Superficie de ataque de Active Directory

Active Directory (AD) es el pilar de identidad de la mayoría de las empresas. Administra la autenticación, la autorización y las políticas de usuarios, equipos y servicios. Como prácticamente todos los recursos confían en AD, el compromiso de un solo dominio suele equivaler al compromiso de toda la red.

Desde la perspectiva de un red team, AD resulta atractivo porque la confianza es transitiva y las configuraciones incorrectas se acumulan durante años. Los blue teams deben comprender esa misma superficie para defenderla.

• Un bosque puede contener varios dominios vinculados mediante relaciones de confianza.
• Los controladores de dominio (DC) contienen la copia autorizada de todos los secretos.
• La directiva de grupo distribuye la configuración a todos los hosts unidos al dominio.

Para analizar los ataques, debe conocer los objetos implicados. AD almacena todo como objetos con atributos en una base de datos LDAP jerárquica.

• Los usuarios y los equipos son entidades de seguridad con SID.
• Los grupos conceden permisos de forma transitiva (membresía anidada).
• Las unidades organizativas (OU) estructuran los objetos y asocian las GPO.
• La cuenta krbtgt contiene la clave que firma todos los tickets de Kerberos.

La cuenta krbtgt es el activo más valioso: su hash permite falsificar Golden Tickets.

AD admite dos protocolos de autenticación principales, y ambos ofrecen vías de abuso.

• NTLM es un esquema de desafío-respuesta basado en el hash de la contraseña del usuario. Permite ataques de relay y pass-the-hash.
• Kerberos se basa en tickets y es el protocolo preferido, pero expone ataques de Kerberoasting, AS-REP roasting y falsificación de tickets.

Deshabilite NTLMv1, supervise el uso de NTLM y exija la firma SMB para mitigar los ataques de relay.

La enumeración autenticada suele ser el primer paso después de obtener cualquier punto de apoyo en un dominio. Incluso un usuario con pocos privilegios puede leer la mayor parte del directorio de forma predeterminada.

Las herramientas consultan LDAP para mapear usuarios, grupos, ACL y rutas de confianza.

Además de la membresía en grupos, los objetos de AD contienen listas de control de acceso (ACL). Las ACL mal configuradas crean rutas de ataque que las auditorías tradicionales no detectan.

• GenericAll / GenericWrite permiten a una entidad restablecer contraseñas o establecer SPN.
• WriteDacl permite a un atacante reescribir la ACL de un objeto y concederse permisos.
• Los permisos de DCSync (Replicating Directory Changes) permiten extraer todos los hashes de forma remota.

BloodHound visualiza estas relaciones como aristas de un grafo y muestra la ruta más corta hasta Domain Admin.

Las relaciones de confianza vinculan dominios y bosques para que las entidades de uno puedan acceder a los recursos de otro. Constituyen un vector importante de movimiento lateral.

• Las relaciones de confianza entre dominios padre e hijo son bidireccionales y transitivas dentro de un bosque.
• Las relaciones de confianza externas y entre bosques atraviesan los límites de seguridad.
• El abuso de SID History y los TGT entre reinos permiten atravesar los límites de confianza.

El bosque, no el dominio, es el verdadero límite de seguridad. Confiar en un dominio más débil puede exponer todo el bosque.

La mayoría de los compromisos de AD explotan la deriva de configuración, no vulnerabilidades de día cero. Entre los problemas recurrentes se incluyen:

• Cuentas de servicio con contraseñas débiles y SPN (vulnerables a Kerberoasting).
• Cuentas con DONT_REQ_PREAUTH establecido (vulnerables a AS-REP roasting).
• Membresías excesivas en grupos anidados que conceden privilegios administrativos ocultos.
• Contraseñas almacenadas en el cpassword de GPP o en scripts de SYSVOL.
• Delegación no restringida en servidores que no son DC.

La delegación de Kerberos permite que un servicio actúe en nombre de un usuario. Si se utiliza de forma indebida, se convierte en un mecanismo para escalar privilegios.

• La delegación no restringida almacena en caché los TGT de los usuarios en el servidor; si se compromete, permite obtener los de cualquier usuario que se autentique, incluidos los administradores.
• La delegación restringida limita los objetivos, pero puede abusarse de ella mediante S4U2Self/S4U2Proxy.
• La delegación restringida basada en recursos (RBCD) puede configurarla cualquiera que tenga permisos de escritura sobre un objeto de equipo.

Los defensores reducen la superficie de ataque mediante la segmentación por niveles y la supervisión.

• Implemente el modelo de administración por niveles: las credenciales de nivel 0 (DC e identidad) no deben utilizarse jamás en niveles inferiores.
• Utilice el grupo Protected Users y deshabilite NTLM para las cuentas sensibles.
• Supervise los ID de evento 4768/4769 (solicitudes de TGT/TGS), 4662 (DCSync) y los tipos de inicio de sesión de 4624.
• Implemente LAPS para que las contraseñas de administrador local sean únicas y se roten periódicamente.

Una operación típica en AD sigue un ciclo de vida repetible. Conocerlo ayuda tanto a simular ataques como a diseñar detecciones.

• Punto de apoyo: el phishing o un servicio expuesto proporciona una cuenta con pocos privilegios.
• Enumeración: BloodHound mapea las rutas.
• Escalada: Kerberoast, abuso de ACL o delegación.
• Toma de control: DCSync y, después, Golden/Diamond tickets para mantener la persistencia.

Cuando tenga autorización para probar AD, la delimitación del alcance y el registro son fundamentales. Capture una línea base, obtenga autorización por escrito y evite acciones destructivas, como restablecer las contraseñas de cuentas de producción.

Ejecute los recopiladores durante las ventanas acordadas y almacene cifrados los datos obtenidos. Revierta siempre los cambios realizados en los objetos temporales (usuarios de laboratorio, entradas RBCD) que cree durante la prueba.

Ha explorado por qué AD es un objetivo de gran valor y qué elementos de su superficie permiten abusar de él.

• La confianza de AD es transitiva; el bosque es el verdadero límite de seguridad.
• NTLM y Kerberos exponen vías de abuso diferentes.
• Las ACL, la delegación y las cuentas de servicio obsoletas crean rutas de privilegios ocultas.
• BloodHound mapea estas rutas; la segmentación por niveles, LAPS y la supervisión de eventos ayudan a defenderlas.

A continuación, profundizará en Kerberos y Kerberoasting.