Auditoría con PingCastle y monitoreo de eventos AD

PingCastle es una herramienta de auditoría de Active Directory que analiza el entorno y genera un informe de riesgo con una puntuación de 0 a 100 basada en cuatro pilares: 1) Cuentas de usuario y contraseñas (antigüedad, cuentas sin caducidad, administradores huérfanos). 2) Infraestructura y controladores (parches, versiones de sistema operativo obsoletas). 3) Confianzas (relaciones inter-bosque sin filtrado de SID). 4) Seguridad de objetos y delegaciones. Un valor bajo refleja una postura sólida; un valor alto indica fallos críticos inmediatos.

El Event ID 4624 registra inicios de sesión exitosos en Windows. Para el analista de seguridad, el campo más revelador es 'Logon Type': Tipo 2 representa inicio de sesión local interactivo (teclado físico); Tipo 3 representa acceso por red (carpetas compartidas SMB, WMI o llamadas RPC); Tipo 9 representa 'NewCredentials' (usado en ataques de Overpass-the-Hash); y Tipo 10 representa conexión remota por Escritorio Remoto (RDP). Identificar tipos de logon anómalos en servidores críticos permite descubrir accesos ilegítimos.

Cuando una cuenta inicia sesión con privilegios especiales (como SeDebugPrivilege o SeTcbPrivilege), el sistema genera el Event ID 4672 (Asignación de privilegios especiales). Si un atacante añade un usuario a un grupo de administración clave (como Domain Admins o Enterprise Admins), se genera el Event ID 4728 (Miembro agregado a un grupo de seguridad global). En un SOC, cualquier evento 4728 no programado en una ventana de mantenimiento autorizada debe catalogarse como una alerta crítica inmediata.

El Event ID 4769 se genera cada vez que el KDC entrega un ticket de servicio Kerberos (TGS). En un ataque de Kerberoasting, un mismo usuario solicita decenas de tickets TGS en pocos segundos, y la solicitud especifica el tipo de cifrado 0x17 (RC4-HMAC), que es el más vulnerable para ataques de fuerza bruta fuera de línea. Una regla SIEM que correlacione una ráfaga de eventos 4769 con cifrado RC4 provenientes de una cuenta no administrativa detecta la extracción en tiempo real.