Escenario: una modificación de grupo con la cuenta correcta en el momento incorrecto

A las 02:22:10 UTC, el registro de seguridad del DC capturó el Event ID 4728 donde la cuenta autorizada de soporte técnico helpdesk_admin_02 añadió a svc_backup_temp al grupo Domain Admins. Simultáneamente, se observó una solicitud Kerberos TGS con cifrado débil RC4 y 87,600 horas de vigencia (Golden Ticket). La cuenta de helpdesk era legítima para funciones de soporte diurno, pero la adición nocturna a Domain Admins sin orden de cambio reveló que había sido comprometida para establecer persistencia Tier-0.

Indica el valor de attack_pattern que figura en la tabla kerberos_ticket_anomalies para el ticket forjado.

Lección tras el caso {#leccion}

Active Directory es el plano de identidad soberano y el bastión de máxima criticidad (Tier-0) en las redes corporativas. Los atacantes buscan persistentemente dominar el directorio mediante técnicas como Kerberoasting, abusos de certificados en AD CS, replicaciones fraudulentas de credenciales (DCSync) o la forja de Golden Tickets con duraciones desorbitadas. La defensa rigurosa de Active Directory no se limita a revisar antivirus en estaciones: audita sin descanso los registros de eventos de los Controladores de Dominio, supervisa de forma estricta las adiciones a grupos privilegiados y vigila las anomalías criptográficas en las peticiones Kerberos para frustrar el control total del bosque corporativo.