Arquitectura de niveles (Tiering), Protected Users y Privileged Access Workstations

El modelo clásico de administración en niveles dividía los activos en tres estratos aislados: Tier 0 (plano de control: controladores de dominio, PKI, ADFS, sincronización de identidades), Tier 1 (servidores de aplicaciones corporativas y bases de datos) y Tier 2 (estaciones de trabajo y dispositivos de usuario final).

La evolución moderna, el Enterprise Access Model de Microsoft, extiende este principio a la nube, definiendo que los activos con mayor impacto en el negocio deben aislarse en un plano de control impenetrable donde las dependencias solo fluyen hacia abajo y nunca hacia arriba.

El 99% de los compromisos de dominio exitosos se originan porque un Administrador del Dominio (Tier 0) inicia sesión interactiva mediante RDP o consola en una estación de trabajo de usuario (Tier 2) para resolver una incidencia técnica.

Al hacerlo, su material de credenciales (hashes NTLM, tickets Kerberos y claves en claro) queda depositado en la memoria del proceso LSASS de esa máquina vulnerable. Si la estación está infectada con malware o comprometida por un atacante local, este extraerá las credenciales del Tier 0 de inmediato. La regla es tajante: las cuentas de Tier 0 solo pueden iniciar sesión en activos de Tier 0.

Introducido en Windows Server 2012 R2, el grupo de seguridad global 'Protected Users' impone protecciones defensivas automáticas no eludibles para las cuentas miembros.

Entre sus efectos más notables: bloquea por completo la autenticación NTLM forzando Kerberos, impide que el proceso LSASS almacene en caché las credenciales o hashes de la cuenta, reduce el tiempo de vida de los tickets TGT de Kerberos a un máximo de cuatro horas sin posibilidad de renovación automática, e inhabilita algoritmos de cifrado débiles como DES y RC4.

Para completar la arquitectura, las operaciones de Tier 0 deben ejecutarse exclusivamente desde Privileged Access Workstations (PAWs): equipos físicos o virtuales blindados, sin acceso directo a correo electrónico ni navegación web abierta, dedicados únicamente a la administración de infraestructura.

Adicionalmente, se configuran Directivas de Silos de Autenticación en Active Directory que vinculan criptográficamente las cuentas de Tier 0 a los equipos PAW autorizados, garantizando que el controlador de dominio rechace cualquier intento de emisión de tickets Kerberos si la petición proviene de un equipo no homologado.