Caso final — Duna Energía

Te entregan la cuenta de un usuario común de Duna y el alcance firmado, nada más. No hay un «empieza por la cuenta X» ni una lista de fallos. El método es el mismo de la ruta: enumerar desde dentro para levantar el grafo de relaciones, localizar cuentas de servicio y permisos que no encajan, y construir una cadena candidata antes de abusar de nada. La tentación de repetir el camino de Marisma —buscar una svc-respaldo y kerberoastearla— es justo el atajo que este caso existe para desmontar: en Duna las cuentas y sus debilidades son otras.

El arranque correcto no es reproducir la cadena anterior, sino enumerar Duna y dejar que su propio grafo decida por dónde va el camino.

La enumeración de Duna deja varias relaciones sobre la mesa: una cuenta sin la comprobación previa de Kerberos, un grupo con derecho de reescritura sobre otro, una delegación en el servidor y una plantilla de certificado de uso interno. No todas encadenan hasta el dominio, y algunas terminan en un callejón. El criterio de la ruta —leer la cadena entera antes de saltar— ordena el trabajo: se sigue el eslabón que, comprobado contra el grafo, desemboca en control del controlador, no el que aparece antes ni el que se parece a Marisma.

Elegir el eslabón por dónde lleva la cadena completa, y no por parecido con el caso anterior, es lo que separa transferir el método de repetir pasos de memoria.

Llegaste al control del dominio de Duna. Empieza la otra mitad: por cada paso que diste, el control que lo habría cortado. No vale «pongan contraseñas fuertes» a secas; vale nombrar el eslabón y su arreglo —la cuenta que había que volver a proteger con comprobación previa, el permiso de reescritura que sobraba, la delegación que debía retirarse, la plantilla de certificado que dejaba fijar la identidad—. El endurecimiento se escribe sobre la cadena real que recorriste, eslabón por eslabón, para que Duna pueda cerrarla sin apagar lo que usa a diario.

El endurecimiento útil recorre tu propia cadena al revés y pone, en cada paso, el control concreto que lo habría parado.

El endurecimiento cierra la puerta; la detección avisa cuando alguien la prueba, y la ruta pide las dos. Por cada paso de tu cadena, la señal que lo delata: la ráfaga de solicitudes de ticket de servicio con cifrado débil, la petición de ticket inicial sin comprobación previa, el cambio de pertenencia o de permisos en el directorio, el certificado emitido a un titular distinto del solicitante, la autenticación relada contra un servicio sin firma. Y el recordatorio que Duna necesita oír: esas señales solo existen si la telemetría que las registra está encendida.

La detección se entrega emparejada con el endurecimiento —control y señal por cada paso— y con la advertencia de encender el registro que alimenta cada alerta.

Cierras Duna con el informe, y el hallazgo central no es «llegué a administrador del dominio»: es la cadena completa que lo permitió —cuenta abusable, permiso o delegación mal puestos, vía al controlador— con su impacto de negocio, su reproducción paso a paso para que Duna lo confirme, y, emparejados a cada eslabón, el endurecimiento que lo cierra y la detección que lo ve. Los hallazgos se ordenan por riesgo, y la cadena que lleva al dominio sin necesitar credenciales de administrador encabeza la lista.

Si llegaste hasta aquí reconstruyendo el camino sin que nadie te lo dijera y lo entregaste con las dos mitades —cómo se abre y cómo se cierra—, el método de la ruta ya es tuyo.