Qué es un dominio y un controlador de dominio

Bienvenida

Bienvenido a Active Directory en 40 minutos. Esta píldora es para quien trabaja o quiere trabajar en soporte, administración de Windows o un SOC y nunca ha visto un dominio corporativo por dentro. Basta con haber usado Windows.

Son cuatro lecciones cortas, un laboratorio y un quiz de 4 preguntas, unos 40 minutos en total. El laboratorio consiste en leer salidas de comandos de un dominio ficticio, así que no necesita servidor: un navegador y una nota para apuntar hallazgos. Al terminar podrá explicar qué es un dominio, distinguir grupos, OU y GPO, seguir un inicio de sesión Kerberos y señalar los riesgos que más se repiten en un dominio real.

Qué es Active Directory y por qué importa

Active Directory, o AD, es el servicio de directorio de Microsoft: la base de datos que dice quién es cada persona, en qué equipos puede entrar y qué puede tocar. Salió con Windows 2000 Server y se apoya en estándares abiertos como DNS, LDAP y Kerberos. Si una empresa mediana usa Windows, casi seguro tiene uno. En su primera semana en soporte, muchos tiquetes van a ser "se me bloqueó la cuenta" y "no me deja entrar a la carpeta de Contabilidad", y los dos se resuelven en AD.

El problema que resuelve

Una oficina de 200 computadoras sin dominio tiene 200 listas de usuarios separadas. Cuando entra María, alguien le crea una cuenta en cada equipo que vaya a usar; cuando se va, alguien tiene que acordarse de borrarla de todos. Nadie se acuerda.

Con AD existe una sola cuenta para María, guardada en un lugar central. Cualquier equipo de la empresa le pregunta a ese lugar si María es quien dice ser y qué puede hacer. Cuando María se va, se deshabilita una cuenta y listo.

El dominio

Un dominio es el conjunto de usuarios, equipos y recursos que comparten esa base de datos central y las mismas reglas. Tiene un nombre con forma de dirección web, por ejemplo corp.ejemplo.cr. Cuando un equipo se "une al dominio", acepta que las identidades y las políticas las decida AD y no su configuración local.

El controlador de dominio

El controlador de dominio, o DC, es el servidor que guarda la base de datos de AD, verifica las contraseñas cuando alguien inicia sesión y entrega los permisos. Lo normal es tener al menos dos, que se replican entre sí: si uno se cae un viernes en la tarde, la gente sigue entrando.

Esto es lo que vería al consultar el dominio desde un equipo unido (salida resumida):

Dominio:              corp.ejemplo.cr
Controladores:        DC01.corp.ejemplo.cr  (192.0.2.10)
                      DC02.corp.ejemplo.cr  (192.0.2.11)
Nivel funcional:      Windows Server 2016

Un detalle que confunde a mucha gente al principio: los clientes encuentran a los DC por DNS. Si un equipo apunta a un DNS que no es el del dominio, por ejemplo al 8.8.8.8, no logra unirse ni iniciar sesión con cuentas del dominio, aunque tenga red.

Por qué importa en seguridad

Si el DC decide quién entra a cada equipo, quien controle el DC controla la red entera. Un atacante con privilegios de administrador del dominio no necesita ir equipo por equipo: ya tiene las llaves de todos, incluidos los servidores de respaldo. Por eso en los incidentes de ransomware la pregunta que más se repite en la sala de crisis es "¿llegaron al DC?".

Las siguientes lecciones muestran cómo se organizan las identidades dentro del dominio, cómo se autentican y por qué los atacantes buscan AD antes que cualquier otra cosa.