Servicios de directorio: LDAP y Active Directory

Un servicio de directorio es un repositorio centralizado que almacena y organiza información sobre los recursos de red: usuarios, grupos, equipos, impresoras y políticas. En lugar de mantener bases de datos de usuarios independientes en cada sistema, las organizaciones utilizan un servicio de directorio como fuente única de verdad para la información de identidad. Todas las solicitudes de autenticación se validan con el directorio y las políticas de acceso se aplican de forma coherente en toda la empresa.

LDAP (Lightweight Directory Access Protocol) es el protocolo estándar del sector para consultar y modificar servicios de directorio. LDAP organiza las entradas en un árbol jerárquico denominado Directory Information Tree (DIT), cuyas entradas se identifican mediante un Distinguished Name (DN). LDAP utiliza el puerto 389 (texto sin cifrar) y el puerto 636 (LDAPS: LDAP sobre TLS). LDAP es el protocolo; el directorio en sí es un producto independiente.

Active Directory (AD) es el servicio de directorio empresarial de Microsoft, basado en LDAP y Kerberos. Organiza los recursos en Domains, que se agrupan en Trees, que a su vez se agrupan en Forests. Un controlador de dominio (DC) aloja la base de datos de AD (NTDS.dit) y gestiona la autenticación. AD es la base de la gestión de identidades en la mayoría de los entornos empresariales Windows.

Active Directory utiliza Kerberos como protocolo de autenticación predeterminado. El proceso funciona mediante la concesión de tickets: el cliente se autentica ante el Key Distribution Center (KDC) y recibe un Ticket-Granting Ticket (TGT). Cuando el usuario necesita acceder a un recurso, presenta el TGT para obtener un Service Ticket para ese recurso concreto. Las contraseñas nunca se envían por la red: solo se envían tickets cifrados. Este diseño es fundamental para comprender ataques como Kerberoasting.

Los objetos de directiva de grupo (GPO) son el mecanismo de AD para aplicar simultáneamente configuraciones de seguridad en miles de equipos. Los GPO pueden configurar requisitos de complejidad de contraseñas, tiempos de espera del bloqueo de pantalla, instalación de software, reglas del firewall y configuraciones del registro. Los GPO se vinculan a contenedores de AD (sitios, dominios y OU) y se aplican a todos los usuarios y equipos incluidos en ese contenedor. De forma predeterminada, la configuración de los GPO se actualiza cada 90 minutos, lo que garantiza el cumplimiento incluso en equipos que se desvían de la política.

Active Directory utiliza grupos de seguridad para gestionar colectivamente los permisos de acceso. En lugar de asignar permisos a usuarios individuales, los administradores conceden permisos a grupos y añaden los usuarios a los grupos correspondientes. Entre los grupos integrados clave que debe conocer para Security+ se incluyen: Domain Admins (control total del dominio), Enterprise Admins (control de todo el bosque), Schema Admins (modificación del esquema de AD) y Administrators (administrador del equipo local). La pertenencia a estos grupos con privilegios elevados debe controlarse estrictamente.

La inyección LDAP es el equivalente de la inyección SQL en los servicios de directorio. Un atacante manipula una consulta LDAP insertando caracteres especiales (*, (, ), \, NUL) en datos introducidos por el usuario que se concatenan directamente en un filtro LDAP. Un ataque exitoso puede omitir la autenticación, extraer todas las entradas del directorio o modificar objetos del directorio. La prevención requiere validar las entradas y utilizar API LDAP parametrizadas en lugar de concatenar cadenas.

Las empresas implementan varios controladores de dominio para obtener redundancia y distribución geográfica. La replicación de AD mantiene sincronizados todos los DC mediante el Directory Replication Service (DRS). Los atacantes aprovechan la replicación para realizar el ataque DCSync: utilizan permisos de replicación para solicitar todos los hashes de contraseñas de un DC sin iniciar sesión en él. Proteger los permisos de replicación es un paso fundamental para reforzar la seguridad de AD.

LDAP sin protección en el puerto 389 transmite los datos —incluidas las credenciales de enlace— en texto sin cifrar, lo que lo hace vulnerable a la interceptación. Las organizaciones deben exigir LDAPS (LDAP sobre TLS) en el puerto 636 para cifrar todo el tráfico del directorio. Además, deben requerirse la firma LDAP y la vinculación de canal para evitar ataques de retransmisión, en los que un atacante intercepta y reproduce mensajes de autenticación LDAP para obtener acceso no autorizado.

Los entornos de Active Directory acumulan errores de configuración a lo largo de los años de funcionamiento. Entre las vulnerabilidades de seguridad habituales de AD se incluyen: la delegación no restringida (permite suplantar a cualquier usuario), las cuentas de servicio vulnerables a Kerberoasting con contraseñas débiles, los objetivos de AS-REP roasting (cuentas con la autenticación previa deshabilitada), una pertenencia excesiva al grupo Domain Admins y errores de configuración de AdminSDHolder que conceden permisos elevados ocultos. Las evaluaciones periódicas de seguridad de AD con herramientas como BloodHound ayudan a identificar estas rutas.

Para aclarar la relación: LDAP es el protocolo utilizado para comunicarse con los directorios (al igual que HTTP se utiliza para comunicarse con los servidores web). Active Directory es el producto de servicio de directorio de Microsoft que utiliza LDAP como protocolo de acceso. Otros directorios compatibles con LDAP son OpenLDAP (de código abierto), Oracle Directory Server y Red Hat Directory Server. Todos utilizan consultas LDAP, pero cuentan con distintas interfaces de administración y funciones propietarias adicionales.

Compruebe su comprensión de los conceptos de CompTIA Security+ (SY0-701) tratados en esta lección.

En esta lección ha aprendido que: LDAP es el protocolo para consultar servicios de directorio mediante nombres distinguidos en un árbol jerárquico, Active Directory utiliza Kerberos para la autenticación y GPO para aplicar configuraciones de seguridad en todos los dominios y se deben exigir LDAPS en el puerto 636 y la firma LDAP para evitar ataques de interceptación y retransmisión. A continuación, exploraremos la gestión de accesos privilegiados (PAM).