Loading
_ DESCIFRANDO CONEXIÓN SEGURA...
whoami-labs PRO
Aprende — mapa de rutas Empieza aquí Iniciar sesión Elige tu Rol Precios Preguntas Frecuentes Empresas

Cuentas de servicio administradas de grupo (gMSA): arquitectura y vectores de abuso

4 tareas · 30 min · Principiante

Para resolver el histórico problema de las cuentas de servicio con contraseñas estáticas vulnerables a ataques de Kerberoasting, Microsoft introdujo las Group Managed Service Accounts (gMSA). Aunque representan un salto cualitativo en seguridad, una configuración errónea en los permisos de lectura de la contraseña o en los servidores autorizados puede abrir una brecha directa al control de servicios críticos. En esta sala estudiarás su funcionamiento criptográfico y cómo auditar sus autorizaciones.

0 de 4 · 0%

Objetivo de la sala

Para resolver el histórico problema de las cuentas de servicio con contraseñas estáticas vulnerables a ataques de Kerberoasting, Microsoft introdujo las Group Managed Service Accounts (gMSA). Aunque representan un salto cualitativo en seguridad, una configuración errónea en los permisos de lectura de la contraseña o en los servidores autorizados puede abrir una brecha directa al control de servicios críticos. En esta sala estudiarás su funcionamiento criptográfico y cómo auditar sus autorizaciones.

Las cuentas gMSA son objetos de clase 'msDS-GroupManagedServiceAccount' cuyas contraseñas no son conocidas ni administradas por ningún ser humano. El Servicio de Distribución de Claves (KDS) que corre en los controladores de dominio genera automáticamente una contraseña compleja de 120 caracteres compuesta por bytes aleatorios y la rota de forma programada cada 30 días.

Los servidores miembros autorizados consultan al KDS mediante llamadas seguras Netlogon/RPC para obtener la contraseña en memoria al iniciar sus servicios, lo que elimina el almacenamiento de contraseñas en scripts y neutraliza el cracking por fuerza bruta en Kerberoasting.

Responde para continuar

¿Cuál es la principal ventaja de seguridad que ofrecen las cuentas gMSA frente a las cuentas de servicio convencionales?

Ver pista de ayuda

La longitud de 120 caracteres y la rotación automática hacen inviable el descifrado offline del ticket.

El control de acceso a la contraseña de una gMSA se define en un atributo del propio objeto llamado 'msDS-GroupMSAMembership'. Este atributo contiene un descriptor de seguridad binario (DACL) que enumera qué cuentas de equipo o grupos de seguridad tienen derecho a solicitar la contraseña actual y la anterior al servicio KDS.

Si un administrador añade un grupo demasiado permisivo (como 'Domain Users' o 'Authenticated Users') a este descriptor, cualquier cuenta perteneciente a ese grupo obtendrá autorización técnica para solicitar la contraseña en claro del servicio.

Responde para continuar

¿Qué atributo de Active Directory define qué equipos o identidades tienen permiso para leer la contraseña de una gMSA?

Ver pista de ayuda

Es el descriptor de pertenencia que consulta el KDS para autorizar la revelación de la clave.

Cuando una estación de trabajo se encuentra comprometida y la cuenta local o de usuario pertenece al grupo autorizado en la gMSA, el atacante no necesita vulnerar la criptografía: basta con formular la solicitud legítima a través de herramientas de auditoría o cmdlets de PowerShell como Get-ADServiceAccount -Properties 'msDS-ManagedPassword'.

El controlador de dominio responde entregando el blob de datos cifrado con la clave raíz del KDS, el cual se descifra localmente en memoria para obtener el hash NT y las claves Kerberos (AES256) asociadas a la cuenta de servicio, permitiendo solicitar tickets de servicio o suplantar la identidad en la red.

Responde para continuar

¿Cómo recupera un auditor el hash de una gMSA si dispone de acceso a una máquina autorizada?

Ver pista de ayuda

Aprovecha la consulta estándar permitida por el descriptor de seguridad configurado en el objeto.

Para mantener blindadas las cuentas gMSA, los administradores deben aplicar el principio de mínimo privilegio estricto: nunca vincular grupos amplios a 'PrincipalsAllowedToRetrieveManagedPassword' y especificar únicamente los objetos de equipo individuales que realmente alojan el servicio.

Adicionalmente, se deben auditar las consultas sobre estos objetos vigilando los eventos de replicación y monitorizar con regularidad la creación de nuevas cuentas gMSA no autorizadas en el contenedor Managed Service Accounts mediante alertas SIEM.

Responde para continuar

¿Cuál es la recomendación fundamental para prevenir el abuso indebido de contraseñas de cuentas gMSA?

Ver pista de ayuda

Evitar grupos genéricos y limitar la autorización solo a las máquinas que estrictamente lo requieren.

Inicia sesión para registrar tus puntos y progreso en el ranking.
Entrar · Registrarse

Whoami-Labs Pro

Whoami-Labs Pro utiliza cookies

Utilizamos cookies y almacenamiento local para el funcionamiento del sitio, seguridad de sesión y, si lo autorizas, analítica y marketing. Puedes aceptar, rechazar o personalizar. Política de Privacidad