BloodHound Community v5, consultas Cypher y caminos híbridos hacia Entra ID

La versión 5 de BloodHound (BHCE) rediseñó por completo la arquitectura tradicional: sustituyó la aplicación de escritorio basada en Electron por un modelo de cliente-servidor web multi-usuario con API REST documentada, soporte nativo para contenedores Docker y un motor de base de datos de grafos que optimiza el rendimiento en dominios corporativos con millones de nodos.

Además de analizar objetos locales tradicionales (usuarios, computadoras, grupos, GPOs), BHCE integra recolectores especializados para la nube (AzureHound), permitiendo correlacionar permisos on-premises con roles y recursos en Azure y Microsoft 365.

Aunque BloodHound ofrece consultas predefinidas, el verdadero poder analítico reside en dominar Cypher, el lenguaje de consulta declarativo de grafos. Mediante sintaxis intuitiva de nodos (entre paréntesis) y relaciones (entre corchetes con flechas), los analistas pueden formular preguntas sofisticadas que los filtros habituales no abarcan.

Por ejemplo, un operador puede buscar todos los usuarios pertenecientes al departamento de marketing que tengan permisos de reinicio de contraseña sobre cuentas que a su vez administran servidores de producción: MATCH p = (u:User)-[:MemberOf*1..]->(g:Group)-[:GenericAll]->(t:User)-[:AdminTo]->(c:Computer) RETURN p.

En la inmensa mayoría de las organizaciones, el Active Directory local se sincroniza con la nube mediante Microsoft Entra Connect (anteriormente Azure AD Connect). Esta sincronización introduce un puente bidireccional crítico: la cuenta de servicio local de sincronización (frecuentemente llamada MSOL_*) y el servidor donde reside el motor de sincronización.

Si un atacante en la red interna compromete el servidor de sincronización o extrae la clave de cifrado local de la base de datos de sincronización, puede generar identidades forjadas o interceptar credenciales sincronizadas, saltando de una red interna convencional al rol de Administrador Global en el tenant de Entra ID.

Los equipos de seguridad no deben aspirar a resolver todas las alertas de BloodHound al mismo tiempo, sino a aplicar 'ingeniería de reducción de caminos': identificar los nodos con mayor centralidad (choke points) cuya eliminación desconecte decenas de cadenas de ataque simultáneas.

Entre las medidas más efectivas figuran revocar permisos heredados innecesarios sobre Unidades Organizativas de TI, aislar los servidores de sincronización de identidades en el Tier 0 y monitorizar los accesos a los grupos de sincronización mediante reglas de detección de anomalías.