AdminSDHolder, SDProp y la protección automática de cuentas privilegiadas

Dentro de la partición de dominio reside el contenedor CN=AdminSDHolder,CN=System. Este objeto funciona como el molde maestro de permisos para todas las cuentas y grupos considerados protegidos por el sistema operativo (como Domain Admins, Enterprise Admins, Schema Admins o Account Operators).

En lugar de permitir que los administradores modifiquen manualmente las listas de control de acceso de estas identidades en sus respectivas unidades organizativas, Active Directory utiliza AdminSDHolder como la única referencia autoritativa de permisos seguros.

Cada 60 minutos, en el controlador de dominio que posee el rol FSMO de PDC Emulator, se ejecuta de manera automática un hilo del sistema denominado Security Descriptor Propagator (SDProp).

Este proceso recorre el árbol del directorio, identifica a todos los miembros directos o transitivos de los grupos de seguridad protegidos, marca su atributo adminCount con el valor numérico 1, desactiva la herencia de permisos en el objeto para evitar que herede permisos laxos de su Unidad Organizativa, y sobrescribe su lista de control de acceso copiando exactamente los permisos vigentes en AdminSDHolder.

Cuando un administrador retira a un usuario temporal de 'Domain Admins', Active Directory no revierte los cambios: el atributo adminCount permanece fijado en 1 y la herencia de permisos continúa desactivada permanentemente. Estas cuentas se conocen como 'cuentas huérfanas protegidas' y suelen conservar configuraciones atípicas.

Desde la perspectiva ofensiva, si un intruso obtiene temporalmente privilegios elevados, puede modificar los permisos en el propio objeto AdminSDHolder (agregando por ejemplo un derecho GenericAll para un usuario encubierto). Al cumplirse la siguiente hora, SDProp propagará ese acceso a todos los administradores del dominio automáticamente, creando una puerta trasera duradera.

Para defender este vector, los equipos de ciberseguridad deben auditar cualquier cambio en los descriptores de seguridad de AdminSDHolder mediante la monitorización de eventos de auditoría de servicio de directorio en el controlador de dominio (identificador de evento 5136: 'A directory service object was modified').

Asimismo, los administradores deben ejecutar periódicamente tareas de higiene mediante scripts de PowerShell que localicen usuarios con adminCount=1 que ya no formen parte de ningún grupo protegido, reactiven la herencia de permisos en su OU correspondiente y reestablezcan dicho atributo a 0.