Question 1

¿Qué revisáis en una auditoría de Active Directory?

Accepted Answer

Repasamos la configuración del directorio desde la perspectiva de un atacante: políticas de contraseñas, delegaciones Kerberos (incluidas las cuentas con delegación sin restricciones), permisos sobre objetos críticos, pertenencia a grupos privilegiados y anidamiento de grupos, SPNs susceptibles de Kerberoasting, configuraciones de PKI/ADCS, relaciones de confianza entre dominios y bosques, políticas de grupo (GPO), seguridad de los controladores de dominio y su replicación. El objetivo es identificar qué camino puede recorrer un atacante desde una cuenta estándar hasta el control total del dominio.

Question 2

¿Qué es el Kerberoasting y por qué aparece en casi todas las auditorías?

Accepted Answer

Es un ataque contra cuentas de servicio que tienen un SPN registrado: con una credencial de dominio válida (aunque sea sin privilegios) se puede solicitar un ticket Kerberos de ese servicio y crackearlo offline para obtener su contraseña. Aparece casi siempre porque hay cuentas de servicio antiguas con contraseñas cortas que nadie rota. En el informe indicamos qué cuentas son explotables, qué privilegios darían si su contraseña cae, y proponemos la mitigación (contraseñas largas gestionadas automáticamente y revisión de los SPN que ya no se usan).

Question 3

¿Auditáis también ADCS y las plantillas de certificado?

Accepted Answer

Sí. La PKI interna es hoy uno de los caminos más directos al dominio: una plantilla de certificado mal configurada permite solicitar un certificado que suplanta a un administrador, sin necesidad de crackear ninguna contraseña. Revisamos las plantillas publicadas, sus permisos de inscripción, las ACL del servidor de certificados y las configuraciones de autenticación asociadas, e incluimos en el informe la ruta exacta y la corrección de cada plantilla explotable.

Question 4

¿Cómo demostráis el impacto real y no solo la configuración insegura?

Accepted Answer

Mapeamos las relaciones de confianza y los permisos abusivos del dominio con BloodHound para construir las rutas de ataque completas — desde una cuenta de usuario estándar hasta Domain Admin — y validamos los saltos que hacen falta en entornos de prueba controlados. Así el informe no dice 'esta ACL es peligrosa' de forma abstracta, sino que muestra encadenadas las cuentas, grupos y permisos concretos por los que se llega al dominio.

Question 5

¿Qué necesitáis para auditar el dominio y qué recibís al final?

Accepted Answer

Necesitamos el alcance del dominio (y de los dominios en bosques con confianza) y una ventana de pruebas. Si queréis simular un atacante real partimos de una cuenta estándar sin privilegios; si preferís centrar el esfuerzo en la lógica y no en el descubrimiento, partimos de credenciales de lectura de caja gris. El alcance y los permisos se acuerdan por escrito antes de empezar y no se modifica nada del directorio durante las pruebas. Entregamos un informe con cada hallazgo clasificado por criticidad (CVSS), las rutas de ataque con sus evidencias y un plan de remediación detallado con los comandos y cambios de configuración concretos para cerrar cada vector.

Auditoría de Active Directory

Un enfoque diferente a la seguridad

Enfoque personalizado

Resultados accionables

Mejora continua

¿Qué obtienes con este servicio?

Prevenir amenazas

Resiliencia mejorada

Confianza operativa

Cumplimiento normativo

¿Necesitas auditoría de Active Directory?

Preguntas frecuentes

Más sobre Auditoría de Active Directory

Active Directory como Vector de Ataque Principal: Análisis de Técnicas y Estrategias de Contención

Certighost: El Exploit que Permite a un Usuario con Pocos Privilegios Suplantar un Controlador de Dominio Active Directory

Escalada de Privilegios en Windows: Técnicas Modernas y Estrategias de Defensa