Relaciones de confianza entre bosques

Una relación de confianza en Active Directory permite que los usuarios de un dominio A accedan a recursos en un dominio B sin duplicar sus cuentas. Las confianzas tienen dos propiedades esenciales: 1) Dirección: unidireccional (los usuarios de un lado acceden al otro, pero no al revés) o bidireccional. 2) Transitividad: si el dominio A confía en B y B confía en C, una confianza transitiva permite que A confíe implícitamente en C. Las confianzas de bosque (Forest Trusts) conectan dos árboles enteros con soporte de autenticación Kerberos cruzada.

Un error conceptual extendido es considerar el 'dominio' como una barrera impenetrable. En la arquitectura oficial de Microsoft, el único límite real de seguridad es el Bosque (Forest). Si un atacante toma el control total de un dominio hijo dentro del mismo bosque, existen vectores técnicos (como la manipulación del historial de identificadores de seguridad o el catálogo global) para saltar al dominio raíz y obtener privilegios de Enterprise Admins. Los dominios dentro de un bosque son límites de gestión, no de aislamiento de seguridad.

Cuando un usuario de un bosque foráneo se autentica a través de una confianza externa, su ticket Kerberos incluye sus identificadores de grupo (SIDs). Un atacante que controla su propio dominio podría inyectar manualmente en su ticket el identificador del grupo Domain Admins del bosque víctima (SID History Injection). Para neutralizar esto, Microsoft aplica SID Filtering: el controlador de dominio receptor descarta cualquier identificador de seguridad del ticket que pertenezca a su propio espacio de nombres.

Para mapear las conexiones de un entorno empresarial se utiliza el cmdlet Get-ADTrust -Filter * o la herramienta nltest /domain_trusts. La salida revela el nombre del dominio remoto, el sentido de la confianza (Inbound, Outbound, Bidirectional), si es intra-bosque o inter-bosque y si tiene activo el filtrado de identificadores (SelectiveAuthentication y SIDFilteringForest). Estos datos permiten a los auditores identificar confianzas heredadas con filiales desactualizadas.