Fundamentos de AD

Active Directory (AD) es el servicio de directorio de Microsoft para administrar usuarios, equipos y recursos en una red Windows. Proporciona autenticación y autorización centralizadas.

Casi todas las empresas utilizan AD, lo que lo convierte en un objetivo prioritario. Comprometer AD suele significar comprometer toda la organización.

Un dominio es el límite administrativo central de AD. Agrupa objetos (usuarios, grupos y equipos) bajo una base de datos y una directiva de seguridad compartidas.

Cada dominio tiene un nombre como corp.example.com. Toda la autenticación dentro del dominio es gestionada por los controladores de dominio.

Un controlador de dominio (DC) es un servidor que ejecuta AD Domain Services. Almacena la base de datos del directorio, autentica los inicios de sesión y aplica las directivas.

La base de datos del directorio se encuentra en el archivo NTDS.dit. Robar este archivo (junto con la clave de arranque) permite a un atacante extraer todos los hashes de contraseñas del dominio.

Un árbol consta de uno o más dominios que comparten un espacio de nombres contiguo. Un bosque es el contenedor de nivel superior que contiene uno o más árboles.

El bosque es el verdadero límite de seguridad en AD. Dentro de un bosque, se puede acceder a los dominios mediante relaciones de confianza.

Una relación de confianza permite que los usuarios de un dominio accedan a recursos de otro. Las relaciones de confianza pueden ser:

• Unidireccionales o bidireccionales: define la dirección del acceso.
• Transitivas o no transitivas: indica si la confianza se extiende a otros dominios.

Las relaciones de confianza mal configuradas permiten a los atacantes pivotar entre dominios y bosques.

Las unidades organizativas (OU) son contenedores utilizados para organizar objetos y delegar la administración.

Los objetos de directiva de grupo (GPO) aplican configuraciones y ajustes de seguridad a OU, dominios o sitios. Los atacantes que pueden editar una GPO pueden distribuir configuraciones o scripts maliciosos a muchas máquinas a la vez.

AD utiliza Kerberos como protocolo principal de autenticación. En lugar de enviar contraseñas, los clientes intercambian tickets emitidos por el Key Distribution Center (KDC), que se ejecuta en el DC.

Primero, el usuario obtiene un Ticket Granting Ticket (TGT) y después lo utiliza para solicitar tickets de servicio. Muchos ataques contra AD abusan de este sistema de tickets.

AD expone su directorio mediante LDAP (Lightweight Directory Access Protocol). Los usuarios autenticados pueden consultar enormes cantidades de información: usuarios, grupos, equipos y sus atributos.

Por eso incluso una cuenta de dominio con pocos privilegios resulta valiosa. Puede enumerar todo el directorio para encontrar rutas hacia privilegios superiores.

Ciertos grupos son los activos más valiosos de cualquier dominio:

• Domain Admins: control total del dominio.
• Enterprise Admins: control de todo el bosque.
• Schema Admins: pueden modificar el esquema de AD.

La escalada de privilegios en AD suele consistir en encontrar una ruta hacia uno de estos grupos.

Un Service Principal Name (SPN) identifica de forma única una instancia de servicio asociada a una cuenta. Kerberos utiliza los SPN para emitir tickets de servicio.

Las cuentas con SPN son objetivos interesantes porque sus tickets de servicio pueden solicitarse y descifrarse sin conexión, en una técnica denominada Kerberoasting que estudiará a continuación.

AD centraliza la identidad de toda la organización, por lo que un único punto de apoyo puede escalar hasta lograr el control total. Los atacantes encadenan accesos con pocos privilegios, enumeración y robo de credenciales para alcanzar Domain Admin.

Comprender la estructura (dominios, relaciones de confianza, Kerberos, LDAP y grupos privilegiados) permite detectar estas rutas antes que un adversario.

Compruebe su comprensión de la estructura de AD.

Ahora conoce los componentes básicos de Active Directory:

• Los dominios agrupan objetos; los controladores de dominio autentican y almacenan la base de datos NTDS.dit.
• Los bosques son el límite de seguridad; las relaciones de confianza permiten el acceso entre dominios.
• Kerberos y LDAP sustentan la autenticación y la enumeración.
• Domain Admins y los SPN son objetivos de gran valor.

A continuación atacará Kerberos directamente mediante Kerberoasting.