Active Directory: guía de protección de identidades

By Mirko Peters · 2025-11-23 · Updated 2026-07-18

Aprende sobre la seguridad de Active Directory con orientación práctica sobre arquitectura, implementación, seguridad y gobernanza.

Automatically translated with AI from the original post. Read the English original

Active Directory es muy importante para los atacantes en cualquier empresa. Si alguien toma el control, pierdes el control de las personas, los archivos, el correo y los elementos en la nube. Los atacantes no necesitan habilidades especiales de hacking. Aprovechan pequeños errores para obtener acceso total. Tienes que actuar rápido y dar pasos claros para proteger lo que es importante.

Puntos clave

• Active Directory ayuda a controlar quién puede usar tu red. Mantenerlo seguro evita que los atacantes accedan a datos y sistemas importantes.

• Revisa con frecuencia las cuentas de administrador y elimina las que no necesites. Así será más difícil que los atacantes utilicen cuentas con privilegios elevados.

• Implementa un modelo de niveles (tiering) y segmentación en tu red. Esto impide que los atacantes se muevan con facilidad y ayuda a frenar problemas graves.

• Activa la autenticación multifactor (MFA) en todas las cuentas de administrador. Esto añade una protección extra frente a quienes no deberían entrar.

• Supervisa los registros y utiliza herramientas de seguridad para detectar acciones extrañas. Detectar los problemas a tiempo te permite actuar rápido para detener las amenazas.

Por qué los atacantes apuntan a Active Directory

Papel central en la autenticación

Active Directory ayuda a decidir quién puede usar tu red, tus archivos y tus aplicaciones. Es la principal barrera de protección de la mayoría de las empresas. Los atacantes lo saben. Si se hacen con el control de Active Directory, pueden controlar casi todo.

Esta tabla explica por qué los atacantes quieren Active Directory:

Active Directory te permite gestionar todos los usuarios, equipos y reglas desde un único lugar. Puedes configurar directivas de grupo para crear reglas para todos. Esto facilita tu trabajo. Pero si los atacantes logran entrar, pueden acceder a todo desde un solo punto.

Consecuencias de un compromiso

Si alguien toma el control de Active Directory, pueden pasar cosas muy malas. Podrías perder el acceso a archivos o servicios. Los atacantes pueden bloquearte el acceso, robar tus datos o paralizar tu negocio.

Estas son algunas de las cosas que podrían ocurrir:

• Los usuarios no pueden acceder a los recursos ni a los servicios.

• Los sistemas de TI podrían caerse y dejar de funcionar.

• Las tareas del negocio podrían detenerse, y podrías perder dinero y tiempo.

Consejo: proteger Active Directory no consiste solo en frenar a los hackers. También mantiene tu negocio en marcha y tus datos a salvo.

Cuando conoces los riesgos, entiendes por qué los atacantes quieren entrar en Active Directory. Tienes que buscar los puntos débiles y corregirlos antes que ellos.

Rutas de ataque contra Active Directory

Los atacantes no necesitan herramientas sofisticadas para entrar. Empiezan poco a poco e intentan obtener más control. Debes conocer cada paso para detenerlos a tiempo.

Acceso inicial y movimiento lateral

Los atacantes suelen empezar con trucos sencillos. Envían correos electrónicos falsos para robar contraseñas. A veces usan contraseñas que nunca se cambiaron. También pueden probar contraseñas comunes en muchas cuentas. Si tu red tiene puntos débiles, los atacantes pueden encontrarlos con herramientas.

Después de entrar, los atacantes se desplazan a otros equipos. Usan pass-the-hash para robar hashes de contraseñas. Luego, usan esos hashes para iniciar sesión en otro lugar. Kerberoasting apunta a cuentas de servicio con contraseñas débiles. Los atacantes usan BloodHound para ver tu red y encontrar formas de obtener más poder.

Entre las rutas de ataque más comunes se encuentran:

• Kerberoasting para romper las contraseñas de las cuentas de servicio.

• Envenenamiento LLMNR/NBT-NS para capturar hashes de contraseñas.

• Uso de contraseñas codificadas en scripts.

• Reconocimiento LDAP para obtener información sobre usuarios y equipos.

Nota: La mayoría de estas acciones parecen trabajo administrativo normal. Tienes que estar atento a pequeños indicios de que algo no va bien.

Técnicas de escalada de privilegios

Una vez dentro, los atacantes quieren más poder. Usan distintas formas de obtener privilegios más altos. Esta tabla muestra algunos métodos comunes:

Métodos de dominio total

Cuando los atacantes tienen privilegios altos, buscan el control total. Podrían crear tickets falsos llamados tickets dorados. Estos les permiten acceder a cualquier cosa durante mucho tiempo. Algunos usan ataques DCSync para copiar todos los hashes de contraseñas de los controladores de dominio. Otros roban el archivo NTDS.dit, que contiene todas las contraseñas de tu red.

Las señales de dominio total incluyen:

• Ransomware que borra todos los controladores de dominio.

• Copias de seguridad que restauran malware al recuperarlas.

• No hay una copia de seguridad limpia para recuperarse.

• Los atacantes permanecen incluso después de que intentas solucionar los problemas.

• Errores graves que bloquean a todos.

Si los atacantes llegan hasta aquí, controlan toda tu red. Debes detenerlos antes de que lleguen a esta etapa.

Debilidad del radio de impacto de los administradores

Riesgos por privilegios excesivos

Si demasiadas cuentas tienen acceso elevado, es arriesgado. Los atacantes buscan estas cuentas. Un solo error puede darles el control. A veces, las cuentas conservan su acceso cuando ya no lo necesitan. Estas cuentas antiguas son fáciles de encontrar para los atacantes. Los administradores en la sombra pueden ocultarse en tu sistema. Pueden provenir de soluciones rápidas o de cuentas de servicio. Estas cuentas se unen a grupos poderosos. Puede que no las veas. El anidamiento de grupos en Active Directory dificulta detectarlas.

• Los atacantes usan cuentas con privilegios para llegar a lo importante.

• Si se compromete una cuenta de administrador, los atacantes pueden cambiar configuraciones, robar datos o instalar software malicioso.

• Las cuentas de administrador antiguas que nadie supervisa ayudan a los atacantes a mantenerse ocultos.

Consejo: Revisa las cuentas de administrador con frecuencia. Elimina las que no necesites.

Niveles y segmentación

Puedes reducir el riesgo dividiendo tu red en capas. Esto se conoce como modelo por niveles y segmentación. Te ayuda a controlar quién puede llegar a los lugares importantes. Cuando creas segmentos separados, los atacantes no pueden desplazarse con facilidad. La segmentación también evita que el malware se propague rápidamente.

• Mantener las partes separadas limita hasta dónde llegan los atacantes.

• La segmentación controla quién accede a los sistemas clave.

• Una buena segmentación frena el ransomware y otras amenazas.

Mejoras rápidas para el control de administradores

Puedes hacer cosas sencillas para estar más protegido. Empieza encontrando y eliminando las cuentas de administrador antiguas. Estas cuentas suelen pasarse por alto y pueden ser utilizadas por los atacantes. Desactiva las cuentas de administrador global creadas para proyectos o herramientas antiguos. Esto mejora la seguridad de tu red de forma rápida.

• Revisa y elimina las cuentas de administrador antiguas.

• Desactiva las cuentas de administrador global de herramientas antiguas.

Nota: Los pequeños cambios ayudan mucho a proteger tu red.

Riesgos de PKI y de plantillas de certificado

Peligros de configuración incorrecta

Las contraseñas no son lo único de lo que preocuparse. Las plantillas de certificado pueden permitir que los atacantes se infiltren. Las plantillas débiles ayudan a los atacantes a crear certificados que funcionan como llaves maestras. Estos certificados pueden dar a alguien derechos de administrador sin necesidad de contraseña. Los atacantes llaman a estos administradores "invisibles". No aparecen en los registros normales.

Esta es una tabla que muestra los peligros de configuración incorrecta más comunes:

Nota: Los atacantes buscan puntos débiles. Quieren derechos de administrador sin que nadie se entere.

Cómo proteger las plantillas de certificado

Puedes bloquear muchos ataques haciendo tus plantillas de certificado más seguras. Primero, comprueba quién puede inscribirse en cada plantilla. Elimina o desactiva las plantillas que no uses. Limita el acceso a las plantillas importantes, como las de tarjeta inteligente.

Esta es una tabla con los pasos para proteger tus plantillas:

Consejo: Revisa tus plantillas cada pocos meses. Así ayudarás a mantener tu sistema a salvo de nuevos problemas.

Acciones prácticas de PKI

Puedes hacer cosas sencillas para reforzar tu PKI. Usa una CA raíz sin conexión para proteger tu ancla de confianza. Usa una CA empresarial unida al dominio para emitir certificados solo a usuarios de confianza. Configura la inscripción automática con directiva de grupo para gestionar los certificados con facilidad.

Esta es una tabla con acciones prácticas de PKI:

Recuerda: una configuración sólida de PKI impide que los atacantes creen cuentas de administrador invisibles. Revisa tus plantillas y permisos con frecuencia.

Sincronización híbrida y exposición en la nube

Las configuraciones de identidad híbrida vinculan tu Active Directory con los servicios en la nube. Esto te ayuda a gestionar usuarios en ambos lugares. Pero también introduce nuevos riesgos. Si los atacantes entran en tu AD local, pueden llegar a las cuentas en la nube. Lo mismo puede ocurrir en sentido inverso. Una cuenta en la nube débil puede permitir que los atacantes entren en tu AD local.

Vulnerabilidades de Azure AD Connect

Azure AD Connect es un puente entre tu AD local y la nube. Los atacantes quieren controlar este puente porque tiene cuentas muy privilegiadas. Si alguien obtiene la cuenta de equipo del conector de AD DS o de SSO sin fisuras, puede cambiar contraseñas o permisos en ambos lugares.

Los atacantes usan herramientas de red para atacar todo tu entorno. Pueden usar la cuenta AZUREADSSOACC para pasar de AD a Entra ID. Si los atacantes obtienen derechos de administrador en el servidor de Entra Connect, controlan la cuenta de sincronización. Pueden cambiar identidades en ambos lugares. Algunos atacantes usan SyncJacking para obtener cuentas en la nube con privilegios altos modificando cuentas con privilegios bajos.

Consejo: Usa la cuenta de sincronización con los privilegios más bajos posibles. Vigila Azure AD Connect por si detectas actividad extraña.

Acceso condicional y MFA

La Acceso condicional y la MFA ayudan a proteger los entornos híbridos. Las reglas de acceso condicional obligan a los usuarios a dar pasos adicionales, como la MFA, antes de entrar. Estas reglas comprueban cosas como quién eres, tu dispositivo y tu ubicación. Con ello deciden si debes tener acceso.

• El acceso condicional usa la MFA para mantener la seguridad.

• Las reglas usan señales para tomar decisiones inteligentes.

• Esto sigue el modelo Zero Trust y verifica a los usuarios en cada acceso.

Nota: usar la MFA en todas las cuentas de administrador evita muchos ataques.

Seguridad de identidad unificada

Debes tratar la identidad local y la identidad en la nube como un único sistema. La seguridad unificada te ayuda a detectar amenazas más rápido y a actuar con rapidez. Sigue estos pasos para reforzar tus defensas:

1. Instala los sensores de Defender for Identity en tus controladores de dominio.

2. Conecta Defender for Identity a Microsoft 365 Defender para la supervisión.

3. Activa el acceso condicional basado en riesgo en Entra para una protección en tiempo real.

4. Usa Entra ID Governance para asignar el mínimo privilegio a todas las cuentas.

5. Vincula ambos a Microsoft Sentinel para mejorar la detección de amenazas.

Recuerda: una seguridad híbrida sólida de la identidad impide que los atacantes se muevan entre los sistemas locales y los de la nube.

Lista de comprobación de seguridad de Active Directory

Una lista de comprobación sólida te ayuda a proteger tu red con rapidez. Puedes usar esta guía para encontrar y corregir los riesgos más importantes de tu entorno. Empieza con los pasos de triaje rápido y mantén tus defensas fuertes con un mantenimiento periódico.

Pasos de triaje en 60 minutos

Puedes marcar una gran diferencia en solo una hora. Sigue estos pasos para reducir rápidamente tu riesgo:

1. Busca parches urgentes. Instala la última actualización de Microsoft para CVE-2025-59287 en todos los servidores WSUS. Este parche cierra un importante agujero de seguridad.

2. Bloquea los puertos de red de riesgo. Si no puedes aplicar el parche de inmediato, bloquea el TCP 8530 y el 8531 entrantes en tus cortafuegos. Así impides que los atacantes lleguen a tus servidores WSUS. Es posible que necesites coordinarte con TI, porque esto puede pausar las actualizaciones.

3. Detén y deshabilita los servicios de WSUS. Si no puedes aplicar el parche ni bloquear los puertos, detén los servicios de WSUS hasta que puedas solucionar el problema.

4. Aísla los servidores WSUS expuestos a Internet. Considera estos servidores de alto riesgo. Mantenlos alejados de tu red principal.

5. Conserva las pruebas si sospechas de un ataque. Guarda la memoria, las imágenes de disco y los registros de eventos. Llama a tu equipo de respuesta a incidentes.

6. Revisa los registros de eventos en busca de cambios en AdminSDHolder. Busca el código de evento 5136. Indica si alguien ha cambiado los permisos de administrador.

7. Comprueba quién hizo los cambios. Localiza la cuenta de usuario vinculada a estos cambios. Revisa su actividad por si hay algo extraño.

8. Compara los permisos. Asegúrate de que el objeto AdminSDHolder coincide con tu línea base de seguridad.

9. Busca nuevas cuentas privilegiadas. Revisa si hay cambios en las pertenencias a grupos o en los permisos.

10. Trabaja con tu equipo de seguridad. Confirma si alguno de los cambios fue aprobado.

11. Aísla los sistemas afectados. Desconéctalos de la red para evitar que los atacantes se propaguen.

12. Deshaz los cambios no autorizados. Revierte cualquier cambio en AdminSDHolder que no hayas aprobado.

13. Revisa todas las cuentas privilegiadas. Asegúrate de que cumplen tus reglas de seguridad.

14. Restablece las contraseñas de las cuentas en riesgo. Céntrate en las cuentas de administrador y de servicio.

15. Añade supervisión adicional. Vigila AdminSDHolder y otros objetos clave por si aparecen nuevos cambios.

16. Informa a tu centro de operaciones de seguridad. Notifícales cualquier actividad sospechosa.

17. Actualiza tus directivas de control de acceso. Realiza cambios para evitar ataques similares en el futuro.

Consejo: puedes imprimir esta lista de comprobación y tenerla cerca de tu escritorio. Úsala cuando necesites actuar con rapidez.

Mantenimiento continuo

Debes mantener tus defensas fuertes a lo largo del tiempo. Los buenos hábitos te ayudan a detectar problemas a tiempo y a recuperarte rápidamente.

• Aplica las actualizaciones con frecuencia. Asegúrate de que cada parche se instale correctamente.

• Haz copias de seguridad de tus datos con una programación periódica. Prueba las copias de seguridad para asegurarte de que puedes restaurarlas.

• Supervisa el estado de tu dominio todos los días. Busca señales de problemas, como inicios de sesión fallidos o nuevas cuentas de administrador.

• Revisa las cuentas de administrador y las pertenencias a grupos cada mes. Elimina las que no necesites.

• Revisa tus plantillas de certificados y la configuración de PKI cada trimestre. Elimina las plantillas antiguas y restringe los permisos.

• Supervisa tus herramientas de sincronización híbrida, como Azure AD Connect. Busca actividad extraña o nuevos permisos.

• Forma a tu equipo para que reconozca el phishing y las técnicas de ingeniería social.

• Programa revisiones de seguridad periódicas. Usa tu lista de comprobación para mantenerte al día.

Nota: las acciones pequeñas y constantes mantienen tu red segura. Incorpora estos pasos a tu rutina.

Siguiendo esta lista de comprobación, creas una defensa sólida alrededor de tus sistemas más importantes. Así, resulta mucho más difícil que los atacantes entren o permanezcan ocultos.

Herramientas de supervisión y detección

Eventos clave e IDs de registro

Debes vigilar de cerca tu Active Directory. Los atacantes intentan ocultar lo que hacen. Puedes detectarlos si sabes qué revisar. Empieza por analizar los registros importantes y los ID de evento. Estos registros muestran los cambios y te ayudan a detectar problemas a tiempo.

• Cambios en la pertenencia a grupos: vigila los cambios extraños en los grupos de administración. El ID de evento 4728 indica que alguien agregó un usuario a un grupo. El ID de evento 4729 indica que alguien quitó un usuario.

• Creación y eliminación de cuentas: el ID de evento 4720 muestra cuándo alguien crea un usuario nuevo. El ID de evento 4726 muestra cuándo alguien elimina un usuario.

• Solicitudes de replicación: el ID de evento 4662 puede mostrar actividad de replicación inusual. Los atacantes la utilizan para copiar datos de contraseñas.

• Eventos de autenticación: el ID de evento 4624 registra los inicios de sesión correctos. Busca inicios de sesión a horas raras o desde ubicaciones nuevas.

• Cambios en directivas de grupo: el ID de evento 4739 registra los cambios en las directivas de grupo. Los atacantes pueden modificarlas para obtener control.

También debes vigilar las señales de ataques Kerberoasting o Golden Ticket. Estos ataques dejan pistas en tus registros, como solicitudes de tickets inusuales o nuevas cuentas de servicio.

Consejo: revisa tus registros todos los días. Las comprobaciones rápidas te ayudan a detectar problemas antes de que empeoren.

Herramientas de seguridad recomendadas

Puedes usar herramientas especializadas para ayudarte a supervisar y proteger tu Active Directory. Estas herramientas facilitan ver lo que está sucediendo y encontrar puntos débiles.

• Lepide Auditor for Active Directory: registra los cambios en tiempo real y te avisa de las acciones sospechosas.

• Netwrix Auditor: envía alertas inmediatas y conserva los registros durante mucho tiempo.

• ManageEngine ADAudit Plus: supervisa la actividad de los usuarios y permite configurar alertas personalizadas.

• SolarWinds Access Rights Manager (ARM): te ayuda a gestionar quién puede acceder a qué y comprueba el cumplimiento normativo.

• Solución de Quest: registra los cambios y se integra con herramientas SIEM para una supervisión más eficaz.

• BloodHound: traza las rutas de ataque para que veas cómo podrían moverse los atacantes.

• PingCastle: analiza tu AD en busca de riesgos y te ofrece una puntuación de estado.

• LAPS (Local Administrator Password Solution): garantiza que cada equipo tenga una contraseña de administrador única.

• Defender for Identity: detecta amenazas y comportamientos extraños en tus controladores de dominio.

Muchas de estas herramientas funcionan bien con sistemas SIEM como Splunk. Esto te ayuda a detectar los ataques más rápido y a responder con agilidad.

Nota: usar las herramientas adecuadas y vigilar los registros correctos te da una defensa sólida frente a los atacantes.

Mantener Active Directory seguro ayuda a tu empresa a evitar problemas graves. Proteges tu red al reducir el alcance de los privilegios de administrador. También cierras las brechas de PKI y mejoras la sincronización híbrida. Los atacantes se mueven rápido si pasas por alto estos pasos.

• Supervisa los registros con herramientas SIEM.

• Concede acceso de administrador a menos personas y cambia las contraseñas con frecuencia.

• Usa MFA y mantén los equipos de administración separados.

• Revisa con frecuencia las directivas de grupo y las membresías.

Usa tu lista de verificación de triaje y revisa tu seguridad cada mes. Empieza por un solo dominio. Haz cambios pequeños y con frecuencia. Mantente atento para proteger tu joya de la corona.

Preguntas frecuentes

¿Cuál es el paso más importante para proteger Active Directory?

Necesitas tener menos cuentas de administrador. Asegúrate de que cada equipo tenga su propia contraseña. Revisa con frecuencia quién está en los grupos de administración. Esto ayuda a evitar que los atacantes causen grandes problemas.

¿Con qué frecuencia debes revisar las cuentas de administrador y los permisos?

Revisa las cuentas de administrador y los permisos cada mes. Elimina las cuentas que no uses. Así tu red será más segura y podrás detectar problemas a tiempo.

¿Por qué los atacantes apuntan a las plantillas de certificados?

A los atacantes les gustan las plantillas de certificados débiles. Las usan para crear accesos de administrador falsos. Estos certificados funcionan como claves secretas. Debes bloquear las plantillas y revisar quién puede usarlas.

¿Un ataque en la nube puede afectar a Active Directory local?

Sí. Si los atacantes obtienen acceso a cuentas en la nube, pueden llegar a tu AD local. Debes proteger ambos y vigilar cualquier comportamiento extraño.

¿Qué herramientas te ayudan a supervisar Active Directory frente a ataques?

Puedes usar BloodHound, PingCastle y Defender for Identity. Estas herramientas te ayudan a encontrar puntos débiles y a alertarte de amenazas.

También te puede interesar

Si estás investigando la seguridad de Active Directory, estos episodios aportan contexto práctico sobre arquitectura, operaciones, seguridad y gobernanza:

• Microsoft AI Agent Harness – Simply Explained — Aprende sobre orquestación y barreras de protección.
• Azure AI Foundry – Simply Explained — Comprende cómo se entrega IA empresarial.
• Microsoft Defender XDR – Simply Explained — Añade contexto de seguridad.