El dominio y lo que guarda

Lo que hace especial a un dominio no es que guarde usuarios: es que centraliza la identidad. Cuando alguien inicia sesión en una estación, no es la estación quien decide si la contraseña vale; es el controlador de dominio, contra la base de datos del directorio. Ese directorio guarda las cuentas de persona, las cuentas de máquina, los grupos, y —lo que casi nadie mira— los permisos de un objeto sobre otro. Comprometer una estación suelta es un problema local; comprometer el directorio es comprometer a todos a la vez.

Por eso el objetivo de un ataque de dominio rara vez es una máquina concreta: es llegar a una posición desde la que se manda sobre el directorio. Y por eso la defensa se organiza alrededor de proteger esa base, no cada equipo por separado.

Una intuición razonable pero falsa es pensar que hace falta ser administrador para leer el directorio. No: por diseño, cualquier cuenta autenticada del dominio —la de la persona de recepción incluida— puede consultar la lista de usuarios, los grupos, a qué grupo pertenece cada quién y muchos de los atributos de esos objetos. Es información que el propio Windows necesita repartir para funcionar. Para quien ataca con una credencial cualquiera, eso significa que el mapa está a la vista antes de tocar nada delicado.

En Marisma te entregan la cuenta de un usuario de a pie como punto de partida del laboratorio. No es administrador de nada, y aun así puede leer cómo está montado el dominio.

Dentro del directorio hay cuentas que no son de nadie: cuentas de servicio, creadas para que un programa —una copia de seguridad, una base de datos, un servicio web— se ejecute y se autentique. Se comportan como usuarios, pero nadie las usa para iniciar sesión, casi nunca se les cambia la contraseña, y a veces arrastran más permisos de los que necesitan porque «así funcionaba». Son un objetivo aparte porque juntan tres cosas: existen, tienen acceso, y su contraseña lleva años sin tocarse.

Reconocer una cuenta de servicio entre las de persona —por el nombre, por que tiene un servicio asociado, por que no inicia sesión interactiva— es de lo primero que hace quien entiende el terreno.

El mismo mapa del directorio se lee con dos intenciones. Quien ataca busca la cadena de permisos que lleva de su cuenta sin privilegios a una que mande. Quien defiende busca esa misma cadena antes, para cortarla. No son herramientas distintas ni datos distintos: es la misma foto del dominio, leída para abusar o para endurecer. Esta ruta recorre las dos lecturas a propósito, porque entender el ataque es lo que permite diseñar la defensa que de verdad lo para.

Por eso el trabajo defensivo no empieza comprando un producto: empieza leyendo el propio directorio con los ojos del que va a abusar de él.