El mapa en grafo y la visión de relaciones con BloodHound

Cuando un administrador audita el dominio, abre la consola y revisa los miembros de 'Domain Admins'. Si solo ve cinco cuentas, concluye que el acceso privilegiado está bajo control. El problema es que Active Directory es una red interconectada: un usuario común tiene permisos para reiniciar la contraseña de una cuenta de servicio, esa cuenta de servicio es administradora local de un servidor, y en ese servidor un Administrador del Dominio tiene una sesión abierta. Esa cadena de tres pasos no se ve en ninguna lista: solo se ve conectando los nodos en un grafo de relaciones.

Para construir el grafo, el recolector (SharpHound) realiza consultas LDAP estándar y llamadas a la API de Windows a través de la red utilizando credenciales de un usuario de a pie. Recopila cinco fuentes clave: pertenencia a grupos de dominio, derechos de control de acceso (ACLs) sobre objetos, sesiones activas de usuarios registradas en la memoria de las estaciones, permisos de administradores locales en servidores y relaciones de confianza entre dominios. Todo esto se exporta en archivos JSON para ser analizado.

Uno de los errores más comunes en la administración corporativa es el anidamiento de grupos sin control. El usuario Marta pertenece al grupo 'Soporte-N1'. A su vez, 'Soporte-N1' fue agregado como miembro de 'Operadores-Servidores'. Y este último grupo pertenece al grupo de administradores locales de todas las máquinas virtuales. Marta nunca fue añadida directamente como administradora, pero de manera transitiva hereda los permisos completos. En Marisma, el grafo revela cómo usuarios con apariencia inofensiva heredan privilegios críticos.

BloodHound no es solo una herramienta ofensiva; es una de las armas defensivas más eficaces para los equipos de seguridad. Consultas predefinidas como 'Shortest Paths to Domain Admins' permiten a los defensores localizar los nodos puente (cuellos de botella) que conectan a usuarios ordinarios con el controlador. En vez de intentar parchear miles de máquinas, el equipo de defensa de Marisma puede revocar un solo permiso de grupo o impedir que administradores inicien sesión en equipos de usuarios, cortando decenas de rutas de ataque de golpe.