Auditoría de Active Directory: por qué es la pieza clave de tu seguridad

El Directorio Activo es el servicio de directorio que sostiene la identidad y los permisos en la gran mayoría de organizaciones que trabajan con entornos Microsoft. Centraliza usuarios, equipos, políticas y relaciones de confianza, y por eso se ha convertido en el objetivo principal de cualquier actor que quiera tomar el control de una red corporativa. Cuando el Directorio Activo está mal configurado, un atacante no necesita exploits exóticos: le basta con abusar de permisos heredados, cuentas olvidadas o protocolos mal desplegados.

Una auditoría de Active Directory no consiste en escanear puertos ni en lanzar un escáner de vulnerabilidades genérico. El trabajo real pasa por entender cómo está construido el bosque, qué relaciones de confianza existen entre dominios, cómo se delegan permisos y qué cuentas tienen privilegios elevados aunque nadie lo recuerde. Sin ese mapa previo, cualquier hallazgo queda huérfano y no se puede priorizar.

Kerberos es, probablemente, el protocolo que más atención merece durante este tipo de revisión. Mal configurado, permite técnicas de suplantación y solicitud de tickets que un atacante puede encadenar para obtener credenciales de cuentas con más privilegios. Revisar la vigencia de las claves, las cuentas con delegación sin restricciones y los SPN duplicados es parte del análisis habitual en un ejercicio ofensivo serio.

La escalada de privilegios dentro del Directorio Activo rara vez ocurre por un único fallo crítico. Lo habitual es encontrar cadenas de pequeños errores de configuración que, combinados, permiten pasar de un usuario estándar a administrador del dominio. Permisos de escritura sobre objetos sensibles, grupos anidados con privilegios heredados y ACL mal definidas son los vectores más frecuentes en este tipo de hallazgos, y son justo los que revisamos en una auditoría de Active Directory.

El movimiento lateral es la consecuencia lógica de los dos puntos anteriores. Una vez que el atacante controla una cuenta con cierta capacidad, busca saltar a otros sistemas usando las mismas credenciales, tickets o relaciones de confianza del Directorio Activo. Detectar esas rutas antes que un adversario real es exactamente el objetivo de una auditoría ofensiva bien planteada, y es lo que diferencia una revisión superficial de un trabajo útil.

En MagnoSec abordamos la auditoría de Active Directory desde una perspectiva ofensiva, no solo de cumplimiento. Analizamos la estructura del bosque, las relaciones de confianza entre dominios y los objetos con permisos delegados que suelen pasar desapercibidos. El resultado no es un listado de configuraciones recomendadas, sino un mapa realista de por dónde entraría un atacante y hasta dónde podría llegar.

Kerberos es el protocolo de autenticación del Directorio Activo y, al mismo tiempo, una de sus superficies de ataque más ricas. Revisamos la configuración de las cuentas de servicio, la delegación, los SPN y la vigencia de las claves para detectar rutas de abuso. Muchas de estas técnicas no requieren explotar una vulnerabilidad concreta: basta con aprovechar configuraciones heredadas que nadie ha revisado en años.

Durante un ejercicio de red team, la escalada de privilegios y el movimiento lateral son las dos fases donde más se juega el resultado final. Identificamos cadenas de permisos que permiten elevar privilegios sin necesidad de exploits y rutas que un atacante usaría para saltar entre sistemas con las credenciales obtenidas. Con ese conocimiento, el equipo de seguridad puede cerrar los caminos antes de que alguien los recorra en sentido contrario.