en el laboratorio final. Al aprobar la evaluación final recibe el certificado y la insignia.

Tiempo estimado

Unas 5 horas, cien minutos de ellas en laboratorios. Reserve para el primero una sesión larga.