Unidades Organizativas y directivas de grupo (GPO)

Las Unidades Organizativas (OUs) son los contenedores lógicos que permiten a los administradores estructurar el dominio según departamentos, sedes o funciones (por ejemplo, OU=Servidores, OU=Finanzas, OU=Estaciones). Lo crucial es que sobre las OUs se aplican las Directivas de Grupo (GPOs), y esas políticas se heredan hacia abajo por defecto a todos los objetos y sub-OUs que contienen. Entender la jerarquía de OUs es el primer paso tanto para auditar el alcance de las reglas como para saber qué máquinas recibirán una configuración concreta.

Una GPO es un conjunto de instrucciones que el sistema operativo aplica automáticamente: desde políticas de contraseñas y permisos de cortafuegos hasta el despliegue de software, scripts de inicio de sesión y creación de tareas programadas. Las máquinas cliente consultan periódicamente al controlador de dominio para descargar y aplicar las GPOs que tienen asignadas. Una GPO legítima mantiene el estándar de la empresa; una GPO modificada indebidamente convierte al propio mecanismo de administración en un vehículo de ejecución masiva.

Al igual que los usuarios y los grupos, cada GPO es un objeto en Active Directory protegido por listas de control de acceso (ACLs). Si un grupo secundario (como Soporte Técnico o Helpdesk) recibe permisos de escritura sobre una GPO vinculada a la OU de Contabilidad, cualquier miembro de ese grupo puede editar los archivos de la GPO. Un atacante que controle una cuenta con esos derechos puede inyectar una tarea programada que agregue a su usuario al grupo de administradores locales en cada máquina que aplique la directiva.

En versiones anteriores de Windows Server, los administradores podían usar Preferencias de Directiva de Grupo (GPP) para crear usuarios locales o mapear unidades con credenciales fijas. Esas contraseñas se guardaban en archivos XML dentro de la carpeta compartida SYSVOL (legible por cualquier usuario autenticado) cifradas bajo un atributo llamado 'cpassword'. En 2014 Microsoft publicó que la clave privada de cifrado era pública y conocida. En dominios con años de antigüedad que arrastran políticas heredadas, buscar cadenas 'cpassword' en SYSVOL sigue siendo un hallazgo frecuente.