Escalonamiento de Active Directory y diseño de acceso privilegiado

Active Directory sigue siendo la columna vertebral de identidad de la mayoría de las empresas y, precisamente porque está en todas partes, es el terreno donde una sola credencial robada puede convertirse en control de todo el dominio. La razón es estructural: los administradores inician sesión en estaciones de trabajo comunes, esas estaciones se comprometen, y el atacante cosecha las credenciales privilegiadas dejadas en la memoria. El escalonamiento por niveles y el diseño de acceso privilegiado existen para romper esa cadena. Este artículo explica el modelo desde la óptica del defensor, con el marco entender para defender: por qué la confianza plana por defecto es peligrosa, cómo el modelo de niveles contiene el movimiento lateral, qué telemetría revela el abuso y qué controles endurecen todo el patrimonio.

Por qué la identidad es el verdadero perímetro

Los perímetros de red se han disuelto en servicios en la nube, trabajo remoto y dispositivos móviles, y lo que permanece constante es la identidad. En un patrimonio Windows, esa identidad vive en Active Directory, y sus grupos más privilegiados —Administradores de Dominio, Administradores de Empresa y las cuentas que controlan los controladores de dominio— son en la práctica las llaves de todo. Un atacante que alcanza ese nivel puede leer cada buzón, desplegar software en cada punto final y falsificar credenciales a voluntad. Defender el patrimonio significa, por tanto, defender esas identidades como si fueran las joyas de la corona, porque lo son.

La verdad incómoda de un Active Directory por defecto es que confía de forma demasiado plana. Si un Administrador de Dominio inicia sesión alguna vez en una estación de mesa de ayuda, esa estación ahora guarda material que un atacante puede robar para convertirse en Administrador de Dominio. Multiplique eso a lo largo de años de inicios de sesión cómodos y tendrá un patrimonio donde comprometer casi cualquier máquina es un camino plausible al control total. El escalonamiento es la disciplina que corta esos caminos a propósito.

El modelo de niveles explicado

El modelo administrativo de niveles divide los activos y las identidades que los gestionan en niveles según el valor que controlan. El Nivel 0 contiene la propia infraestructura de identidad: controladores de dominio, la base de datos de AD, autoridades de certificación, servidores de federación y cualquier cuenta o grupo que pueda obtener control sobre ellos. El Nivel 1 cubre servidores y aplicaciones: los datos y servicios de negocio de la empresa. El Nivel 2 es la capa de estaciones de trabajo y dispositivos donde operan los usuarios comunes y el personal que los apoya. El propósito de la división es una regla estricta sobre qué credenciales pueden aparecer en qué sistemas.

El principio rector es que una credencial de nivel superior nunca debe exponerse en un sistema de nivel inferior. Una cuenta de Nivel 0 inicia sesión solo en sistemas de Nivel 0; nunca toca un servidor de Nivel 1 ni una estación de Nivel 2, porque estos son más numerosos, más expuestos y más propensos a comprometerse. Esto previene la escalada clásica en que un atacante que posee una estación espera a que un administrador inicie sesión y luego roba el token o la credencial de ese administrador. Cuando los niveles se imponen, la potente credencial de ese administrador simplemente nunca aterriza donde el atacante puede alcanzarla.

Fuentes limpias y estaciones de administración

El escalonamiento depende del principio de fuente limpia: un sistema solo puede ser controlado por sistemas al menos tan confiables como él mismo. Si un controlador de dominio de Nivel 0 puede gestionarse desde un portátil de Nivel 2, entonces el portátil es en efecto Nivel 0, y la frontera es una ficción. Para honrar esto, los administradores usan Estaciones de Trabajo de Acceso Privilegiado dedicadas: máquinas endurecidas de propósito único usadas solo para trabajo administrativo, sin correo, sin navegación web y sin software de productividad general que pudiera introducir un compromiso.

Una Estación de Trabajo de Acceso Privilegiado está bloqueada con listas de aplicaciones permitidas, reglas de red estrictas que le permiten alcanzar solo puntos finales de gestión y autenticación multifactor fuerte. El portátil cotidiano donde un administrador lee correo y navega por la web se trata como no confiable para fines administrativos. Separar la máquina con la que opera el dominio de la máquina con la que consulta su calendario es uno de los controles de mayor valor de todo el modelo, porque elimina directamente el punto de apoyo de cosecha de memoria en que se apoyan los atacantes.

Cuentas separadas y acceso justo a tiempo

Cada administrador debería tener identidades distintas para niveles distintos: una cuenta de usuario normal para el trabajo diario y cuentas privilegiadas separadas acotadas al nivel que administra, nunca reutilizadas entre niveles. La pertenencia permanente a grupos potentes como Administradores de Dominio debería reducirse a casi nada. La práctica moderna reemplaza la pertenencia permanente por la elevación justo a tiempo, donde un administrador solicita acceso para una tarea específica y una ventana acotada, la solicitud se aprueba y registra, y el privilegio se evapora al cerrarse la ventana. Las herramientas de gestión de acceso privilegiado vuelven práctico este flujo a escala.

Esto encoge la ventana durante la cual una credencial privilegiada siquiera existe para ser robada. También produce un rastro de auditoría limpio: cada uso de alto privilegio es un evento deliberado, registrado y acotado en el tiempo, en vez de una condición permanente. Combinado con autenticación fuerte y, donde sea posible, credenciales sin contraseña o respaldadas por tarjeta inteligente para administradores, el acceso justo a tiempo convierte el privilegio de un pasivo constante en un recurso controlado y observable.

Detección: señales que revelan el abuso

Incluso un patrimonio bien escalonado debe asumir que atacantes decididos tantearán las fronteras, por lo que la detección es esencial. Vigile las violaciones de nivel de forma directa: una cuenta de Nivel 0 autenticándose desde una estación de Nivel 2 es una alarma de alta fidelidad porque nunca debería ocurrir. Monitoree los registros de seguridad de Windows en busca de patrones de inicio de sesión sospechosos —los Event ID 4624 y 4625 que muestran cuentas privilegiadas apareciendo en hosts inesperados, el 4672 que marca la asignación de privilegios sensibles, y el 4768 y 4769 que registran solicitudes de tickets Kerberos que pueden indicar técnicas de abuso de credenciales contra cuentas de servicio.

Los cambios en los grupos de Nivel 0 merecen escrutinio inmediato: los Event ID 4728, 4732 y 4756 registran adiciones a grupos privilegiados, y una adición inesperada a Administradores de Dominio es una de las señales más fuertes de un compromiso en curso. Las solicitudes de replicación de directorio desde un host que no es un controlador de dominio pueden indicar un intento de extraer toda la base de datos de credenciales y deberían avisar a alguien de inmediato. Alimente estas señales a un SIEM con alertas, retenga los registros fuera de los controladores de dominio para que un atacante no pueda borrarlos, y ensaye la respuesta para que una alerta lleve a la acción en vez de a un panel que nadie mira.

Errores comunes

El fallo más común es diseñar un hermoso modelo de niveles en papel y luego romperlo por comodidad: una cuenta de Nivel 0 usada una vez para arreglar un servidor de Nivel 1, una cuenta de servicio con derechos de Administrador de Dominio corriendo en decenas de servidores de aplicación, o pertenencias de grupo anidadas que en silencio otorgan poder de Nivel 0 a un grupo que parece inofensivo. Las cuentas de servicio son un punto débil recurrente: con exceso de privilegios, rara vez rotadas y a menudo configuradas de formas que las exponen a técnicas de robo de credenciales, con frecuencia son el puente que un atacante usa para cruzar niveles. Otro error es olvidar que las autoridades de certificación y los servidores de federación de identidad son Nivel 0; las plantillas de certificado mal configuradas se han vuelto un camino de escalada favorito precisamente porque suelen pasarse por alto.

Por último, los equipos a veces tratan el escalonamiento como un proyecto único. En realidad el patrimonio deriva constantemente a medida que aparecen nuevos servidores, delegaciones y administradores, de modo que sin una auditoría continua de pertenencia de grupo, delegación y derechos de inicio de sesión, las fronteras se erosionan hasta que el modelo solo existe en un documento.

Una lista de verificación práctica

Estructura: activos clasificados en Nivel 0, 1 y 2; controladores de dominio, autoridades de certificación y servidores de federación reconocidos como Nivel 0. Credenciales: cuentas separadas por nivel, sin reutilización entre niveles, credenciales de nivel superior nunca expuestas en sistemas de nivel inferior. Acceso: Estaciones de Trabajo de Acceso Privilegiado para toda administración de Nivel 0 y Nivel 1, listas de aplicaciones permitidas, autenticación multifactor fuerte. Privilegio: pertenencia permanente casi nula en Administradores de Dominio, elevación justo a tiempo con aprobación y registro, cuentas de servicio endurecidas y monitoreadas. Detección: alertas ante violaciones de nivel, cambios en grupos privilegiados y replicación anormal, con registros retenidos fuera de los controladores de dominio. Gobernanza: auditoría continua de pertenencia, delegación y derechos de inicio de sesión.

FAQ: ¿Sigue siendo relevante el modelo de niveles con la nube y Zero Trust?

Sí, y si acaso más. Zero Trust y el modelo de niveles comparten la misma idea central: nunca asumir confianza según la ubicación de red, y siempre minimizar y verificar el privilegio. En entornos híbridos el modelo se extiende a la identidad en la nube, donde protege las cuentas que controlan su sincronización de directorio y los roles administrativos en la nube con el mismo rigor que el Nivel 0 local. El vocabulario evoluciona, pero el principio de que las identidades más potentes deben aislarse de los sistemas más expuestos es atemporal.

FAQ: Somos una organización pequeña. ¿Necesitamos escalonamiento completo?

Necesita los principios aunque no pueda costear todo el aparato. Como mínimo, dé a los administradores cuentas separadas para tareas de administración y uso diario, nunca inicie sesión en estaciones comunes con una cuenta de Administrador de Dominio, habilite autenticación multifactor fuerte en las cuentas privilegiadas y mantenga la pertenencia privilegiada permanente en el mínimo indispensable. Estas pocas disciplinas entregan la mayor parte del valor protector del escalonamiento y requieren proceso en vez de herramientas costosas. Puede adoptar Estaciones de Trabajo de Acceso Privilegiado y acceso justo a tiempo a medida que crece.

Conclusión

El escalonamiento de Active Directory y el diseño de acceso privilegiado existen para responder una pregunta: cuando un atacante inevitablemente compromete alguna máquina, ¿le da eso un camino a las llaves del reino? Un patrimonio de confianza plana responde que sí; uno bien escalonado responde que no. Clasifique sus activos, separe las credenciales por nivel, administre desde estaciones limpias y endurecidas, reemplace el privilegio permanente por acceso justo a tiempo, e instrumente todo para que una violación de nivel se vuelva una alarma sonora en vez de una escalada silenciosa. El trabajo es tanto disciplina como tecnología, pero es la diferencia entre un solo portátil comprometido y una empresa comprometida.