Autenticación de Windows

La autenticación de Windows verifica quién es un usuario antes de concederle acceso. En los dominios, esto ocurre constantemente entre los clientes y el controlador de dominio.

Los dos protocolos principales son NTLM (antiguo, de desafío-respuesta) y Kerberos (moderno, basado en tickets). Ambos son objetivos frecuentes.

Windows nunca almacena contraseñas en texto plano para las cuentas locales; almacena hashes en la base de datos SAM. El formato clave es el hash NT (un MD4 de la contraseña).

Si un atacante extrae estos hashes, puede descifrarlos sin conexión o reutilizarlos directamente.

NTLM autentica sin enviar la contraseña:

• El servidor envía un desafío aleatorio.
• El cliente lo cifra con el hash NT y responde.
• El servidor (o el DC) verifica la respuesta.

Es un protocolo heredado, pero sigue habilitado en muchas redes por motivos de compatibilidad.

Como NTLM autentica mediante el hash en lugar de la contraseña en texto plano, un atacante que roba un hash puede autenticarse sin descifrarlo.

Esto se denomina Pass-the-Hash (PtH) y es una técnica eficaz de movimiento lateral contra NTLM.

Kerberos es el protocolo predeterminado en Active Directory. Utiliza un Key Distribution Center (KDC) de confianza en el controlador de dominio y tickets con una duración limitada, en lugar de enviar las credenciales repetidamente.

Flujo de Kerberos:

• El usuario se autentica y recibe un Ticket Granting Ticket (TGT).
• Para utilizar un servicio, el cliente presenta el TGT y obtiene un Service Ticket (TGS).
• El servicio valida el ticket; no se envía ninguna contraseña.

Kerberoasting solicita tickets de servicio para cuentas que ejecutan servicios (SPN). El ticket se cifra con el hash de la contraseña de la cuenta de servicio.

El atacante extrae el ticket y lo descifra sin conexión para recuperar la contraseña de la cuenta de servicio.

Los tickets de Kerberos también se pueden robar y reutilizar (Pass-the-Ticket). Peor aún, si un atacante compromete el hash de la cuenta krbtgt, puede falsificar un Golden Ticket: un TGT creado por él mismo que otorga acceso a todo el dominio.

Muchos ataques comienzan extrayendo credenciales de un equipo comprometido. Las herramientas extraen hashes y tickets de la memoria de lsass.exe o de las colmenas SAM/SECURITY.

Mimikatz es la herramienta más conocida; secretsdump es una alternativa remota habitual.

Los defensores reducen estos riesgos mediante lo siguiente:

• Deshabilitar NTLM cuando sea posible.
• Exigir contraseñas largas y seguras para las cuentas de servicio.
• Proteger lsass (Credential Guard, PPL).
• Rotar la clave de krbtgt y limitar la reutilización de cuentas de administrador.

Puede inspeccionar el contexto de autenticación actual y los tickets de Kerberos almacenados en caché desde una sesión.

Reconozca el ataque específico de NTLM.

Ha aprendido cómo Windows autentica a los usuarios y cómo se ataca:

• Los hashes NT de SAM permiten descifrar contraseñas sin conexión y realizar Pass-the-Hash.
• Kerberos utiliza un KDC, TGT y tickets de servicio.
• Kerberoasting, Pass-the-Ticket y Golden Tickets aprovechan Kerberos de forma indebida.
• Refuerzo: deshabilitar NTLM, proteger lsass y usar contraseñas seguras para los servicios.

Siguiente tema: PowerShell ofensivo.