Un dominio Windows que administrar

En un dominio, un usuario no es una cuenta en una máquina: es una identidad central que vale en todas las máquinas unidas al dominio. El controlador de dominio guarda esas identidades, sus grupos y sus permisos. Entender esto es entender por qué comprometer una sola cuenta de dominio puede abrir muchas máquinas a la vez: la identidad viaja. En Salitre, una cuenta de soporte vale en el servidor de archivos, en las estaciones y en el propio controlador.

La identidad centralizada es cómoda para administrar y peligrosa si cae: una llave que abre muchas puertas. Por eso los grupos del dominio son el primer sitio donde mirar.

Los permisos en un dominio se reparten por grupos: metes a una persona en «Administradores del dominio» y puede con todo. El error más común no es un fallo técnico, es un grupo demasiado grande: cuentas de servicio o usuarios normales metidos en grupos de administración «para que funcione algo» y que se quedaron ahí. En Salitre, una cuenta de servicio de la aplicación está en el grupo de administradores del dominio sin necesitarlo. Para el administrador es una limpieza pendiente; para el que ataca, el premio.

El privilegio mínimo —cada cuenta con lo justo— es la regla que casi nadie sostiene con el tiempo, porque añadir permisos arregla problemas rápido y quitarlos no urge nunca.

Un dominio aplica reglas a todas sus máquinas con políticas de grupo: longitud mínima de contraseña, quién puede iniciar sesión dónde, qué está bloqueado. Administrar bien es usar esas políticas para poner el suelo de seguridad de toda la empresa de una vez. Una política que permite contraseñas de cuatro caracteres, o que deja iniciar sesión remota a cualquiera, es un fallo que afecta a cientos de equipos con una sola línea. En Salitre, la política de contraseñas no exige complejidad: un hallazgo que el auditor reporta y el atacante aprovecha.

Una política es un permiso multiplicado por todas las máquinas. Por eso un fallo de política es grande aunque parezca una casilla.

Cada inicio de sesión, cada cambio de permiso, cada intento fallido queda en el registro de eventos de Windows. Administrar incluye saber que ese registro existe, porque es donde la otra mitad —la defensa— va a mirar cuando algo pase. Un administrador que entiende los eventos de seguridad configura el dominio para que registre lo que importa; un defensor los lee para reconstruir qué ocurrió. En Salitre, los inicios de sesión de la estación quedan registrados, y en la mitad defensiva de la ruta vas a leerlos.

Configurar el registro es una decisión de administración con consecuencia de defensa: si no se registra, no se puede investigar. Los dos oficios se tocan justo aquí.

El privilegio de más no se adivina: se encuentra enumerando el grupo. Abre el laboratorio y lee los miembros de «Administradores del dominio» exportados del controlador de Salitre.